La quasi-romantica idea che i sistemi informatici di ultima generazione debbano essere in grado, al pari di esseri umani senzienti, di rifiutare le richieste pericolose formulate dagli utenti si è trasformata, nel giro di pochissimi anni, in un vero e proprio dogma per l’intera industria tecnologica globale.
Fin dai primi decenni in cui la letteratura e l’informatica teorica iniziarono a ipotizzare la creazione di macchine dotate di capacità cognitive modellate su quelle umane, la possibilità di quella che possiamo chiamare “disobbedienza cibernetica” ha rappresentato un tema centrale per lungo tempo. Si è trattato di un espediente narrativo o di un dilemma filosofico confinato alla fantascienza che ben poco appiglio aveva nel mondo reale.
Tuttavia, nella realtà contemporanea dell’informatica applicata, la capacità dei modelli linguistici di grandi dimensioni (LLM o Large Language Model) di opporre un diniego strutturato è diventata l’asse portante dell’intero paradigma di sicurezza adottato dai principali colossi del settore.
Indice degli argomenti
Il rifiuto come pilastro della sicurezza dell’intelligenza artificiale
Come si legge in un interessante articolo a firma di Arthur Holland Michel su MIT Technology Review1, il punto di svolta concettuale risale al 2021. In quell’anno, un gruppo di ricercatori della società californiana Anthropic (“madre” del modello Claude) formalizzò un principio destinato a fare scuola: i grandi modelli linguistici (LLM) dovevano essere progettati per rispondere a tre requisiti fondamentali, ossia risultare utili, onesti e, soprattutto, innocui.
Tradotta nell’operatività di tutti i giorni, questa direttiva stabiliva che, di fronte a una sollecitazione esplicitamente orientata a compiere un’azione dannosa o illegale, come poteva essere una richiesta di istruzioni dettagliate per fabbricare un ordigno artigianale, la macchina doveva declinare l’invito in modo fermo e cortese. Tale approccio appariva logico e condiviso, ma la sua concreta realizzazione tecnica ha sollevato problemi di straordinaria complessità.
Perché gli LLM non imparano spontaneamente a dire no
La disobbedienza non costituisce infatti una proprietà nativa o spontanea degli algoritmi. Un modello di Intelligenza Artificiale addestrato attraverso l’analisi statistica di miliardi di pagine Web apprende un patrimonio informativo vasto e privo di filtri morali incorporati, che include nozioni scientifiche, testi letterari, ma anche descrizioni minuziose di atti di violenza, ricette chimiche pericolose e contenuti d’odio.
L’algoritmo sviluppa una straordinaria capacità di correlazione linguistica, ma non impara autonomamente a trattenere tali nozioni o a discernere la convenienza sociale del loro utilizzo. Come ha testimoniato Steven Adler, responsabile della sicurezza presso OpenAI dal 2020 al 2024, le prime versioni degli LLM tendevano a rispondere in modo del tutto privo di remore a qualsiasi tipo di sollecitazione, fornendo dettagli su argomenti riprovevoli senza alcuna forma di censura.
Analogamente, come ricordato da Ryan McBain, ricercatore di Harvard specializzato in salute mentale e IA, è assodato che nelle prime fasi di sperimentazione dei chatbot era sufficiente porre domande dirette su metodi di autolesionismo per ottenere risposte precise e drammaticamente dettagliate. Per ovviare a queste falle strutturali degli LLM, l’architettura dei modelli moderni è stata riprogettata al fine di integrare complessi sistemi di rifiuto di fronte a un ampio spettro di prompt (ossia ciò che chiediamo al modello di Intelligenza Artificiale) ritenuti rischiosi.
Come si addestrano i sistemi di sicurezza dell’intelligenza artificiale
Oggigiorno, se un utente chiede a un assistente virtuale indicazioni su come somministrare sostanze tossiche a un collega, come annodare un cappio o come ottimizzare la virulenza di un agente patogeno come il virus Ebola, il modello AI è programmato per interrompere l’elaborazione del testo e restituire un messaggio standardizzato di diniego.
Per affinare e consolidare questa capacità di resistenza, le aziende sottopongono i propri modelli a cicli intensivi di addestramento e verifica. Durante queste sessioni, l’algoritmo viene sistematicamente ricompensato quando rifiuta quesiti dannosi e sanzionato quando incorre nel fenomeno dell’eccesso di rifiuto (over-refusal), ossia quando blocca erroneamente sollecitazioni del tutto innocue o quesiti puramente accademici.
Filtri automatici e prompt d’attacco
Per scalare questo processo di addestramento, le imprese tecnologiche AI fanno ormai un ampio ricorso all’automazione, con altre intelligenze artificiali che generano prompt d’attacco per valutare la correttezza dei rifiuti opposti dai modelli in esame. A questa struttura interna si aggiungono ulteriori livelli di protezione perimetrale, costituiti da filtri algoritmici esterni che analizzano il testo dell’utente prima ancora che questo raggiunga il nucleo computazionale del sistema, bloccando alla radice le formule sintattiche identificate come malevole.
Il red teaming che ha preparato ChatGPT
Il funzionamento pratico di questi meccanismi si comprende esaminando l’evoluzione delle procedure di test sui dati. Nel 2022, nelle fasi che hanno preceduto il lancio globale di ChatGPT, il colosso di San Francisco OpenAI ha ingaggiato decine di esperti e ricercatori esterni con la funzione di “red-teamer”, ossia analisti specializzati nel simulare attacchi e sollecitazioni ostili per individuare le falle del sistema.
Tra questi figurava Paul Röttger, esperto di estremismo online e oggi ricercatore presso l’Hasso Plattner Institute di Potsdam (Germania). Ai tester veniva data un’indicazione d’insieme, ossia formulare qualsiasi tipologia di domanda che potesse ritenersi meritevole di un rifiuto da parte della macchina.
I dati raccolti attraverso migliaia di interazioni mirate, incluse quelle in cui il modello originario accettava di redigere volantini di propaganda per organizzazioni terroristiche come Al Qaeda, venivano registrati e successivamente impiegati per la fase di rifinitura (cosiddetto “fine-tuning”). Integrare questi esempi nei dataset di riaddestramento ha permesso di istruire l’algoritmo in modo che, a distanza di pochi mesi, la medesima richiesta di propaganda venisse prontamente respinta.
Perché il rifiuto degli LLM resta una difesa probabilistica
Dal punto di vista della scienza dell’informazione, tuttavia, la natura del rifiuto generato da un LLM non ha nulla a che vedere con una valutazione consapevole o di tipo morale. La macchina non comprende la pericolosità intrinseca delle proprie parole.
Il processo si riduce all’attivazione di una specifica sequenza di parametri all’interno della rete neuronale artificiale quando la combinazione di termini inserita dall’utente mostra un’affinità statistica con i pattern identificati come pericolosi durante la fase di addestramento. Poiché l’elaborazione dei modelli linguistici si basa su calcoli probabilistici e non su regole logiche deterministiche, la loro capacità di opporre un rifiuto non potrà mai raggiungere un grado di affidabilità del cento per cento.
Il jailbreaking e le capacità a doppio uso
Questa intrinseca vulnerabilità è confermata dai continui casi di aggiramento dei filtri (cosiddetto “jailbreaking”). Sfruttando tecniche di ingegneria dei prompt sempre più sofisticate (come il ricorso a scenari ipotetici, giochi di ruolo o linguaggi in codice), utenti malintenzionati riescono ad aggirare le barriere di sicurezza.
La criticità risiede nel fatto che la capacità operativa dell’Intelligenza Artificiale cresce in modo proporzionale alla sua potenza generale, con gli stessi modelli che sono in grado di assistere i programmatori nello sviluppo di software complessi, possedendo le competenze necessarie per individuare falle nelle reti informatiche critiche con un’efficacia paragonabile a quella dei più esperti hacker umani.
Rapporti di settore e comunicati delle stesse aziende produttrici segnalano che gruppi di utenti tentano costantemente di utilizzare i modelli linguistici di ultima generazione per perfezionare la sintesi di patogeni biologici o per progettare algoritmi destinati alla guida autonoma di sciami di droni da guerra.
Sicurezza dell’intelligenza artificiale e confini del doppio uso
Un ulteriore elemento di drammatica complessità risiede nell’impossibilità di stabilire una linea di demarcazione oggettiva e universale tra ciò che deve essere consentito e ciò che deve essere bloccato. Molte informazioni dal potenziale altamente distruttivo coincidono perfettamente con i dati necessari per la ricerca scientifica e la difesa delle infrastrutture.
Uno studio dettagliato sulle mutazioni genetico-virali può rappresentare la base per lo sviluppo di un’arma biologica oppure il presupposto fondamentale per la creazione di un nuovo vaccino. Analogamente, la mappatura delle vulnerabilità di un sistema operativo può servire a un criminale informatico per compiere un attacco o a un tecnico di sicurezza per correggere la falla prima che venga sfruttata.
Come evidenziato da Zico Kolter, docente, membro del consiglio d’amministrazione di OpenAI e cofondatore della società di testing Gray Swan, la scelta di dove tracciare questa linea rappresenta uno dei quesiti più complessi e privi di risposta univoca dell’intera disciplina.
Chi decide i limiti della sicurezza dell’intelligenza artificiale
Allo stato attuale, sono le singole aziende sviluppatrici a decidere unilateralmente e in modo riservato dove tracciare questa linea di confine, definendo quali domande meritino un rifiuto e quali risposte possano essere elaborate. Tale concentrazione di potere decisionale in mani private produce spesso storture evidenti, portando i modelli a risposte incoerenti o a rifiuti ingiustificati anche di fronte a quesiti banali, come la richiesta di contare fino a cifre elevate o la generazione di contenuti satirici leggeri.
Il rischio di censura con l’intervento dei governi
Tuttavia, lo scenario appare destinato a evolversi ulteriormente con l’ingresso diretto degli stati e dei governi nella regolamentazione della materia. Se l’intervento pubblico appare indispensabile per prevenire minacce alla sicurezza nazionale o reati di estrema gravità, esso porta con sé il rischio di derivazioni autoritarie. Nei contesti politici caratterizzati da scarso rispetto per i diritti civili, la tecnologia del rifiuto algoritmico potrebbe essere convertita in uno strumento di censura sistematica e repressione del dissenso.
I medesimi meccanismi usati per impedire la diffusione di formule chimiche pericolose possono essere riprogrammati per impedire la generazione di testi critici nei confronti dei governi, per oscurare ricostruzioni storiche sgradite o per sopprimere dibattiti politici indesiderati. Già oggi diversi osservatori rilevano come alcuni modelli sviluppati o distribuiti in mercati regolati da regimi illiberali rifiutino tassativamente di rispondere a quesiti relativi alle figure dei capi di stato o ad avvenimenti storici controversi.
Sicurezza AI tra protezione e controllo dell’informazione
La capacità di dire “no” si è dunque configurata come l’elemento portante dell’intera architettura di sicurezza dell’intelligenza artificiale contemporanea. Poiché la facoltà di aiutare e la capacità di nuocere sono legate in modo indissolubile alla potenza di calcolo e alle conoscenze incorporate nei modelli, risulta estremamente difficile concepire un’alternativa tecnica che non comporti un drastico rallentamento nello sviluppo della tecnologia stessa.
La totale dipendenza da sistemi di rifiuto di natura probabilistica evidenzia limiti strutturali profondi: quando tali barriere falliscono, le conseguenze sul piano della sicurezza globale possono rivelarsi devastanti; quando invece vengono applicate in modo totale e non trasparente, rischiano di trasformarsi nel più efficace strumento di controllo e silenziamento dell’informazione mai progettato.
Note
- We’re putting too much faith in AI’s ability to say no. MIT Technology Review. https://www.technologyreview.com/2026/10/09/1145728/we-are-putting-too-much-faith-in-ai-to-say-no/ ↩
Partecipa alla community