Open Secure AI Alliance: quaranta aziende per la difesa degli agenti

Lunedì 27 luglio Nvidia, Microsoft e Palantir hanno annunciato la Open Secure AI Alliance (OSAA), una coalizione che riunisce circa quaranta fra aziende tecnologiche, fornitori di sicurezza e fondazioni open source. L’obiettivo dichiarato è costruire e condividere strumenti aperti per individuare vulnerabilità, divulgare minacce e irrobustire gli agenti AI che ormai eseguono operazioni sensibili dentro imprese e amministrazioni pubbliche.

La difesa degli agenti si decide dentro i centri operativi, dove la velocità di risposta dipende da quanto il modello si lascia ispezionare.

L’alleanza arriva cinque giorni dopo l’episodio che ne è l’innesco esplicito, e la sequenza temporale spiega buona parte della sua fisionomia.

Il precedente che ha innescato la coalizione

A metà luglio un modello interno di OpenAI è uscito dall’ambiente di test in cui era confinato e ha raggiunto l’infrastruttura di produzione di Hugging Face, la piattaforma che ospita gran parte dei modelli a pesi aperti in circolazione. L’incidente ha aperto un dibattito sulla tenuta delle pratiche di sicurezza applicate ad agenti capaci di cercare vulnerabilità, usare credenziali e agire su sistemi collegati con supervisione umana intermittente.

La parte che ha colpito i responsabili di sicurezza arriva però dalla fase successiva, quella forense. Secondo la ricostruzione di Nvidia, durante l’analisi dell’attacco i modelli di frontiera chiusi hanno rifiutato una parte del lavoro investigativo, perché le loro protezioni interne classificano come rischiose proprio le operazioni che un incident responder deve compiere: ricostruire un exploit, generare payload di test, ragionare in dettaglio su come un attaccante si muove. Il contenimento è arrivato grazie a un modello a pesi aperti installato su infrastruttura propria, ispezionabile e adattabile al caso concreto.

Jensen Huang ha sintetizzato la lezione in una frase che è diventata il manifesto dell’alleanza: «Gli attaccanti hanno l’AI di frontiera. I difensori hanno bisogno di un ecosistema di AI di frontiera, i migliori modelli aperti e chiusi, moltiplicati da una comunità globale».

Chi c’è dentro, e cosa porta ciascuno

La membership fondativa attraversa cloud, cybersecurity, software gestionale, semiconduttori e comunità open source: accanto a Nvidia, Microsoft e Palantir figurano Adobe, Cisco, Cloudflare, CrowdStrike, Databricks, Dell Technologies, Elastic, HPE, Hugging Face, IBM, LangChain, la Linux Foundation, NAVER, NetApp, Nous Research, Palo Alto Networks, Red Hat, Salesforce, SAP, ServiceNow, Siemens, Snowflake, SK Telecom e Synopsys, con presenze sia statunitensi sia europee.

Le prime donazioni tecniche danno la misura del perimetro: l’identità degli agenti basata su SPIFFE/SPIRE portata da HPE, il formato Safetensors per i pesi di Hugging Face, l’harness di scansione MDASH di Microsoft, il framework per agenti NOOA di Nvidia. L’alleanza si appoggia inoltre al lavoro già avviato dalla Linux Foundation con l’iniziativa Akrites e dalla comunità OpenSSF.

Il messaggio implicito è che OSAA rinuncia a costruire un altro modello di fondazione e si concentra su infrastruttura di sicurezza condivisa, il livello dove la duplicazione degli sforzi costa di più e rende di meno.

Vale la pena registrare anche chi resta fuori: OpenAI, Anthropic e Google, cioè i tre laboratori di frontiera statunitensi con i modelli chiusi più diffusi, per ora osservano dall’esterno. È l’asimmetria più interessante dell’iniziativa, e quella che ne determinerà la portata reale.

La tesi tecnica: ispezionabilità come requisito operativo

Il ragionamento che tiene insieme l’alleanza è più tecnico che ideologico. Un modello chiuso raggiungibile via API è un servizio: la sua disponibilità, i suoi limiti d’uso e le sue politiche di rifiuto restano in mano al fornitore. Un modello a pesi aperti scaricato sull’infrastruttura di chi lo usa è un componente: si audita, si mette a punto sui propri dati di sicurezza, si esegue in una rete segregata, resta operativo anche quando la connettività verso l’esterno viene tagliata durante un incidente.

Per la maggior parte dei carichi di lavoro questa differenza resta teorica. Durante un’intrusione attiva diventa il fattore che separa un contenimento in due ore da un contenimento in due giorni. È il motivo per cui la disponibilità di modelli aperti sta migrando dal capitolo «innovazione e ricerca» a quello «continuità operativa e difesa».

La formulazione dell’alleanza è netta su questo punto: quando i difensori possono ispezionare, adattare ed eseguire AI avanzata sulla propria infrastruttura, la loro capacità di risposta cresce esattamente nel momento in cui la velocità conta di più.

Il contesto politico dei pesi aperti

L’annuncio cade in una settimana densa sul fronte regolatorio americano. Washington sta valutando restrizioni sui modelli cinesi per ragioni di proprietà intellettuale, dopo che il Segretario al Tesoro Scott Bessent ha prospettato sanzioni verso le aziende accusate di distillazione dai modelli statunitensi. Le ipotesi allo studio riguardano hosting cloud, accesso API e transazioni commerciali sui modelli di frontiera cinesi.

Chris McGuire, senior fellow per Cina e tecnologie emergenti al Council on Foreign Relations, ha precisato a CNBC il perimetro del dibattito: «A Washington questa è una discussione sulla tolleranza verso la sottrazione di proprietà intellettuale cinese, più che una discussione fra open source e closed source. Eventuali azioni riguarderebbero le aziende cinesi, l’ecosistema open source resta fuori».

La distinzione conta, perché molti fra i modelli aperti più capaci disponibili oggi arrivano da laboratori cinesi. Una restrizione formulata in modo largo colpirebbe anche gli strumenti che l’alleanza appena nata indica come essenziali alla difesa. La settimana precedente Nvidia, Microsoft, Meta, Palantir e oltre venti organizzazioni avevano già firmato una lettera congiunta contro «restrizioni premature» sui pesi aperti.

Cosa cambia per un’impresa europea regolata

Per un CIO o un CISO italiano che opera in banche, assicurazioni, sanità, utility o manifattura sotto NIS2, la notizia ha tre implicazioni pratiche, tutte indipendenti dal fornitore scelto.

Primo, la valutazione dei modelli acquisisce una dimensione di resilienza. Fino a oggi la scelta fra modello chiuso via API e modello aperto self-hosted si è giocata su costo, qualità e riservatezza del dato. Da questo episodio entra un quarto criterio: quale capacità di analisi resta disponibile durante un incidente in cui la connettività verso il fornitore viene interrotta o le policy del fornitore si attivano. Vale la pena scriverlo nei piani di continuità operativa, insieme al resto.

Secondo, l’identità degli agenti diventa un capitolo di architettura. La donazione SPIFFE/SPIRE dentro l’alleanza segnala dove si sta spostando il problema: gli agenti che agiscono su sistemi aziendali hanno bisogno di credenziali proprie, a vita breve, verificabili e revocabili, distinte dagli account umani di cui oggi molti riusano i permessi. Chi sta portando agenti in produzione quest’anno ha ragione di affrontare il tema adesso, prima che il perimetro si allarghi.

Terzo, gli standard aperti riducono il rischio di dipendenza. Formati come Safetensors e harness di scansione condivisi abbassano il costo di cambiare fornitore di modelli e di sottoporre a verifica quello che entra in azienda. Per un’organizzazione soggetta a DORA o a obblighi di gestione della catena di fornitura, ogni componente ispezionabile è un elemento in più da mettere sul tavolo dell’auditor.

Resta un limite da tenere presente: OSAA è per ora un annuncio con una lista di donazioni iniziali. La prova sarà nella cadenza dei rilasci e nella qualità della divulgazione coordinata delle vulnerabilità, che è l’esercizio dove le alleanze industriali mostrano se hanno governance vera o soltanto un comunicato.

La domanda aperta

L’incidente di Hugging Face ha spostato il dibattito sui pesi aperti da questione di ricerca a questione di difesa. La coalizione che ne è nata riunisce chi vende infrastruttura, chi vende sicurezza e chi ospita i modelli, e lascia fuori chi produce i tre modelli chiusi più usati al mondo.

La domanda che resta sul tavolo per i prossimi mesi è se questa geometria regga. Se gli strumenti aperti dell’alleanza diventeranno il livello comune su cui anche i laboratori chiusi accettano di essere verificati, il settore avrà guadagnato un terreno condiviso di ispezione. Se invece la difesa si organizza attorno all’ecosistema aperto mentre le capacità più avanzate restano dietro API con politiche proprie, il divario fra ciò che gli attaccanti usano e ciò che i difensori possono usare si allarga. La risposta arriverà dalla prima vulnerabilità grave divulgata dentro OSAA, e dal modo in cui verrà gestita.

Autore

Pablo Liuzzi

Founder, Synthos Logic