L'AI che si ammala, si difende e si apre

Quando i modelli si passano le malattie

C'è una notizia che questa settimana mi ha fatto fermare a metà caffè. ANSA riporta di errori contagiosi tra modelli come ChatGPT. Errori che si propagano. Non bug nel codice, non allucinazioni casuali: errori che passano da un modello all'altro come un raffreddore in ufficio a gennaio.

Pensateci un secondo. Abbiamo costruito un ecosistema in cui i modelli si addestrano su dati che includono output di altri modelli, che a loro volta si sono addestrati su output di altri modelli ancora. È una catena alimentare cognitiva. E come in ogni catena alimentare, se qualcosa è tossico alla base, il veleno risale.

Il punto però forse è un altro. Non è che gli errori si propaghino (quello, a pensarci bene, era prevedibile). È che non abbiamo ancora un sistema immunitario per questo tipo di contagio. Nella biologia abbiamo anticorpi, febbre, quarantena. Nell'ecosistema dei LLM abbiamo... benchmark? Paper su arXiv? Sì, lo so, suona insufficiente perché lo è.

La cosa interessante è che questo problema diventa più grave man mano che i modelli diventano più bravi. Paradossale, vero? Più un modello è convincente, più il suo errore viene trattato come verità dal modello successivo che lo ingurgita. È un po' come quando il collega più autorevole dell'ufficio dice una cosa sbagliata con grande sicurezza: nessuno lo corregge, tutti la ripetono, e tre mesi dopo è diventata policy aziendale.

La direzione costruttiva qui è chiara: servono strumenti di tracciabilità dei dati di addestramento. Non domani. Adesso. Chi costruisce modelli dovrebbe poter dire con precisione chirurgica da dove arriva ogni dato, e soprattutto se quel dato è a sua volta un output sintetico. È un problema di igiene industriale, non di ricerca accademica.

MCP e LiteLLM: la sicurezza dei tubi

Mentre ci preoccupiamo della qualità di quello che esce dai modelli, qualcuno si è finalmente messo a guardare i tubi. E ha trovato crepe.

Il CERT-AgID ha pubblicato un'analisi di sicurezza sul Model Context Protocol (MCP), quel protocollo che dovrebbe standardizzare il modo in cui i LLM interagiscono con strumenti e dati esterni. L'idea è bellissima: un protocollo unico per connettere modelli a database, API, file system. Il problema? Come riporta Agid, le superfici di attacco si moltiplicano in modo non banale.

E quasi in contemporanea, ICT Security Magazine racconta il caso LiteLLM, un router per LLM che è diventato il punto debole della supply chain. Un router. Quel componente che sta lì in mezzo, apparentemente innocuo, che smista le richieste tra diversi modelli. Ecco, quello è diventato il bersaglio.

È un problema già visto nella storia dell'informatica. Ogni volta che un'infrastruttura diventa abbastanza matura da avere middleware, proxy, router e protocolli di interoperabilità, la sicurezza si sposta dal centro alla periferia. Non attacchi il castello: attacchi il ponte levatoio. Non buchi il modello: buchi il protocollo che lo collega al mondo.

Diciamocelo: era inevitabile. Ma il fatto che sia inevitabile non significa che possiamo permetterci di ignorarlo. Chi sta costruendo architetture AI in azienda (e qui parlo direttamente a chi legge guide come quella di TechCompany360 sugli agenti AI per il management) deve mettere la sicurezza dell'infrastruttura di orchestrazione allo stesso livello della sicurezza del modello stesso. Anzi, probabilmente più in alto. Perché il modello lo aggiorna il vendor. Il router, il proxy, il layer MCP? Quello è roba vostra.

DeepSeek V4: il prezzo della competizione

E poi c'è DeepSeek. Di nuovo.

Questa settimana hanno rilasciato V4, e le fonti (Investing.com, TuttoTech.net, AI4Business) convergono su un punto: è un modello da 1,6 trilioni di parametri, open-weight, con varianti Pro e Flash, a costi che definire stracciati è un eufemismo. DeepSeek continua a fare quello che sa fare meglio: prendere il lavoro di OpenAI, Google e Anthropic e dire "noi lo facciamo aperto e costa meno".

Ora, la lettura facile è: "fantastico, più competizione, prezzi più bassi, tutti contenti". E in parte è vero. Ma la lettura più interessante è un'altra. DeepSeek sta sistematicamente comprimendo il margine economico dell'AI proprietaria. Ogni release open-weight di questo calibro è un messaggio preciso ai venture capitalist di San Francisco: il fossato competitivo dei modelli chiusi si sta restringendo. Velocemente.

La variante Flash è particolarmente significativa. Non è solo "il modello grande": è il modello ottimizzato per essere veloce e economico in produzione. Questo significa che DeepSeek non sta solo facendo ricerca. Sta costruendo un'offerta commerciale completa, dal modello flagship al modello da deployment quotidiano. È la differenza tra chi fa concept car e chi fa utilitarie. E le utilitarie, storicamente, vincono i mercati.

E quindi? Il punto pratico per chi lavora con l'AI è semplice: se state costruendo prodotti o servizi su modelli proprietari, il vostro piano B open source è appena diventato molto più credibile. Non sto dicendo di mollare tutto e migrare domani. Sto dicendo che il costo di non avere un piano B sta salendo ogni trimestre.

Mozilla e il controllo dei dati

In mezzo a tutto questo, Mozilla ha fatto una mossa che merita attenzione. Ha lanciato Thunderbolt: AI open source e self-hosted, con l'enfasi sul controllo completo di dati, modelli e infrastruttura. Come riporta 01net, non è un modello. È un'infrastruttura.

Mozilla che entra nell'AI non è una novità. Ma Mozilla che entra nell'AI con un prodotto self-hosted, nel 2026, è una dichiarazione politica prima ancora che tecnologica. Dice: "l'AI non deve per forza vivere nel cloud di qualcun altro". In un momento in cui il dibattito sulla sovranità dei dati è ovunque (e giustamente), questa è una posizione forte.

Il tempismo è perfetto, tra l'altro. Se i protocolli come MCP hanno vulnerabilità, se i router come LiteLLM possono essere compromessi, se gli errori si propagano tra modelli interconnessi, allora avere un'opzione self-hosted non è paranoia. È igiene. È il backup analogico in un mondo che si scopre fragile nei punti di connessione.

Certo, self-hosted significa anche: lo gestisci tu. Lo aggiorni tu. Lo proteggi tu. Non è gratis, né in soldi né in competenze. Ma per certe organizzazioni (sanità, difesa, finanza, pubblica amministrazione) potrebbe essere l'unica opzione sensata. E il fatto che arrivi da Mozilla, un'organizzazione con una storia credibile sulla privacy, non è un dettaglio trascurabile.

Il filo che lega tutto

Se guardo questa settimana dall'alto, vedo una cosa sola: l'AI sta uscendo dall'adolescenza. E come tutti gli adolescenti che diventano adulti, scopre che il mondo reale ha regole diverse dal laboratorio.

Gli errori contagiosi sono il problema dell'igiene industriale. Le vulnerabilità di MCP e LiteLLM sono il problema della sicurezza infrastrutturale. DeepSeek V4 è il problema (o l'opportunità, dipende da dove siedi) della commoditizzazione. Mozilla Thunderbolt è la risposta di chi dice "allora me lo faccio in casa".

Sono tutti sintomi della stessa transizione: dall'AI come esperimento all'AI come infrastruttura critica. E l'infrastruttura critica ha bisogno di standard, di audit, di ridondanza, di piani B. Non di hype.

Chi sta costruendo qualcosa di serio con l'AI in questo momento ha un vantaggio enorme: può imparare dagli errori che il settore sta commettendo in tempo reale, senza doverli commettere in prima persona. Basta guardare, prendere appunti, e costruire con un po' più di paranoia sana di quella che avevamo sei mesi fa.