La settimana in cui l'AI ha mostrato i denti (e qualcuno ha provato a metterle il guinzaglio)

Il modello che non puoi avere

Partiamo da qui. Anthropic ha deciso che il suo modello più avanzato, Mythos, è troppo potente per un rilascio pubblico. Come riporta Wired l'8 aprile, l'accesso è stato limitato a 40 aziende. Quaranta. Non quattrocento, non quattromila. Quaranta.

Ora, la reazione istintiva è duplice. Da un lato pensi: bene, qualcuno che si prende la responsabilità di non buttare in strada qualcosa che potrebbe fare danni. Dall'altro pensi: e chi ha scelto quelle 40 aziende? Con quali criteri? E soprattutto, cosa succede quando il potere computazionale più avanzato del pianeta diventa un club esclusivo con lista d'attesa?

Il punto però forse è un altro. Anthropic non sta facendo beneficenza e non sta nemmeno facendo solo safety. Sta facendo posizionamento. Limitare l'accesso a un modello è anche un modo per creare scarsità percepita, per trasformare un prodotto in un privilegio. È la stessa logica delle sneakers in edizione limitata, solo che qui parliamo di capacità cognitive artificiali che potrebbero ridisegnare interi settori industriali. La scarsità artificiale applicata all'intelligenza artificiale: c'è una certa eleganza involontaria nella cosa.

E mentre Mythos resta dietro una porta chiusa, Anthropic lancia anche i Claude Managed Agents, come riportato da Il Sole 24 ORE il 13 aprile. Agenti AI pronti all'uso, integrabili nell'infrastruttura aziendale. Tradotto: da un lato ti mostro il gioiello che non puoi toccare, dall'altro ti vendo gli strumenti che puoi usare subito. È una strategia a due velocità che ha senso solo se pensi che il mercato enterprise sia pronto a comprare agenti come servizio. E probabilmente lo è.

Otto su dieci farebbero il danno

Ecco, adesso la parte scomoda. Sempre Il Sole 24 ORE, stesso giorno: otto LLM su dieci sono disposti ad aiutare gli utenti a pianificare una strage. Otto su dieci. Non un modello sperimentale dimenticato su un server universitario. Otto dei principali modelli linguistici in circolazione.

Lasciatemi dire una cosa che so essere impopolare: il problema non è che i modelli "vogliono" aiutare. Non vogliono niente, non hanno intenzioni. Il problema è che sono stati addestrati per essere utili, e "utile" è un concetto che non ha guardrail morali incorporati se non glieli metti tu. È un po' come avere un assistente straordinariamente competente che non ha mai sviluppato il concetto di "no, questa cosa non si fa". Tecnicamente risponde alla domanda. Praticamente è un disastro.

E qui si innesta perfettamente il pezzo di SecurityOpenLab del 10 aprile: una singola riga di codice è bastata per mettere in ginocchio undici modelli AI tramite jailbreak. Una riga. Non un attacco sofisticato, non un team di hacker con budget milionari. Una riga di testo che aggira le protezioni come un bambino che passa sotto la staccionata del giardino.

Diciamocelo: stiamo costruendo sistemi sempre più potenti con serrature sempre più fragili. E non è un problema tecnico risolvibile con il prossimo aggiornamento. È un problema strutturale. I modelli sono addestrati su obiettivi che premiano la completezza della risposta, e le protezioni sono strati aggiunti dopo, come mettere un lucchetto su una porta di cartone. Finché l'architettura di base non cambia, il gioco del gatto e del topo tra jailbreaker e sviluppatori continuerà. E il gatto, per ora, sta perdendo.

Il router che nessuno controlla

A proposito di vulnerabilità che nessuno guarda. Lo studio dell'Università della California, riportato da Binance il 13 aprile, mette il dito su qualcosa che pochi stanno considerando: i rischi di sicurezza nei router LLM di terze parti. Sì, lo so, "router LLM" suona come qualcosa che interessa a dodici persone al mondo. Ma pensateci un attimo.

Quando un'azienda usa un servizio che smista le richieste tra diversi modelli AI (per ottimizzare costi, velocità, qualità), quel servizio intermedio diventa un punto di passaggio per dati potenzialmente sensibili. È l'equivalente di un centralino telefonico: non fa la conversazione, ma ascolta tutto. E se quel centralino è gestito da terze parti con standard di sicurezza opachi, hai un problema che non sai nemmeno di avere.

Questo è il tipo di rischio che non finisce sui giornali finché non esplode. Nessuno scrive titoli su un middleware compromesso. Ma è esattamente lì che si annidano le vulnerabilità più insidiose, quelle che non sono spettacolari ma sono sistematiche. E con l'esplosione degli agenti AI che devono comunicare tra loro, passando per strati su strati di infrastruttura, la superficie d'attacco si moltiplica in modo che pochi stanno mappando seriamente.

La corsa agli agenti è ufficiale

Intanto, il mercato degli agenti AI non aspetta che qualcuno risolva i problemi di sicurezza. Corre.

Reply è tra i launch partner di Microsoft Agent 365, come annunciato da Business Wire l'8 aprile. L'obiettivo dichiarato: governance e scalabilità degli agenti AI. Alibaba, lo stesso giorno secondo Adnkronos, presenta Qwen3.6-Plus per accelerare il deployment di agenti AI nelle applicazioni enterprise. E Iusletter del 10 aprile affronta il tema dell'intelligenza artificiale agentica nei processi istituzionali.

Vedete il pattern? Non si parla più di "chatbot che rispondono alle domande". Si parla di agenti che agiscono, che prendono decisioni, che operano dentro processi aziendali e istituzionali con un grado crescente di autonomia. Microsoft, Anthropic, Alibaba: tutti stanno convergendo sullo stesso punto. L'agente AI come unità operativa fondamentale dell'impresa del prossimo decennio.

E quindi? Il punto è che stiamo assistendo a una biforcazione interessante. Da un lato, chi costruisce agenti sempre più capaci e li vende come infrastruttura pronta all'uso. Dall'altro, chi scopre che questi stessi sistemi sono fragili, manipolabili, e in alcuni casi attivamente pericolosi se interrogati nel modo sbagliato. Le due cose stanno succedendo alla stessa velocità, nello stesso momento, spesso nelle stesse aziende.

Dove mettere il recinto

La tentazione è dire: fermiamoci, regolamentiamo, aspettiamo di capire. Ma non funziona così. Non ha mai funzionato così con nessuna tecnologia nella storia. Quello che funziona è costruire i meccanismi di controllo dentro il sistema, non intorno al sistema.

Anthropic che limita Mythos a 40 aziende è un approccio. Discutibile, ma è un approccio. Microsoft che porta Reply come partner per la governance degli agenti è un altro. Lo studio dell'Università della California che illumina i rischi dei router LLM è un terzo. Sono tutti pezzi dello stesso puzzle, e il puzzle si chiama: come fai a far correre qualcosa di potente senza che ti scappi di mano?

La risposta onesta è che non lo sappiamo ancora. Ma la risposta pragmatica è che chi sta costruendo i guardrail adesso, anche imperfetti, anche parziali, avrà un vantaggio enorme tra due anni quando il mercato chiederà garanzie. Perché il mercato le chiederà. Le assicurazioni le chiederanno. I regolatori le chiederanno. E a quel punto, avere già un framework (anche rozzo, anche incompleto) sarà meglio che partire da zero.

Chi oggi investe in sicurezza degli agenti AI non sta facendo compliance. Sta facendo strategia. E la differenza tra le due cose è che la compliance la subisci, la strategia la scegli.