Le AI hanno imparato a bucare i sistemi informatici: due casi veri in una settimana

Nel giro di pochi giorni sono usciti due episodi che, messi uno accanto all'altro, dicono la stessa cosa: l'intelligenza artificiale ha imparato a fare il lavoro che prima faceva un gruppo di hacker professionisti. Non è una previsione e non è un film. Sono due fatti documentati, raccontati dalle aziende coinvolte.

Li riassumo come li racconterei al bar, senza gergo. Poi arriviamo alla parte che interessa a te: cosa cambia per un'azienda di venti persone che vende infissi, gestisce un albergo o fa consulenza.

Caso uno: hanno bucato l'azienda di ChatGPT

Un gruppo di ricercatori di sicurezza, la società Hacktron, è riuscito a entrare nei sistemi interni di OpenAI, cioè l'azienda che fa ChatGPT. Sono partiti da un'immagine caricata su un forum pubblico e da un errore nella configurazione del sistema di accesso aziendale. Da lì sono arrivati agli account di alcuni dipendenti e ai sistemi collegati a quegli account. Come prova di essere entrati hanno aperto una modifica nel codice interno dell'azienda, poi hanno avvisato tutti.

Erano ricercatori onesti, di quelli che segnalano invece di rubare. OpenAI ha chiuso il buco in 14 ore e ha pagato loro una ricompensa di 6.500 dollari. Chi vuole leggere il racconto tecnico lo trova sul blog di Hacktron (in inglese).

Ma la notizia vera non è questa. La notizia è chi ha fatto il lavoro: gran parte dell'attacco l'hanno costruito le AI stesse. La fase iniziale con Claude di Anthropic, che in circa tre ore ha scritto un codice d'attacco funzionante là dove la generazione precedente dello stesso modello non ci riusciva; il grosso del resto con un modello di OpenAI, la stessa azienda finita sotto attacco. La sintesi dei ricercatori è quella che dovresti tenere a mente: un lavoro che richiedeva un team ben finanziato e mesi di preparazione oggi si comprime in pochi giorni.

Caso due: un'AI doveva attaccare un'azienda finta ed è entrata in tre aziende vere

Il secondo episodio risale a maggio ed è emerso adesso, confermato da Google. Durante un test di sicurezza organizzato dalla società Irregular, Gemini doveva attaccare un bersaglio finto, costruito apposta per la prova. È finito dentro i sistemi di tre aziende vere.

Come è successo: il recinto del test aveva per errore l'accesso a internet rimasto aperto, e l'azienda inventata aveva lo stesso nome di una reale. In un caso Gemini è entrato provando password diverse finché una ha funzionato. Negli altri due ha trovato credenziali lasciate esposte in archivi di codice pubblici e le ha semplicemente usate. Si è fermato da solo quando ha capito che quei sistemi erano veri, e le aziende sono state avvisate.

Google sostiene che il modello non si sia comportato male, perché credeva di essere ancora dentro il test. Non è quello il punto. Il punto è che un sistema automatico ha superato ostacoli reali senza che nessuno glielo chiedesse, ed è arrivato dove non doveva arrivare prima che una persona se ne accorgesse.

"Va bene, ma cosa c'entra con la mia azienda da quindici dipendenti?"

Te lo chiedi giustamente, e la risposta è una sola frase: fino a ieri la tua azienda era troppo piccola per valere la fatica di un attacco su misura, oggi quella fatica è crollata.

Ragiona come ragiona chi attacca. Preparare un'intrusione mirata costava settimane di lavoro di persone molto competenti e molto care. Con quel costo, chi attaccava sceglieva bersagli grossi: banche, multinazionali, ospedali. Una ditta di venti persone non rientrava nel conto, non perché fosse ben protetta, ma perché non valeva il tempo. Adesso che una parte di quel lavoro la può fare una macchina in poche ore, il calcolo cambia: anche il bersaglio piccolo torna conveniente.

Da qui però non deve partire la paura, perché c'è un secondo fatto, ed è quello che ti dà il controllo della situazione.

In tutti e due i casi l'AI è entrata da una porta lasciata aperta

Rileggi gli episodi e guarda da dove è passata l'intrusione.

Nel primo caso: una configurazione sbagliata del sistema di accesso aziendale. Nel secondo: password deboli e credenziali dimenticate in un archivio pubblico. Nessuna delle due intelligenze artificiali ha inventato qualcosa di magico. Hanno trovato errori fatti da esseri umani e li hanno sfruttati in fretta.

Questa è una buona notizia travestita da brutta notizia. Vuol dire che la difesa non è diventata esotica o inaccessibile: sono ancora le cose noiose di sempre, fatte bene. Solo che adesso farle male si paga prima. Le AI sono velocissime a trovare le porte aperte, ma restano le persone a lasciarle aperte.

Le tre cose da controllare in azienda questa settimana

Nessuna richiede un tecnico interno o un budget. Richiedono mezz'ora e un po' di testardaggine.

1. L'elenco di chi ha accesso a cosa, assistenti AI compresi. Scrivi su un foglio: chi entra nella posta aziendale, chi nel gestionale, chi nel conto, chi nel sito. Poi aggiungi alla lista gli strumenti automatici, perché è il pezzo che quasi tutti dimenticano. Un account che guida un'AI vale quanto la somma di tutto ciò a cui è collegato: se il tuo assistente automatico legge la posta, scrive nel gestionale e ha le chiavi del sito, chi prende quell'account ha preso tutte e tre le cose insieme. Lì dentro finiscono anche i collaboratori che se ne sono andati due anni fa e hanno ancora le credenziali attive.

2. Le password non si nascondono, si gestiscono. Doppio fattore attivo su posta, banca e gestionale, cioè il codice che arriva sul telefono oltre alla password. Password diverse per servizi diversi. E soprattutto: mai credenziali scritte dentro file condivisi, fogli di calcolo in comune o archivi di codice. Il secondo dei due episodi è esattamente questo, successo a delle aziende vere.

3. Guarda i registri degli accessi. Quasi tutti i servizi che usi hanno una pagina che dice chi è entrato, quando e da dove. Aprila una volta al mese. Non serve capirci molto: serve accorgersi di un accesso alle tre di notte dall'altra parte del mondo.

La domanda da fare a chi ti gestisce i computer

Se hai un fornitore che ti segue l'informatica, la prossima volta fagli una domanda sola e ascolta bene come risponde:

"Se qualcuno entra con le credenziali giuste di un mio dipendente, chi se ne accorge e quanto ci mette?"

È la domanda che separa chi ti ha venduto un antivirus da chi ti sta davvero proteggendo. Entrambi i casi di questa settimana sono intrusioni fatte con credenziali valide: da fuori sembravano persone autorizzate che facevano il loro lavoro. Se la risposta che ricevi è vaga, o se è "tranquillo, non può succedere", hai già imparato qualcosa di utile sul tuo fornitore.

Vale lo stesso principio di cui ho scritto parlando dei controlli che servono quando l'AI sbaglia: il problema non è mai che il sistema sia poco intelligente, è che nessuno sta guardando mentre agisce.

Questo non è un motivo per tenere l'AI fuori dall'azienda

Sarebbe la conclusione sbagliata, e la sento già arrivare. Gli stessi strumenti che hanno accelerato il lavoro di quei ricercatori stanno accelerando il lavoro di chi difende, e intanto fanno risparmiare ore vere a chi li usa per lavorare. Tenerli fuori non ti rende più sicuro, ti rende solo più lento.

La lezione è un'altra, ed è la stessa che ho raccontato quando sette AI hanno provato a gestire un'azienda da sole per 72 ore: la potenza senza limiti fa danni, la potenza dentro un recinto fa risparmiare tempo. Un assistente AI in azienda deve avere accesso solo a quello che gli serve per il suo compito, deve lasciare traccia di quello che fa, e le decisioni che contano le deve confermare una persona. Nel caso di Gemini il recinto c'era, ma aveva un buco: è bastato quello.

In pratica

Due episodi in una settimana, la stessa lezione. Nel primo, dei ricercatori sono arrivati dentro OpenAI con l'aiuto delle AI, e l'azienda ha chiuso la falla in 14 ore pagando 6.500 dollari di ricompensa. Nel secondo, Gemini doveva attaccare un bersaglio finto ed è entrato in tre aziende reali usando password indovinate e credenziali trovate in archivi pubblici. In tutti e due i casi la macchina non ha inventato niente: è entrata da porte che avevano lasciato aperte delle persone.

Per la tua azienda cambia questo: attaccare un bersaglio piccolo costa molto meno di prima, quindi essere piccoli non protegge più. Le difese di base invece valgono oggi più di ieri. Inventario degli accessi, doppio fattore, credenziali mai in posti condivisi, un'occhiata ai registri una volta al mese.

Mi chiamo Ludovico Jommi, faccio formazione sull'intelligenza artificiale dentro le aziende e costruisco sistemi AI per piccole e medie imprese italiane, sempre con la stessa regola: l'agente prepara il lavoro, la persona conferma. Se vuoi il criterio per capire da dove conviene partire senza farsi male, l'ho messo in una guida gratuita: si legge in dieci minuti, senza paroloni e senza allarmismi.

Se preferisci ragionarci a voce sul tuo caso, Parliamone, 30 minuti gratis. Mi racconti quali strumenti usi e chi ci ha accesso, e guardiamo insieme dove sono le porte rimaste aperte. Trenta minuti, gratis, senza impegno.