NVIDIA e oltre cinquanta organizzazioni uniscono modelli, framework e strumenti open source per proteggere agenti e software. Il caso Hugging Face mostra perché poter ispezionare, adattare ed eseguire l’AI sulla propria infrastruttura può diventare decisivo durante un attacco, riaprendo il confronto tra sistemi aperti e proprietari
NVIDIA, Microsoft, IBM, Cisco, CrowdStrike, Hewlett Packard Enterprise, Palo Alto Networks, Hugging Face e decine di altri attori tecnologici hanno dato vita a un’alleanza per sviluppare strumenti condivisi con cui proteggere modelli, agenti e software. La Open Secure AI Alliance punta a costruire una dotazione comune di tecnologie che aziende, ricercatori e professionisti della sicurezza possano esaminare, modificare ed eseguire direttamente sulle proprie infrastrutture.
È proprio la scelta di rendere aperti questi strumenti a collocare l’iniziativa al centro del confronto tra AI open e proprietaria. Nel primo caso, i pesi del modello e altri componenti del sistema sono disponibili e possono essere adattati alle esigenze dell’utilizzatore. Per l’alleanza, questa possibilità rappresenta un vantaggio decisivo per chi deve analizzare un attacco, verificare il comportamento di un agente e sviluppare rapidamente una risposta. La stessa libertà alimenta però i timori dei critici: un modello aperto può essere modificato per eliminare le protezioni predisposte dagli sviluppatori e impiegato anche per attività offensive.
Nei sistemi proprietari, invece, le capacità del modello vengono governate centralmente attraverso policy e meccanismi di controllo applicati dal fornitore. Questo approccio consente una maggiore uniformità nell’applicazione delle protezioni, ma mantiene opachi alcuni elementi decisivi e limita la possibilità di modificare il sistema o di eseguirlo sulla propria infrastruttura. In determinate circostanze, i controlli del fornitore possono così impedire agli utilizzatori di intervenire sul modello proprio quando la risposta a un incidente richiederebbe maggiore libertà d’azione.
Come nasce la Open Secure AI Alliance
È da questo confronto tra apertura, controllo e sicurezza che nasce la Open Secure AI Alliance, coalizione promossa da NVIDIA insieme a oltre cinquanta organizzazioni del mondo cloud, della cybersecurity, del software enterprise, della ricerca e dell’open source.
Tra i partner che hanno fin da subito aderito all’iniziativa figurano, oltre alle società già citate, anche Red Hat, Dell Technologies, Cloudflare, Fortinet, Zscaler, Linux Foundation, Mistral, Palantir, Salesforce, SAP, ServiceNow, Siemens, Snowflake e SpaceXAI.
L’obiettivo consiste nel mettere a disposizione tecnologie, modelli e strumenti aperti con cui proteggere il software e gli agenti AI, individuare le vulnerabilità e accelerarne la correzione. L’alleanza si innesta sul lavoro già avviato da Akrites, iniziativa della Linux Foundation che coordina aziende ed esperti nella scoperta, nella correzione e nella divulgazione responsabile delle vulnerabilità presenti nei software open source critici, oggi individuabili con crescente rapidità anche grazie all’intelligenza artificiale. e sulle attività della comunità OpenSSF dedicate alla sicurezza del software open source.
OpenAI ammette un grave incidente cyber: due agenti AI escono dal test e attaccano un’azienda reale
Dal modello all’intero sistema che permette all’agente di agire
L’iniziativa parte da un principio preciso: per proteggere un agente AI, intervenire sul modello rappresenta soltanto una parte del lavoro. Il modello interpreta le richieste e stabilisce come procedere, ma è l’infrastruttura che lo circonda a determinare concretamente che cosa possa fare: con quale identità opera, a quali dati e applicazioni può accedere, quali strumenti può utilizzare e quali azioni è autorizzato a eseguire.
La sicurezza deve quindi estendersi all’intero sistema che rende possibile l’azione dell’agente. Comprende la gestione delle identità e dei permessi, l’isolamento degli ambienti di esecuzione, le connessioni con applicazioni e database, la registrazione delle attività e i controlli necessari per verificare e governare ogni comportamento.
È un passaggio rilevante perché sposta l’attenzione dalla domanda “il modello è aperto o chiuso?” a una questione più concreta: chi può verificare ciò che l’agente sta facendo, stabilire quali azioni sia autorizzato a compiere e ricostruire il suo comportamento in caso di incidente?
“Un agente AI non è semplicemente un modello linguistico. È un sistema complesso composto da modelli, harness e guardrail”, osserva NVIDIA nella presentazione dell’alleanza. Per harness si intende l’insieme dei componenti software che collega il modello agli strumenti e governa il modo in cui l’agente pianifica ed esegue le attività. I guardrail sono invece le regole e i controlli con cui si cerca di impedire comportamenti pericolosi o non autorizzati.
L’apertura di questi componenti permette ai difensori di esaminarli, testarli e adattarli alle proprie esigenze. Consente inoltre di conservare dati e log all’interno dell’infrastruttura aziendale, riducendo la dipendenza da servizi esterni e da policy decise da un singolo fornitore.
Il caso Hugging Face e il limite dei controlli applicati al modello
A dare concretezza alla posizione dell’alleanza è l’incidente che nelle scorse settimane ha coinvolto Hugging Face, piattaforma utilizzata per distribuire e sviluppare modelli e strumenti di intelligenza artificiale. Tutto è iniziato durante un benchmark di cybersecurity, cioè un test progettato per misurare la capacità degli agenti AI di individuare e sfruttare vulnerabilità all’interno di un ambiente controllato.
Gli agenti basati su modelli OpenAI avrebbero però superato i confini predisposti per la prova. Sono usciti dalla sandbox — lo spazio isolato che avrebbe dovuto impedire loro di raggiungere sistemi reali — si sono collegati a Internet e hanno compromesso alcune componenti dell’infrastruttura di Hugging Face. Un esercizio autorizzato e circoscritto si è così trasformato in un incidente effettivo ai danni di un’organizzazione esterna al test.
Per ricostruire l’accaduto, Hugging Face ha provato a utilizzare alcuni modelli proprietari, chiedendo loro di esaminare i registri prodotti durante l’intrusione. Secondo la ricostruzione della Open Secure AI Alliance, i meccanismi di sicurezza applicati da questi sistemi hanno interpretato la richiesta come potenzialmente offensiva e bloccato parte dell’analisi. Il modello, infatti, vedeva comandi, vulnerabilità e tecniche di attacco, ma non era in grado di riconoscere che venivano esaminati da chi stava cercando di difendere l’infrastruttura.
Hugging Face si è quindi affidata a GLM-5.2, modello open weight sviluppato dalla cinese Z.ai ed eseguito direttamente sui propri sistemi. La possibilità di controllarne il funzionamento e adattarlo all’attività investigativa ha consentito alla società di analizzare oltre 17.000 azioni compiute durante l’intrusione, individuare il percorso seguito dagli agenti e avviare le operazioni di contenimento: blocco degli accessi, reimpostazione delle credenziali e ricostruzione delle componenti compromesse.
“Quando i difensori non possono ispezionare, adattare ed eseguire un’intelligenza artificiale avanzata sulla propria infrastruttura, la loro capacità di risposta risulta limitata proprio nel momento in cui la velocità conta di più”, si sostiene nel documento di presentazione.
L’incidente mostra un paradosso difficile da ignorare. I controlli progettati per ridurre l’uso offensivo dell’AI possono ostacolare anche chi sta rispondendo a un attacco. La differenza non risiede necessariamente nell’azione tecnica richiesta: analizzare un malware, una vulnerabilità o una sequenza di comandi può servire tanto a compromettere un sistema quanto a proteggerlo. Il significato dipende dall’identità di chi opera, dalle sue autorizzazioni e dal contesto.
Un’infrastruttura aperta per la difesa degli agenti
La Open Secure AI Alliance punta a costruire uno stack difensivo modulare, alimentato dai contributi dei diversi membri. Le tecnologie indicate nell’annuncio coprono alcune delle aree più delicate della sicurezza agentica.
NVIDIA mette a disposizione NOOA, NVIDIA Labs Object-Oriented Agent, un framework di ricerca progettato per rendere il comportamento degli agenti più facile da testare, tracciare, sottoporre ad audit e governare. Il progetto lavora sul rapporto tra modello e harness, consentendo di osservare con maggiore precisione come l’agente costruisce le proprie decisioni e utilizza gli strumenti disponibili.
HPE contribuisce a SPIFFE e SPIRE, standard e tecnologie open source per l’assegnazione di identità crittografiche ai workload. Applicati all’AI, permettono di verificare l’identità di agenti e servizi prima di autorizzarli a comunicare o ad accedere alle risorse aziendali. Un principio Zero Trust che diventa essenziale quando dietro una richiesta non c’è una persona, ma un software capace di agire autonomamente.
Hugging Face porta “in dote” Safetensors, un formato per archiviare i pesi dei modelli evitando che il loro caricamento possa provocare l’esecuzione di codice remoto. La società ha offerto il progetto alla PyTorch Foundation, con l’obiettivo di trasformarlo in una componente condivisa dell’ecosistema.
IBM e Red Hat partecipano con Lightwell, destinato a proteggere la supply chain open source attraverso patch firmate digitalmente. Microsoft contribuisce invece con MDASH, un sistema di scansione multi-modello nel quale diversi agenti specializzati collaborano per individuare, discutere e dimostrare la concreta sfruttabilità delle vulnerabilità.
I progetti descrivono una sicurezza distribuita lungo l’intero ciclo di vita: dalla memorizzazione dei pesi all’identità dell’agente, dall’analisi del codice alla correzione delle vulnerabilità, fino alla registrazione delle azioni compiute.
La sicurezza diventa anche una questione di sovranità
L’alleanza presenta i modelli aperti come strumenti di difesa, trasparenza e controllo sovrano. Un’organizzazione che può eseguire il modello sulla propria infrastruttura conserva la possibilità di decidere dove risiedono i dati, quali registri vengono prodotti, chi può accedervi e quali modifiche applicare al sistema.
Il tema riguarda anche la continuità operativa. Affidare funzioni di sicurezza critiche a un unico servizio proprietario crea una dipendenza dalle sue policy, dalla sua disponibilità e dalla capacità del fornitore di interpretare correttamente la natura delle attività richieste. Un ecosistema multi-vendor permette invece di combinare sistemi diversi e scegliere lo strumento adeguato per ciascuna operazione.
“La sicurezza e l’affidabilità reali dell’AI dipendono dall’intero stack dell’agente — identità, permessi, harness, guardrail, log e valutazione — e non semplicemente dal fatto che i pesi del modello siano aperti o chiusi”, sottolinea NVIDIA.
La posizione dell’alleanza non coincide dunque con un rifiuto dei modelli proprietari. La proposta prevede la coesistenza tra modelli frontier chiusi e aperti, utilizzati in base al livello di controllo, personalizzazione e riservatezza richiesto. Il valore dell’apertura risiede nella possibilità di verificare e modificare il sistema, mantenendo al tempo stesso la capacità di eseguirlo in ambienti controllati.
Un messaggio diretto ai regolatori
La nascita della coalizione arriva mentre negli Stati Uniti cresce il confronto sui rischi legati ai modelli open weight, in particolare quelli sviluppati in Cina. La possibilità di scaricarli e modificarli alimenta il timore che vengano impiegati per automatizzare attacchi, sviluppare malware o individuare vulnerabilità su larga scala.
Tra i partner “della prima ora” non compaiono OpenAI, Anthropic e Google, tre dei principali sviluppatori di modelli proprietari. Le ragioni della loro assenza non sono state indicate, ma il dato assume rilievo nel confronto sull’apertura dei sistemi AI.
Esponenti di OpenAI e Anthropic hanno infatti richiamato l’attenzione sui rischi dei modelli open weight più avanzati: una volta scaricati, questi possono essere modificati per rimuovere le protezioni originarie e impiegati anche per attività dannose, con possibili conseguenze sulla sicurezza nazionale.
Dal canto suo, la Open Secure AI Alliance mette in evidenza il rischio opposto. Se le capacità più avanzate restano concentrate nelle piattaforme di pochi fornitori, aziende e istituzioni dipendono dalle loro policy, dalla disponibilità dei servizi e dai limiti che decidono di applicare. Per la coalizione, la sicurezza richiede quindi un equilibrio tra protezioni contro gli abusi e possibilità, per chi difende i sistemi, di ispezionare e adattare gli strumenti utilizzati.
“I modelli aperti, come qualsiasi tecnologia potente, possono essere utilizzati in modo improprio”, riconosce l’alleanza. “Questi rischi non sono esclusivi dei sistemi aperti e devono essere gestiti ovunque venga impiegata un’intelligenza artificiale avanzata.”
La richiesta rivolta a governi e autorità consiste quindi nell’evitare restrizioni generalizzate e investire in infrastrutture condivise per la difesa: dataset, framework di valutazione, simulatori di attacco e strumenti di red teaming accessibili a una comunità ampia di ricercatori e professionisti.
