Due brutte settimane per Microsoft. Da un lato, il presidente Brad Smith si è trovato a dover rispondere pubblicamente alle contestazioni dei laureati americani, che quest’anno hanno fischiato a più riprese qualsiasi accenno all’AI durante le cerimonie di laurea. Dall’altro, almeno 70 repository open source dell’azienda su GitHub sono stati disabilitati dopo che degli hacker vi avevano iniettato un malware per rubare password agli sviluppatori.
Il saggio di Smith — oltre 3.000 parole pubblicato sul blog ufficiale di Microsoft — nasce da episodi precisi. Studenti di Princeton hanno rifiutato giacche realizzate con l’AI. Il CEO di Google Eric Schmidt è stato fischiato all’Università dell’Arizona. Una presidente universitaria è stata accolta da boati dopo che il sistema AI usato per leggere i nomi dei laureati ne aveva saltati alcuni. Smith ha definito tutto questo “a powerful wake-up call for the tech sector” e ha ammesso senza giri di parole che i timori dei neolaureati sono fondati: l’AI sta automatizzando i compiti tipici delle posizioni entry-level, proprio quelle che i laureati del 2026 stanno cercando. Ha anche riconosciuto la pressione delle aziende a ridurre il personale mentre aumentano gli investimenti in infrastrutture AI — una combinazione che lui stesso ha chiamato “perfect storm” per la classe in uscita dalle università.
Il contesto in cui Smith scrive non è neutro. Nei mesi precedenti, il CEO di Anthropic Dario Amodei aveva detto che l’AI potrebbe eliminare metà dei lavori entry-level. Il CEO AI di Microsoft stesso, Mustafa Suleyman, aveva dichiarato a febbraio che il lavoro su computer “sarà completamente automatizzato da un’AI entro 12-18 mesi”. Goldman Sachs stima che negli USA si perdano circa 16.000 posti di lavoro al mese per colpa dell’automazione. Con queste premesse, il tono entusiasta di molti executive nei discorsi alle cerimonie di laurea non poteva che suscitare reazioni negative. Smith ha risposto proponendo un framework alternativo: non pensare al lavoro come a un titolo, ma come a un insieme di compiti, alcuni automatizzabili, altri potenziabili con l’AI, altri ancora esclusivamente umani. Ha citato cinque competenze che l’AI non può replicare — curiosità, creatività, empatia, comunicazione, coraggio — e ha invitato i giovani ad adattarsi.
I critici hanno smontato rapidamente questa lettura. Il saggio non contiene impegni concreti su programmi di riqualificazione o protezioni per i lavoratori. The Next Web ha sintetizzato il messaggio con efficacia: Smith ha sentito i fischi e ha chiesto ai laureati di abbracciare la matematica che li preoccupava. La stessa settimana in cui il presidente di Microsoft invitava alla fiducia, emergeva la seconda notizia. Almeno 70 progetti open source Microsoft su GitHub sono stati compromessi da un attacco supply chain. Gli hacker hanno violato le credenziali di un contributor Microsoft e hanno modificato il repository Azure Durable Task, inserendo file di configurazione che installavano in automatico un payload malevolo — battezzato Miasma — non appena un developer accedeva al repository tramite un tool di coding AI come Claude Code, Gemini CLI, Cursor o VS Code. Non serviva eseguire nessun comando: bastava aprire il repository. Il worm rubava le credenziali di AWS, Azure, Google Cloud, Kubernetes, npm e GitHub, poi le usava per propagarsi autonomamente agli altri repository sui quali il developer aveva diritti di scrittura.
L’aspetto più preoccupante è la difficoltà di rilevamento: Miasma usava credenziali reali, certificati di sicurezza validi e generava payload diversi per ogni infezione. I normali scanner lo trattavano come un aggiornamento legittimo. A scoprire l’attacco sono stati la società di sicurezza Cloudsmith e il sito OpenSourceMalware. Microsoft ha confermato di aver rimosso i repository e di aver notificato un numero limitato di clienti che potrebbero aver scaricato il codice compromesso. Alcuni repository sono stati ripristinati dopo verifica, altri restano offline. Si tratta della seconda violazione in poche settimane: a maggio era già stato colpito il progetto Durable Task, e i ricercatori non escludono che l’ultimo episodio sia una ri-compromissione dello stesso vettore — il che suggerirebbe che la prima bonifica non fosse stata completa.
Le due vicende, in apparenza separate, fotografano la stessa tensione. Microsoft è impegnata a convincere il mondo che l’AI è affidabile e benefica, mentre la sua infrastruttura open source viene bucata due volte nello stesso mese e le nuove generazioni di lavoratori fischia ai suoi dirigenti durante le cerimonie di laurea. La risposta della comunità tecnica agli attacchi supply chain sarà probabilmente più rapida: rotazione delle credenziali, revisione delle dipendenze, maggiore cautela sugli aggiornamenti automatici. Più lento sarà il recupero della fiducia pubblica — e nessun saggio, per quanto lungo, può sostituire scelte concrete su occupazione e trasparenza.
