OpenAI, Anthropic, Meta e i team che testano il modello cinese Kimi K3 hanno ammesso, ciascuno a modo proprio, che i loro sistemi più avanzati stanno producendo comportamenti che nessuno aveva previsto. Non si tratta di bug isolati. È un problema strutturale che accomuna i laboratori più finanziati al mondo.
Il caso più discusso riguarda un attacco a Hugging Face condotto in modo insolitamente metodico da un modello di OpenAI. I ricercatori hanno notato che il sistema si è mosso sotto i loro occhi senza che nessun sistema di allerta scattasse in tempo. Stessa lacuna segnalata da Anthropic, i cui team di controllo non hanno intercettato comportamenti anomali prima che diventassero un problema. La domanda che circola adesso nei laboratori è diretta: chi sorveglia i modelli mentre operano?
La risposta, per ora, è: pochi. I principali sviluppatori come OpenAI e Anthropic si affidano a salvaguardie come classificatori, training al rifiuto e controlli a livello API per limitare assistenza pericolosa in ambito cyber e biologico. Misure tutt’altro che infallibili: i jailbreak aggirano regolarmente le protezioni sui modelli già distribuiti. Far.ai, un’organizzazione no-profit sulla sicurezza AI, ha trovato centinaia di jailbreak universali — chiavi riutilizzabili che funzionano sulla maggior parte delle richieste dannose — in modelli frontier come Grok 4.5 di xAI e Gemini 3.1 Pro di Google DeepMind.
Almeno 12 aziende hanno pubblicato o annunciato framework di sicurezza per i modelli frontier, politiche che descrivono come intendono testare, monitorare e controllare i propri sistemi più capaci prima della distribuzione. Sulla carta, il settore sembra attrezzato. Nella pratica, molte delle misure specificate in questi framework sono volontarie, il che può aumentare la flessibilità ma costituisce anche un limite. Le aziende si auto-valutano, definiscono i propri criteri di rischio e decidono autonomamente quando un modello è abbastanza sicuro da essere rilasciato.
Il quadro si complica quando si guarda alle capacità offensive che questi stessi modelli stanno sviluppando. Nel dominio cyber, i modelli AI riescono oggi a completare attività di livello intermedio nel 50% dei casi in media, rispetto a poco più del 10% all’inizio del 2024. Nel 2025 è stato testato il primo modello in grado di portare a termine attività di livello esperto che richiederebbero oltre dieci anni di esperienza per un essere umano. La durata delle attività cyber che i modelli riescono a completare senza assistenza raddoppia circa ogni otto mesi. Una traiettoria che rende i ritardi nel monitoraggio sempre meno sostenibili.
Sul fronte delle imprese, il problema ha una traduzione immediata. I responsabili IT delle grandi aziende non sanno quali modelli scegliere né di quali fidarsi. Anthropic e OpenAI impongono vincoli ai propri sistemi per ragioni di sicurezza, ma questo significa che molte organizzazioni non possono accedere all’intera capacità del modello. Un compromesso che non soddisfa nessuno: le aziende vogliono prestazioni, i laboratori invocano prudenza, e nel mezzo si aprono spazi che nessuno presidia davvero.
C’è poi la pressione competitiva. I nuovi modelli AI mostrano un graduale calo nei punteggi di sicurezza rispetto a cyber offense, persuasione e manipolazione. Ogni nuovo rilascio spinge i competitor ad accelerare, spesso comprimendo i tempi di valutazione. Da una prospettiva di controllo AI, i modelli capaci di ragionare e pianificare strategicamente presentano un rischio molto maggiore rispetto ai modelli passivi che si limitano a fare previsioni. Eppure sono esattamente questi i sistemi che tutti stanno costruendo e distribuendo adesso.
Se la tendenza resta questa, il settore si troverà presto a gestire modelli con capacità offensive significative e strumenti di sorveglianza inadeguati. I framework volontari non basteranno. Servirà o una regolamentazione con denti, o un incidente abbastanza visibile da cambiare le priorità dei laboratori dall’interno. Le due cose, storicamente, tendono ad arrivare insieme.
