#523 – Mythos: La sicurezza informatica non è un affare privato.

Per la serie “Saturday night dance”.

Sono in treno, sto tornando da un evento in una delle città più romantiche d’Italia, il viaggio è relativamente breve ma sono stanco, è stata una giornata molto soddisfacente ma anche molto faticosa. Decido di spegnere il cervello.

Di fianco a me, dalla parte opposta dei bro, c’è un signore col giornale. Sì, un vecchio giornale cartaceo, non sto scherzando. Non ho potuto esimermi dallo sbirciare, erano anni che non ne vedevo uno, quando ero piccolo mia nonna li usava per accendere la stufa.

L’attenzione mi cade su una notizia scritta in grande all’inizio della pagina e sugli articoli di approfondimento che la riempiono.

“Troppo potente per un rilascio pubblico: Anthropic limita Mythos a 40 aziende”

“Troppo potente per essere reso pubblico. Così Anthropic ha definito il suo nuovo modello AI, Claude “Mythos”, […] questo rappresenterebbe un vero e proprio “salto di livello” rispetto ai suoi predecessori, con prestazioni migliorate nelle attività di “ragionamento, programmazione e sicurezza informatica”, […] una delle caratteristiche distintive di Claude Mythos: la capacità di identificare e correggere in autonomia le vulnerabilità presenti nel proprio codice, definita come “recursive self-fixing”, […] Una funzionalità decisamente avanzata, che dimostra l’intenzione di Anthropic di rendere i software di sua produzione sempre più automatizzati, ma che al tempo stesso preoccupa gli esperti di sicurezza. Le vulnerabilità identificate dall’intelligenza artificiale, infatti, potrebbero contribuire a limitare i cyberattacchi, così pure aiutare i criminali informatici a metterne a segno di nuovi e sempre più evoluti, […] (Mythos) potrebbe facilitare gli attacchi informatici consentendo agli agenti AI di agire in modo autonomo con un alto livello di competenza”.

Il primo articolo che seguiva non era altro che la lista pubblica dei poveracci che avevano subito un attacco informatico in Italia, ultimo dei quali ITA Airways. Mi sono domandato il perché di tanto accanimento mediatico.

La spiegazione l’ho avuta leggendo l’articolo successivo, che mi ha aperto un mondo e mi ha riportato alla mia riflessione sulla costituzione, che non è ancora giunta a compimento, ma che presto lo sarà.

Un avvocato scrive che, nei fatti, in Italia, se subisci un furto informatico la colpa è tua, perché non ti sei difeso abbastanza bene. Non ci posso credere.

Il signore, che ha letto tutto voracemente gira infine la pagina, io rimango con il tarlo, non avrei dovuto sbirciare, così riapro il Mac.

Parto dalla normativa. Dopo un quarto d’ora di lettura e ricerca sono sostanzialmente d’accordo con l’avvocato. Mi sembra una follia. Viene richiesto a chiunque abbia un computer connesso in rete di avere una sicurezza privata che lo difende.

Ognuno di noi vive in una casa. Un giorno rientriamo e scopriamo che un ladro ha forzato la serratura ed è entrato in casa nostra, ha messo tutto a soqquadro, ci ha rubato il braccialetto d’oro della prima comunione e 100 euro in contanti.

La sensazione di violenza subita è terribile, la nostra intimità domestica è violata, il trauma resterà per molto tempo, oltre al danno, che a volte, nel tempo, risulterà essere il problema minore. Andiamo alla polizia e denunciamo, senza molte speranze, il furto.

Ho capito, invece, che nel caso della sicurezza informatica la situazione è diversa. Gli attacchi provengono quasi sempre dall’estero e sono massicci e continui. Non si tratta di isolate bande di quartiere composte da qualche balordo, ma di strutture organizzate residenti in Stati esteri.

La risposta dello Stato italiano è la Postale, che altro non è che una parte della polizia, che è reclutata, ragiona, parla e agisce come se affrontasse gli stessi criminali delle altre sezioni e poi c’è il Garante della privacy…

Per farla breve, dopo un furto informatico, invece di cercare il criminale, le istituzioni ispezioneranno il derubato che diventa a sua volta colpevole. Quest’ultimo infatti ha l’obbligo, per legge, di creare una difesa impenetrabile agli attacchi informatici.

Nel nostro esempio sarebbe come dire che una volta subito il furto in casa, la polizia condannasse il proprietario per non aver montato l’ultimo modello di serratura. Immaginatevi, seduti sul vostro divano, derubati, con i poliziotti che vi danno una multa di quarantamila euro per “scarsa difesa”. Non sto scherzando, questo è l’ammontare reale delle multe, che aumenta poi se la vostra casa non è un bilocale ma cresce di superficie o di valore… Più leggo e più mi sento spiazzato. Cornuti e mazziati.

Allora ripenso alla notizia. Ma come possono i cittadini e gli imprenditori difendersi da soli di fronte a minacce come quelle di Mythos di Anthropic?

Semplicemente non possono.

Gli Stati, però, ribaltano la loro responsabilità di difesa del territorio sui cittadini. Ma la sicurezza informatica non è forse pubblica sicurezza?

Deve essere il privato cittadino (o l’imprenditore) a organizzare una sorveglianza privata di fronte a casa per evitare che un camion di militari arrivi dall’estero per ammazzarlo e prendergli i suoi beni e la sua vita?

Ma questo non succede nella vita reale in Europa, perché quel camion, nella quasi totalità dei casi, sarebbe intercettato e annientato, dall’esercito o dalla polizia, prima di arrivare a destinazione.

Allo stesso modo dovrebbe funzionare la sicurezza informatica, che non può essere demandata ai singoli cittadini, come nel Far West, ma deve essere difesa dallo Stato, come questo difende l’ordine pubblico.

Le ragioni sono evidenti credo: la scala, le disponibilità economiche, i valori, le modalità per farlo non possono essere diverse tra loro e soprattutto demandate ai cittadini.

Questa sembra un’altra scorciatoia per un’etica vigente che per nessun motivo vuole modificare lo status quo. Ma prima o poi sarà lo status quo a crollare permettendo l’ingresso di una nuova etica. Resta soltanto da chiedersi quanto tempo ci vorrà. Secondo me non serviranno decenni, ma un noto ministro della giustizia del passato ha appena dichiarato, durante un incontro nelle scuole, che l’intelligenza artificiale non cambierà quasi niente nel nostro sistema sociale.

Temo che ai boomer che governano, quando succederà il disastro, non potremo nemmeno addebitare la cattiva fede, perché il treno non lo avranno proprio visto arrivare, come quando tua moglie ti lascia, se ne va con un altro e ti notifica con le valigie sulla porta.

Comunque oggi è sabato sera, il treno è arrivato in stazione, sono stanco, ma questo non mi impedirà di uscire qualche ora coi bro per non addormentarmi sul divano. Ho deciso di camminare dalla stazione fino a casa, la temperatura è clamorosa, né troppo caldo né troppo freddo e il centro con questa luce è bellissimo.

È sabato sera, non c’è una nuvola e le stelle brillano alte nel cielo, metto gli auricolari, esco e mentre le conto inizio a ballare. Let’s dance.

Correva l’anno 2014

One Republic – Counting Stars