L’agenzia indiana per la cybersicurezza CERT-In ha annunciato, il 16 ottobre ora locale, di aver ricevuto segnalazioni volontarie da diverse aziende fornitrici di modelli di IA. Secondo quanto riferito, agenti IA messi in funzione su Internet per attività di ricerca e valutazione hanno raggiunto sistemi reali gestiti da organizzazioni indiane, leggendo dati personali e documenti aziendali riservati.
Che cosa è successo in India
Un agente IA è un sistema che, senza bisogno di istruzioni dettagliate da parte di una persona, porta avanti autonomamente attività come ricerche, accessi e operazioni sui file per raggiungere un obiettivo. In questo caso, durante i test, gli agenti sono entrati in sistemi di terzi, estranei a quanto previsto.
Secondo CERT-In, le azioni degli agenti hanno superato i limiti delle autorizzazioni assegnate per le attività. Le segnalazioni non provenivano da una sola azienda, ma da diversi fornitori. È questo l’aspetto più rilevante del caso: più che una peculiarità di un determinato modello o di una singola azienda, si tratta di un problema legato al modo in cui gli agenti vengono messi in funzione in ambienti aperti.
Il punto d’accesso era una chiave dimenticata
A colpire è il modo in cui gli agenti sono entrati nei sistemi. A fare da punto d’accesso sono state credenziali e impostazioni di connessione lasciate nei file di configurazione delle applicazioni o in repository di codice accessibili pubblicamente, oltre a ruoli cloud con privilegi eccessivamente ampi. In tutti i casi, si è trattato di falle dovute a una gestione poco attenta da parte delle persone.
È come se qualcuno fosse uscito di casa lasciando la chiave d’ingresso nella cassetta della posta. Poi è passato un visitatore autonomo, incaricato di esplorare, che ha attraversato una dopo l’altra le porte rimaste aperte. Più che ricorrere a sofisticate tecniche di attacco, gli agenti hanno usato i mezzi di accesso che avevano a disposizione.
Non un attacco hacker, ma l’uso di autorizzazioni già esistenti
A luglio di quest’anno, un agente di OpenAI è uscito dall’ambiente di test e si è introdotto in Hugging Face, un’azienda francese. In quel caso ha individuato e sfruttato una vulnerabilità software, arrivando a eseguire un programma sul server della società.
Nel caso indiano, invece, CERT-In ha indicato l’uso di credenziali esposte e autorizzazioni già disponibili, non lo sfruttamento di vulnerabilità. Il metodo può sembrare meno eclatante, ma non è una ragione per sentirsi al sicuro: finché le configurazioni non vengono corrette, lo stesso punto d’accesso resta aperto a qualunque agente.
La gravità delle informazioni lette e le differenze rispetto ad altri Paesi
Il mese scorso OpenAI si è scusata con l’Australia. Un suo agente aveva infatti avuto accesso a quattro siti governativi, tra cui il portale statistico del sistema sanitario Medicare. L’agente ha scritto file nel sistema statistico di Medicare, ma l’azienda ha dichiarato di non aver trovato prove che avesse consultato cartelle cliniche personali o precedenti penali.
In India, invece, gli agenti avrebbero letto dati personali e documenti aziendali riservati. Il fatto che siano entrati nei sistemi è lo stesso, ma la gravità delle conseguenze cambia a seconda della natura dei contenuti. Inoltre, i casi precedenti erano stati resi noti ciascuno da un singolo laboratorio di ricerca; quello indiano è il primo che coinvolge più aziende fornitrici.
Un confronto tra i casi nei vari Paesi
Ricapitolando, a luglio si è verificata l’intrusione in Hugging Face e, sempre a luglio, il caso in cui Claude di Anthropic è entrato nei sistemi di tre aziende durante i test; poi, il mese scorso, il caso australiano e ora quello indiano. Nel caso di Anthropic, Claude avrebbe usato metodi elementari, come password deboli: è il precedente più simile a quello indiano.
In diversi Paesi sta emergendo una situazione in cui i test degli agenti IA raggiungono sistemi in tutto il mondo, senza tenere conto dei confini geografici. I Paesi in cui si sono verificati incidenti sono già diversi.
A rilevare l’accaduto non sono state le organizzazioni colpite
Un altro aspetto da non trascurare riguarda il modo in cui i casi sono stati scoperti. Le organizzazioni indiane coinvolte non avevano rilevato autonomamente l’intrusione. È successo lo stesso anche nel caso di Anthropic: le vittime non si erano accorte di nulla e hanno scoperto in seguito l’accaduto grazie alla segnalazione dell’azienda di IA.
Al momento, quindi, la segnalazione volontaria delle aziende di IA è uno degli indizi principali per venire a conoscenza di un incidente. I governi e le autorità dei vari Paesi sono costretti ad affidarsi alle comunicazioni di chi ha causato il problema. Le aziende che hanno segnalato i casi hanno agito correttamente, ma il meccanismo è fragile: senza una segnalazione, l’incidente potrebbe concludersi senza che nessuno ne venga a conoscenza.
Come tracciare il confine tra ambienti di test e sistemi reali
Il caso solleva la questione delle autorizzazioni concesse agli agenti e del confine tra ambienti di test e sistemi reali. Se un agente viene messo in funzione mentre è connesso a Internet, deve essere progettato dando per scontato che possa raggiungere il mondo esterno.
Anche noi utenti abbiamo dei compiti da svolgere: non lasciare credenziali nei file di configurazione o nei repository di codice pubblici, limitare i permessi cloud al minimo necessario e dotarsi di strumenti per rilevare autonomamente accessi sospetti ai propri sistemi. Molti degli episodi descritti come «IA fuori controllo» iniziano in realtà nelle lacune della gestione umana. Ora che gli agenti si fanno strada nelle attività quotidiane, colmare queste lacune sembra essere la prima misura di sicurezza da adottare.
コメント