Sandro Sana : 16 Settembre 2025 14:36
La notizia è semplice, la tecnologia no. Chat Control (CSAR) nasce per scovare CSAM e dinamiche di grooming dentro le piattaforme di messaggistica. La versione “modernizzata” rinuncia alla backdoor server-side e sposta la lente sul dispositivo dell’utente: client-side scanning prima che il contenuto venga cifrato end-to-end.
È qui che si giocano i due piani della vicenda: da un lato capacità investigativa e disarticolazione dei canali illegali; dall’altro erosione della confidenzialità e un’infrastruttura di controllo pronta per essere allargata. Wired Italia ha messo in fila i punti caldi, noi entriamo sotto il cofano.
Il modello operativo tipico prevede tre stadi, tutti on-device: a) confronto del contenuto con impronte percettive (perceptual hashes) di materiale già noto; b) inferenza ML per segnalare nuovi contenuti (immagini/video mai visti prima) con caratteristiche compatibili col CSAM; c) NLP per rilevare schemi linguistici riconducibili a grooming. Il punto chiave è l’uso di hash percettivi (es. PDQ/TMK) in grado di “riconoscere” una foto anche se scalata, compressa o leggermente ritagliata: tecnicamente potente, ma statisticamente mai infallibile.
Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)?Stiamo per avviare il corso intermedio in modalità "Live Class" del corso "Dark Web & Cyber Threat Intelligence". A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente. Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato. Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile. Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected]  Supporta RHC attraverso:
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Quando si passa dal matching deterministico su materiale noto al “nuovo sospetto” tramite modelli probabilistici, si entra in un dominio dove falsi positivi e bias diventano costi d’esercizio. La letteratura indipendente sul client-side scanning lo definisce una superficie d’attacco aggiuntiva: modelli, liste e scanner diventano codice sensibile distribuito in miliardi di endpoint, quindi estraibile, manipolabile, reverse-ingegnerizzabile.
La proposta della Commissione (COM(2022) 209) istituisce valutazioni del rischio per i provider, la possibilità di emanare ordini di rilevazione mirati, obblighi di reporting verso un EU Centre e cooperazione con le autorità nazionali. Tradotto: lo strato “tecnico” è incapsulato in una catena procedurale con ruoli e responsabilità definite; lo strato “politico-regolatorio” decide quando e quanto spingere la scansione. In caso di inadempienza, sanzioni significative.
I garanti UE (EDPB/EDPS) segnalano però un rischio di scansione generalizzata de facto: se l’ordine diventa ampio, opaco o reiterato, la soglia da misura mirata a screening di massa è breve. La critica è netta su proporzionalità, compatibilità con la Carta e inefficacia tecnica nel rilevare “nuovo CSAM” senza errori a cascata.
Settembre-ottobre 2025 sono snodi decisivi al Consiglio UE: alcuni Stati (tra cui Germania e Lussemburgo) hanno formalizzato contrarietà alla scansione obbligatoria, altri spingono la linea “compromesso danese”. Anche con un’intesa in Consiglio, si andrebbe poi al trilogo con un Parlamento molto più scettico su CSS. Per i team di sicurezza significa una cosa pratica: architetture e roadmap potrebbero dover considerare scenari opposti a distanza di poche settimane
Sul piano strettamente operativo, la scansione on-device può accorciare la latenza tra comparsa di un contenuto illecito e segnalazione qualificata, soprattutto sui “noti” grazie a hash percettivi robusti a trasformazioni comuni. Standardizzare l’invio di indicatori e metadati tecnici all’EU Centre può migliorare la de-duplicazione, la prioritizzazione dei casi e il takedown cooperativo cross-giurisdizione. Risultato: interruzione più rapida di gruppi e canali chiusi che oggi prosperano sul “tempo tecnico” della scoperta. ar5iv+1
La stessa pipeline introduce un by-pass sistemico all’end-to-end: il contenuto vive “in chiaro” sul device in presenza di uno scanner privilegiato. Se quegli artefatti (modelli, liste, logiche di soglia) sono aggiornati da remoto, servono canali di update attestate e integrità verificabile; altrimenti stiamo aggiungendo un percorso privilegiato dentro il perimetro utente. Qui non parliamo solo di privacy: è security engineering. Le analisi accademiche avvertono che il CSS amplia la superficie d’attacco (manomissione modelli, evasion, data exfiltration) e sposta la fiducia dal protocollo crittografico alla supply chain dello scanner. Nel frattempo, gli utenti imparano a scrivere diversamente (autocensura), e i falsi positivi diventano costi sociali e giudiziari reali.
Nota storica utile: quando nel 2021 Apple propose un sistema ibrido di rilevazione CSAM con matching on-device, la comunità tecnica e i garanti sollevarono obiezioni analoghe; l’azienda congelò il rollout. È un precedente che mostra quanto sia fragile l’equilibrio tra tutela e sorveglianza quando si sposta il controllo sul client.
La stessa medaglia cambia faccia in base a quattro variabili tecniche e procedurali: scope, targeting, trasparenza, auditabilità.
Finché lo scope resta limitato a materiale noto (matching su hash percettivi certificati), gli ordini di rilevazione sono strettamente circoscritti e temporalmente limitati, la trasparenza include metriche pubbliche su TPR/FPR e drift dei modelli, e il tutto è auditabile da terze parti con controllo indipendente del database e garanzie di ricorso per i segnalati, possiamo parlare di strumento di tutela. Nel momento in cui lo scope scivola sul predittivo generalizzato (AI che interpreta il testo), la durata diventa permanente, l’algoritmo e le liste sono opache e non revisionabili, e le sanzioni spingono i provider a forzare l’E2EE, l’ago supera la soglia: la misura diventa infrastruttura di sorveglianza. Gli stessi organismi UE hanno scritto nero su bianco che il rischio è concreto.
Se l’obiettivo è chiudere canali illegali, il client-side scanning offre vantaggi tattici difficili da negare. Ma a livello architetturale introduce un punto d’ispezione privilegiato dentro i device, traducendo un problema penale in un rischio sistemico per la confidenzialità delle comunicazioni e per l’igiene dell’ecosistema E2EE. La differenza tra strumento e sorveglianza non è semantica: è ingegneria + governance. Selettività, proporzionalità verificabile, metriche pubbliche di errore, audit indipendenti e diritti di difesa sono l’unico modo per restare sul lato giusto della medaglia. Tutto il resto è un pendio scivoloso, e l’Europa lo sa, perché gliel’hanno ricordato i suoi stessi garanti.
Sandro SanaSarebbe fantastico avere un agente AI capace di analizzare automaticamente il codice dei nostri progetti, individuare i bug di sicurezza, generare la correzione e pubblicarla subito in produzione. Epp...
La disillusione nei confronti degli incontri online spinge sempre più le donne a cercare intimità emotiva nel mondo virtuale. Sempre più donne si rivolgono all’intelligenza artificiale, ovvero ai...
Una falla critica di 13 anni, nota come RediShell, presente in Redis, permette l’esecuzione di codice remoto (RCE) e offre agli aggressori la possibilità di acquisire il pieno controllo del sistema...
Se n’è parlato molto poco di questo avvenimento, che personalmente reputo strategicamente molto importante e segno di un forte cambiamento nella gestione delle vulnerabilità non documentate in Ita...
Autore: Inva Malaj e Raffaela Crisci 04/10/2025 – Darkforums.st: “303” Rivendica Data Breach di 9 GB su Apple.com Nelle prime ore del 4 ottobre 2025, sul forum underground Darkforums è comparsa...
