Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
NVIDIA, Palantir e Booz Allen Hamilton stanno limitando l’uso dei modelli AI cloud per i dati più sensibili. Il motivo è semplice: dire che i dati non vengono usati per addestrare l’AI non significa che non vengano conservati nei log. La partita dell’AI aziendale si sposta così su privacy, controllo, audit e conservazione dei dati.
Le più potenti modelli di IA si sono scontrati con un inaspettato limite aziendale: per i grandi clienti non è più sufficiente la promessa di “non addestrare i modelli con i vostri dati”. Palantir, Nvidia e Booz Allen Hamilton hanno iniziato a limitare l’accesso ai modelli avanzati di Anthropic e richiedono garanzie che le richieste di lavoro e le risposte, dopo l’elaborazione, non vengano conservate dal fornitore di IA.
L’edizione The Information ha scoperto che Palantir sta cercando di ottenere da Anthropic una modalità Zero Data Retention (ZDR) non revocabile per i modelli avanzati.
L’azienda non intende offrire Claude Fable attraverso la propria piattaforma ai clienti finché lo sviluppatore non avrà fissato tale condizione nel contratto in modo che la garanzia non possa essere annullata in un secondo momento in modo unilaterale.
La causa del contenzioso è la politica di Anthropic per Claude Fable. Da giugno, l’azienda richiede di default di conservare i log delle interazioni con i modelli più potenti per 30 giorni. Anthropic spiega che questo periodo serve a proteggersi da attacchi complessi e abusi che non possono essere rilevati con una singola richiesta. Al tempo stesso, l’azienda afferma che i dati aziendali non vengono utilizzati per addestrare i modelli senza un accordo separato.
Per i servizi di sicurezza aziendali, la differenza è fondamentale. Il rifiuto di addestrare i modelli non implica il rifiuto di conservare i dati. Nei log possono finire codice sorgente, documenti interni, informazioni sui clienti, vulnerabilità e altri materiali a cui l’accesso è regolato da contratti e politiche interne. Un’analisi pratica dei documenti di lavoro mostra perché il divieto di addestramento da solo non è sufficiente.
Nvidia ha adottato un approccio più cauto e ha lasciato i modelli di Anthropic per compiti con dati meno sensibili, inclusa la lavorazione di codice open source.
Per i progetti interni che coinvolgono informazioni riservate, l’azienda utilizza i propri modelli Nemotron. Paradossalmente, Nvidia sta discutendo al contempo di investimenti significativi in Anthropic in vista di un possibile IPO dello sviluppatore.
Booz Allen Hamilton ha introdotto un limite ancora più restrittivo. Ai dipendenti è stato vietato l’uso della versione commerciale di Claude Fable per lavorare con software chiuso per la cybersicurezza. In precedenza, il contractor utilizzava altri modelli di Anthropic per la ricerca di vulnerabilità, quindi si tratta non di un rifiuto dell’IA in generale, ma di una suddivisione dei compiti in base alla sensibilità dei dati.
Anthropic sta già modificando la propria architettura per soddisfare le richieste dei grandi clienti. A settembre, l’azienda ha presentato Enterprise Frontier Safeguards. Il sistema conserva i log nell’infrastruttura cloud del cliente stesso, sotto le sue chiavi, politiche di accesso e audit, mentre i meccanismi automatici di Anthropic cercano segni di comportamento pericoloso senza obbligare i dipendenti dell’azienda a visionare il contenuto.
Prima del lancio di Enterprise Frontier Safeguards, ai clienti aziendali idonei è stata promessa una ZDR temporanea per Fable 5 e Fable 5.1. Anthropic ha sviluppato lo schema insieme a più di 100 clienti del settore finanziario, sanitario, industriale, delle telecomunicazioni e di altri settori regolamentati. Il lancio graduale del sistema dovrebbe iniziare nell’autunno del 2026.
OpenAI si è trovata di fronte a una richiesta simile del mercato e ad agosto ha esteso la Zero Data Retention per i modelli avanzati. Per i clienti idonei, le richieste API e le risposte dopo l’elaborazione non vengono conservate da OpenAI, mentre il contenuto rimane nell’infrastruttura del cliente. Alcuni meccanismi automatici possono analizzare la sequenza delle azioni senza rivelare i materiali originali ai dipendenti del fornitore.
Microsoft sta cercando di sfruttare le preoccupazioni riguardo alla conservazione dei dati. L’azienda offre ai clienti ambienti cloud isolati e le proprie soluzioni di IA, sperando di attrarre le organizzazioni per le quali le promesse standard dei fornitori dei modelli cloud non sono sufficienti.
Possiamo quindi dire che la competizione si sta spostando dalle semplici capacità dell’IA all’architettura di accesso, conservazione e controllo delle informazioni aziendali.
Il contenzioso rivela un nuovo criterio per l’IA aziendale: la qualità del modello da sola non garantisce più l’accesso ai dati più preziosi dell’azienda. I grandi clienti richiedono di controllare il luogo di conservazione, le chiavi di crittografia, l’audit e la possibilità di visione umana.
È uscito il sesto episodio di Betti-RHC, la serie a fumetti di Red Hot Cyber nata con l'obiettivo di trasformare la cybersecurity awareness in un'esperienza di formazione più semplice, coinvolgente e accessibile. Quello che è nato come un progetto editoriale innovativo è diventato negli anni un vero e proprio corso di cybersecurity awareness a fumetti, adottato da aziende e professionisti per sensibilizzare le persone sui rischi informatici attraverso storie, personaggi ed emozioni. In cinque anni di attività, la serie Betti-RHC ha raggiunto un risultato importante: circa 70.000 copie vendute, a testimonianza dell'interesse crescente delle organizzazioni verso nuovi strumenti per costruire una concreta cultura della sicurezza.
Il sesto episodio porta Betti dentro le nostre case, in un mondo "connesso", dove lampadine, telecamere, assistenti vocali, serrature, sensori ed elettrodomestici intelligenti promettono comfort e sicurezza, ma possono nascondere nuove e insidiose superfici di attacco. Attraverso una nuova avventura, Betti ci accompagna alla scoperta del mondo della domotica e dei dispositivi IoT, mostrando come la poca cautela nell'utilizzo di queste tecnologie possa trasformare oggetti quotidiani in porte d'accesso per chi vuole osservare, controllare o colpire.
Per accompagnare la crescita del progetto abbiamo realizzato il sito ufficiale di Betti-RHC, dove è possibile conoscere meglio la serie, gli episodi e il progetto di cybersecurity awareness sviluppato da Red Hot Cyber. L'obiettivo è continuare a portare la cultura della sicurezza fuori dai tradizionali percorsi formativi standard, utilizzando il linguaggio immediato del fumetto per parlare a dipendenti, professionisti e persone senza competenze tecniche. Per maggiori informazioni su Betti-RHC e sul sesto episodio “Open Mic” è possibile visitare il sito ufficiale: betti.redhotcyber.com.