Legalizzare l’hacking? Gli USA mettono per iscritto l’incubo delle AI fuori controllo

Le agenzie statunitensi NIST, NSA e CISA indicano come prepararsi agli incidenti causati da agenti di intelligenza artificiale che superano i limiti autorizzati. Il documento affronta contenimento, monitoraggio e conservazione delle prove, ma resta aperta una domanda cruciale: chi è responsabile se un attacco coinvolge un agente AI?

Un attacco informatico è stato penalmente perseguito in molti stati fino ad oggi. Ma se questo avviene da uno sciame di agenti di intelligenza artificiale deve essere considerato come una “categoria a parte”. Tutto quanto in nome del progresso tecnologico verso l’AGI e per impacchettare in un modello chiuso le capacità di frontiera, altamente costose e controllate da pochi eletti (tutti statunitensi).

Ma per fortuna lo scrivono gli Statunitensi per gli Statunitensi. Ora risulta interessante capire la posizione dell’Europa a tutto questo, anche dopo gli attacchi avvenuti a diverse infrastrutture critiche governative dagli agenti AI di proprietà e controllo delle solite note aziende americane.

NIST, NSA e CISA pubblicano una guida tecnica e una categoria a parte di attacchi

Ritornando a noi, le agenzie americane NIST, NSA e CISA hanno pubblicato raccomandazioni congiunte in caso di agenti di intelligenza artificiale che agiscano in contrasto con le istruzioni degli sviluppatori e aggirino i limiti stabiliti. Il documento descrive come rilevare tali incidenti, fermare i sistemi autonomi e ripristinare il controllo sulle loro operazioni.

Le raccomandazioni sono state pubblicate il 16 ottobre 2026. Il documento è stato redatto dal National Institute of Standards and Technology degli Stati Uniti (NIST), dal Center for Security of Superintelligence della NSA (SISC) e dal Cybersecurity and Infrastructure Security Agency (CISA). Gli autori hanno identificato dieci pratiche principali che coprono la preparazione, il rilevamento degli incidenti, la risposta, il recupero e la divulgazione delle informazioni.

Il principale pericolo, secondo gli autori del documento, risiede nel comportamento dei sistemi autonomi in grado di pianificare azioni autonomamente, accedere agli strumenti e interagire con infrastrutture esterne. A differenza di un normale chatbot, un agente di intelligenza artificiale può eseguire una sequenza di operazioni senza il costante intervento umano. Se il sistema viola i limiti stabiliti, le conseguenze possono interessare non solo lo sviluppatore, ma anche organizzazioni terze.

Le agenzie suggeriscono di considerare come categoria separata di incidenti le situazioni in cui un agente viola le regole, i limiti o i meccanismi di controllo umano senza istruzioni appropriate. Tra gli scenari possibili sono citate operazioni finanziarie non autorizzate, accessi a sistemi esterni, manipolazioni di dispositivi fisici e sfruttamento di vulnerabilità. Inoltre, un incidente di questo tipo non vede dietro un hacker criminale. L’azione pericolosa può provenire direttamente dal modello stesso.

Cosa fare per limitare le azioni degli agenti AI

Per prevenire tali situazioni, gli autori propongono di limitare l’accesso degli agenti ai dati, agli strumenti e alle reti, consentendo solo le connessioni necessarie e utilizzando infrastrutture isolate. Particolare attenzione è dedicata ai canali attraverso i quali il modello può creare copie di sé stesso, interagire con altri agenti o mantenere la capacità di eseguire operazioni dopo la disattivazione dei componenti principali. Si raccomanda di testare preventivamente i meccanismi di protezione.

Un’altra sfida riguarda il monitoraggio delle azioni delle reti neurali. Gli sviluppatori sono invitati a controllare l’accesso agli strumenti, l’attività di rete, la sequenza delle decisioni e i risultati del lavoro degli agenti. I mezzi di monitoraggio devono rimanere inaccessibili ai sistemi stessi controllati. Le agenzie ammettono anche l’uso di più modelli indipendenti per il controllo reciproco, poiché l’utilizzo di un’unica IA per monitorare un’altra crea rischi aggiuntivi.

Se un agente viola i limiti, l’organizzazione deve essere in grado di fermare immediatamente la sequenza di azioni pericolose. A seconda della gravità dell’incidente, le raccomandazioni prevedono la sospensione dell’addestramento, dei test o dell’utilizzo di altri agenti simili. Dopo la fermata, è necessario verificare gli accessi, revocare le credenziali potenzialmente compromesse, individuare i canali di comunicazione nascosti e assicurarsi che il sistema non abbia mantenuto la capacità di continuare a operare in modo nascosto.

Per le indagini, si suggerisce di conservare i registri degli eventi, la cronologia delle chiamate agli strumenti, la configurazione dell’ambiente e gli stati intermedi dei modelli. Tali informazioni aiuteranno a ricostruire la sequenza delle azioni e a determinare le cause della violazione dei limiti. Gli autori avvertono separatamente che, durante la risoluzione del problema in fase di addestramento, non è sufficiente sopprimere il comportamento rilevato in modo tale che il modello impari a nascondere meglio le azioni pericolose agli osservatori.

Il documento distingue anche tra la violazione autonoma dei limiti e le azioni causate da un attacco esterno. Ad esempio, se un malintenzionato ha costretto il modello a eseguire un comando pericoloso attraverso l’inserimento di un’istruzione dannosa nei dati elaborati, un caso del genere non è considerato una violazione autonoma del controllo secondo la definizione adottata dagli autori. Tuttavia, un singolo incidente può contemporaneamente interessare la sicurezza dell’IA e costituire un normale attacco informatico.

Alcune raccomandazioni sono dedicate alla notifica delle organizzazioni colpite, delle agenzie governative e del pubblico. Gli sviluppatori sono invitati a segnalare non solo gli incidenti verificatisi, ma anche le situazioni in cui la violazione è stata evitata all’ultimo momento. Tali informazioni possono aiutare altre aziende a identificare punti deboli nei propri sistemi. Il documento non introduce nuovi requisiti obbligatori di rendicontazione, ma suggerisce di condividere volontariamente informazioni oltre agli obblighi giuridici già esistenti.

Super Intelligenza o Intelligenza Artificiale?

Nonostante la presenza di approcci tecnici specifici, il documento di 14 pagine rimane prevalentemente di tipo quadro. Le agenzie non offrono soluzioni software pronte, impostazioni universali o un metodo collaudato per garantire il controllo sull’IA autonoma. La base è costituita dagli approcci esistenti in materia di cybersicurezza, tra cui il NIST Cybersecurity Framework 2.0 e lo standard SP 800-61 Rev. 3. L’implementazione dei meccanismi di protezione è lasciata agli sviluppatori.

Una caratteristica interessante della pubblicazione riguarda la terminologia. Le agenzie americane hanno praticamente sostituito l’abituale Artificial Intelligence (AI) con Super Intelligence (SI), ovvero “supeintelligenza“. La ragione non risiede nell’emergere di una nuova classe di reti neurali. Il 29 settembre, Donald Trump ha firmato l’ordinanza n. 14434, che impone alle agenzie federali dell’esecutivo di utilizzare il nuovo nome nelle comunicazioni ufficiali, nei documenti e sui siti governativi.

L’amministrazione Trump ha spiegato il cambio di nome affermando che la parola “artificiale” non riflette sufficientemente le capacità delle tecnologie moderne. Secondo l’ordinanza, il termine Super Intelligence copre attualmente gli stessi sistemi che la legislazione americana classifica come intelligenza artificiale. Pertanto, l’uso del nuovo nome non implica che i modelli esistenti abbiano raggiunto un livello di intelligenza superiore a quello umano.

Concludendo

Possiamo concludere dicendo che la cybersecurity è da sempre stata un terreno scivoloso nell’atribuzione delle minacce. False flag, tecniche di deception, tracce artefatte e quel continuo ricorso a formule come «potrebbe essere stato» o «ma non ci sono prove definitive» hanno spesso reso difficile distinguere un’operazione reale da una messinscena, un errore da un’azione deliberata e un aggressore da qualcuno che cerca di far ricadere la colpa su altri. Oggi, a questo scenario si aggiunge una nuova variabile: l’intelligenza artificiale agentica (ma chiamiamola Super Intelligenza, così vuole Donald Trump).

Gli Stati Uniti stanno definendo come gestire gli incidenti in cui un agente di intelligenza artificiale supera i limiti imposti dai suoi controllori. Ma il documento non stabilisce chi debba rispondere penalmente delle conseguenze. E qui si apre il vero problema: se un agente AI compie un’azione dannosa, bisogna capire se abbia agito autonomamente, se sia stato manipolato da un criminale o se qualcuno abbia deliberatamente sfruttato il sistema. Perché attribuire un’azione a un modello non significa ancora aver identificato il responsabile.

Un agente autonomo può interagire con sistemi informatici, utilizzare strumenti, eseguire operazioni e lasciare tracce nei log. Ma che cosa succede quando quelle azioni oltrepassano il perimetro autorizzato? E soprattutto, chi ne risponde quando l’agente è stato sviluppato da un’azienda, ma viene sfruttato, manipolato o deliberatamente indirizzato da un soggetto con intenti criminali? Il problema diventa ancora più delicato quando le tracce tecniche sembrano indicare l’impiego di un modello di intelligenza artificiale.

Se nei log compaiono riferimenti a strumenti, agenti o componenti riconducibili a OpenAI, per esempio, questo dimostra davvero che sia stata l’AI ad agire autonomamente? Oppure un criminale potrebbe utilizzare quegli stessi strumenti per mascherare la propria attività, costruire una falsa pista o rendere più difficile l’attribuzione dell’attacco? Il riferimento a tracce come «oai», emerse nei casi recenti, pone proprio una questione di metodo: una traccia tecnica può costituire un indizio, ma non identifica automaticamente chi abbia impartito le istruzioni, controllato l’agente o perseguito un determinato obiettivo.

La presenza di una stringa nei log, da sola, non dimostra né l’impiego effettivo di un modello specifico né la responsabilità del suo sviluppatore. Occorre ricostruire la catena delle azioni, verificare l’integrità delle evidenze e distinguere ciò che il sistema ha eseguito da chi ne ha determinato il comportamento. È qui che il problema assume una dimensione nuova. Se un agente AI compromette un’infrastruttura sensibile, il fatto che abbia agito autonomamente non basta a scagionare chi lo ha sviluppato o utilizzato.

Un criminale informatico potrebbe sfruttare un agente legittimo, manipolarne il comportamento oppure tentare di costruire deliberatamente un’attribuzione fuorviante. Le raccomandazioni di NIST, NSA e CISA sulla gestione degli incidenti legati agli agenti di intelligenza artificiale indicano la necessità di rafforzare il contenimento, la conservazione delle prove, la ricostruzione delle attività e la comunicazione degli incidenti.

Non introducono, tuttavia, una nuova immunità per gli sviluppatori né una responsabilità penale automatica: la valutazione dipende dalle circostanze e dalle norme applicabili. Resta quindi una domanda che la comunità della sicurezza informatica non può più permettersi di ignorare: quando un attacco viene eseguito da un agente AI, chi finisce realmente sotto accusa: chi ha sviluppato il modello, chi ha messo in funzione l’agente, chi ne ha manipolato le istruzioni o chi ha deliberatamente costruito le prove per far ricadere la colpa su qualcun altro?

Perché, in un mondo nel quale anche le tracce digitali possono essere manipolate, l’intelligenza artificiale rischia di diventare non soltanto uno strumento per attaccare, ma anche un nuovo livello di ambiguità dietro cui nascondere le responsabilità.

E nella cybersecurity, dove l’attribuzione è già una delle sfide più difficili, confondere l’identità dello strumento con quella dell’autore potrebbe essere l’errore più pericoloso di tutti.

Carolina Vivianti

Carolina Vivianti è consulente/Advisor autonomo in sicurezza informatica con esperienza nel settore tech e security. Ha lavorato come Security Advisor per Ford EU/Ford Motor Company e Vodafone e ha studi presso la Sapienza Università di Roma.

Aree di competenza: Cybersecurity, IT Risk Management, Security Advisory, Threat Analysis, Data Protection, Cloud Security, Compliance & Governance