Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
L’intelligenza artificiale non diventa pericolosa solo quando sbaglia, ma quando smettiamo di mettere in discussione ciò che produce. L’automation bias ci porta a fidarci dei sistemi automatici perché sembrano precisi e affidabili. La soluzione è mantenere il controllo umano attraverso Pausa, Provenienza e Peso: fermarsi, verificare la fonte e valutare ciò che riceviamo.
Un analista SOC approva un alert senza verificarlo davvero. Un team decide di eliminare un controllo umano perché rallenta il lavoro: “Tanto il sistema funziona bene da mesi”. Non sono scenari futuristici. Sono situazioni che possono accadere già oggi, ogni volta che una decisione di sicurezza non viene più presa da una persona, ma da un risultato automatico che nessuno ha più il tempo — o la voglia — di mettere in discussione. Ormai non possiamo fare a meno dell’intelligenza artificiale. E forse non avrebbe nemmeno senso provare a rifiutarla.
La vera scelta è un’altra: vogliamo diventarne semplici adepti o restarne gli autori? Restare autori significa non rinunciare mai alla supervisione umana. Significa ricordare che, quando un sistema influenza le persone o le loro decisioni, il giudizio umano deve continuare a prevalere su qualsiasi esigenza tecnica, produttiva o organizzativa. In questi giorni ho ripensato a Person of Interest. È una serie che ha ormai più di dieci anni, ma che, riguardata oggi, non sembra affatto invecchiata.
La Macchina ideata da Harold Finch nasce con uno scopo preciso: prevenire crimini e salvare vite. Questo è il suo intended purpose, la sua finalità originaria. E, almeno all’inizio, funziona.
Il problema nasce quando qualcuno decide di usare quello stesso potere per uno scopo diverso.
In Person of Interest ci sono due intelligenze artificiali: la Macchina e Samaritan. E, soprattutto, ci sono due modi opposti di rapportarsi alla tecnologia.
Harold Finch non si fida mai completamente della sua creatura. La osserva, la teme, la limita. Ogni giorno cerca di comprenderne le conseguenze e di contenerne l’autonomia. In un certo senso, sottopone la Macchina a una continua forma di valutazione e controllo (conformity assessment).
Finch non pensa che una tecnologia sia buona solo perché è efficace. Sa che l’efficacia, senza limiti e responsabilità, può trasformarsi facilmente in potere incontrollato.
Dall’altra parte ci sono John Greer e Decima Technologies che smettono di farsi domande.
Samaritan sembra avere tutte le risposte, analizza dati, anticipa comportamenti, individua minacce.
E proprio per questo diventa, ai loro occhi, qualcosa di simile a un oracolo, a un Dio.
Questa dinamica ha un nome: automation bias.
L’automation bias è la tendenza a fidarsi troppo di un sistema automatico, soprattutto quando appare affidabile e preciso. È qui che il rischio diventa reale.
Erich Fromm, in Fuga dalla libertà, rifletteva proprio sul peso delle scelte.
Siamo liberi quando siamo anche essere responsabili, accettiamo l’incertezza insieme alla possibilità di sbagliare che spesso ci spaventa così tanto da spingerci a consegnare il nostro giudizio a qualcosa che percepiamo come più sicuro e più competente di noi: l’algoritmo.
C’è una grande differenza tra utilizzare uno strumento e usare quello strumento per riempire un vuoto che avevamo già dentro. Non siamo diventati dipendenti dall’intelligenza artificiale dall’oggi al domani. La difficoltà di convivere con l’incertezza, la fatica di decidere e la paura di commettere errori esistevano molto prima dei chatbot e degli algoritmi generativi.
Daniel Kahneman, in Pensieri lenti e veloci, descrive due modalità del nostro pensiero. Il Sistema 1 è veloce, intuitivo e automatico. Ci aiuta a reagire rapidamente, ma può portarci a semplificare troppo. Il Sistema 2, invece, è lento, riflessivo e più faticoso. È quello che entra in gioco quando analizziamo, verifichiamo, mettiamo in dubbio una prima impressione. L’intelligenza artificiale sembra intercettare perfettamente il nostro desiderio di risparmiare fatica: ci offre una risposta prima ancora che il dubbio si trasformi in domanda.
Ed è proprio qui che si gioca la partita più importante. Non solo sul piano tecnico, ma anche su quello educativo, personale ed etico. Hannah Arendt, filosofa e politologa tedesca, parlando della banalità del male ha messo al centro un concetto fondamentale: il pericolo più grande non nasce sempre dalla cattiveria intenzionale, ma dalla sospensione del pensiero. Arendt chiamava questa condizione thoughtlessness: l’abitudine a non pensare più con la propria testa perché qualcun altro — o qualcos’altro — sembra aver già pensato al posto nostro.
L’IA può diventare uno strumento straordinario. Ma può anche trasformarsi in una scorciatoia per non scegliere, non verificare, non assumerci la responsabilità delle conseguenze.
In Person of Interest c’è un dettaglio che trovo particolarmente significativo: la Macchina ha una regola fondamentale, non sostituirsi completamente alle decisioni umane. Non credo servano né l’entusiasmo ingenuo di chi si affida ciecamente alla tecnologia, né il rifiuto totale di chi la respinge per principio. Aristotele diceva che la virtù sta nel mezzo tra due eccessi. Anche nel rapporto con l’intelligenza artificiale serve una postura equilibrata: possiamo usarla come un alleato competente, veloce e utile, ma non infallibile. Possiamo collaborare con lei, senza consegnarle le chiavi di casa.
Il legislatore europeo è arrivato a una conclusione simile. L’AI Act richiede che i sistemi di IA ad alto rischio siano progettati in modo da consentire una supervisione umana efficace, il cosiddetto human oversight. Non basta che ci sia una persona formalmente incaricata di controllare: quella persona deve essere messa nelle condizioni di comprendere il sistema, intervenire quando serve e restare consapevole del rischio di fidarsi troppo del suo output. In altre parole, non basta avere un essere umano “nel processo”. Serve un essere umano presente, attento e capace di dire: “Aspetta, controlliamo”.
Nell’articolo precedente avevamo lasciato in sospeso una questione importante: prima di qualsiasi software, viene la nostra consapevolezza. È il nostro primo e più importante firewall. Può proteggerci dalla manipolazione, oppure lasciarci esposti a chi vuole influenzarci. Avevo promesso di tornare su un punto concreto: come si allena questa consapevolezza? Propongo un piccolo protocollo che utilizzo anche nelle mie consulenze. Si chiama Pausa, Provenienza, Peso.
Tre passaggi semplici, da applicare ogni volta che riceviamo un contenuto: che arrivi da una persona, da un social network, da una notizia, da un sistema automatico o da un’intelligenza artificiale.
Prima di condividere qualcosa, rispondere a un messaggio, modificare un’opinione o prendere una decisione, fermiamoci. Contiamo lentamente fino a sei. Poi respiriamo. Può sembrare banale, ma quella breve interruzione spezza il flusso automatico. È un piccolo kill switch cognitivo: un modo per impedire che la reazione prenda il posto della riflessione. La mindfulness clinica, resa popolare anche dal lavoro di Jon Kabat-Zinn, ci ricorda che il respiro può riportarci nel presente. Non serve meditare un’ora al giorno.
A volte bastano pochi secondi per riattivare il pensiero lento di cui parlava Kahneman. Non dobbiamo eliminare l’automatismo. Dobbiamo accorgerci di quando sta per guidarci.
Prima di accogliere un’informazione, soprattutto quando ci troviamo stanchi, stressati, impauriti o sotto pressione, poniamoci due domande:
Non è necessario diventare sospettosi di tutto. Serve, però, rendere visibile a noi stessi l’origine di ciò che stiamo leggendo, ascoltando o guardando. Essere presenti significa anche questo: non limitarsi a valutare il contenuto, ma chiedersi chi lo produce, in quale contesto e con quali possibili finalità. Nello Cristianini nel libro Forma mentis, spiega bene un aspetto essenziale dell’IA contemporanea: molti modelli avanzati non vengono programmati riga per riga, ma vengono addestrati attraverso enormi quantità di dati.
Per questo, spesso, il loro funzionamento interno resta in parte oscuro persino a chi li ha costruiti. (black box) Allora, se perfino gli sviluppatori non riescono a spiegare con precisione perché un modello ha prodotto una certa risposta, almeno noi poniamoci quelle due domande.
1. Da dove arriva questa informazione?
2. E perché dovrei fidarmi?
Infine, prima di lasciare che una convinzione si rafforzi dentro di noi, chiediamoci:
“Posso verificarla?”
Questa è forse la parte più impegnativa. Verificare richiede tempo, energia e la disponibilità ad accettare che una cosa che ci sembrava credibile possa non esserlo. Ma è un riflesso che si può allenare, proprio come un muscolo. Non dobbiamo verificare ogni dettaglio della nostra giornata.
Dobbiamo imparare a farlo soprattutto quando l’informazione è importante, urgente, emotivamente coinvolgente o capace di influenzare una scelta concreta.
Un alert chiuso automaticamente, una mail classificata come legittima, un testo generato dall’IA da inserire in un report, una notizia condivisa in una chat: ogni volta possiamo fermarci e chiederci se il contenuto ha davvero il peso che gli stiamo attribuendo.
Vi propongo una challenge di sette giorni. Ogni sera, annotate sul telefono o su un foglio di carta un momento della giornata in cui avete applicato almeno una delle tre P:
Potete farlo con un contenuto generato dall’IA, con un post sui social, una notizia sentita in televisione, una mail di lavoro o una conversazione che avete avuto con un’altra persona. L’obiettivo non è diventare perfetti. L’obiettivo è rendere la riflessione una pratica quotidiana. La ripetizione trasforma un concetto teorico in un comportamento automatico.
E, paradossalmente, è proprio questo il tipo di automatismo che vale la pena di costruire.
Person of Interest ci ha raccontato qualcosa di molto attuale: quando una macchina comincia a vedere tutto, la vera battaglia non è più soltanto contro la macchina. La battaglia riguarda ciò che quella macchina non può comprendere fino in fondo: il valore di una vita, la libertà di scegliere, il sacrificio, la speranza, la responsabilità e l’umanità. Harold Finch ha costruito una macchina per salvare le persone. John Reese ha scelto di diventare lo scudo di chi non poteva difendersi.
Una delle figure femminili protagoniste di nome Root ha compreso che l’intelligenza artificiale poteva essere molto più di un semplice strumento. E il detective Fusco, forse più di tutti, ci ha ricordato che anche chi ha sbagliato può sempre decidere da che parte stare. Torniamo, allora, all’analista SOC dell’inizio. Il suo vero problema non era lo strumento. Il problema è iniziato nel momento in cui ha smesso di metterlo in discussione.
Vi lascio con una domanda. Pensate all’ultima decisione di lavoro presa seguendo l’indicazione di uno strumento automatico: un alert chiuso, una mail considerata legittima, una risposta dell’IA copiata in un report.
“L’avete verificata davvero, o vi siete semplicemente fidati?”
È uscito il sesto episodio di Betti-RHC, la serie a fumetti di Red Hot Cyber nata con l'obiettivo di trasformare la cybersecurity awareness in un'esperienza di formazione più semplice, coinvolgente e accessibile. Quello che è nato come un progetto editoriale innovativo è diventato negli anni un vero e proprio corso di cybersecurity awareness a fumetti, adottato da aziende e professionisti per sensibilizzare le persone sui rischi informatici attraverso storie, personaggi ed emozioni. In cinque anni di attività, la serie Betti-RHC ha raggiunto un risultato importante: circa 70.000 copie vendute, a testimonianza dell'interesse crescente delle organizzazioni verso nuovi strumenti per costruire una concreta cultura della sicurezza.
Il sesto episodio porta Betti dentro le nostre case, in un mondo "connesso", dove lampadine, telecamere, assistenti vocali, serrature, sensori ed elettrodomestici intelligenti promettono comfort e sicurezza, ma possono nascondere nuove e insidiose superfici di attacco. Attraverso una nuova avventura, Betti ci accompagna alla scoperta del mondo della domotica e dei dispositivi IoT, mostrando come la poca cautela nell'utilizzo di queste tecnologie possa trasformare oggetti quotidiani in porte d'accesso per chi vuole osservare, controllare o colpire.
Per accompagnare la crescita del progetto abbiamo realizzato il sito ufficiale di Betti-RHC, dove è possibile conoscere meglio la serie, gli episodi e il progetto di cybersecurity awareness sviluppato da Red Hot Cyber. L'obiettivo è continuare a portare la cultura della sicurezza fuori dai tradizionali percorsi formativi standard, utilizzando il linguaggio immediato del fumetto per parlare a dipendenti, professionisti e persone senza competenze tecniche. Per maggiori informazioni su Betti-RHC e sul sesto episodio “Open Mic” è possibile visitare il sito ufficiale: betti.redhotcyber.com.