L’incredibile vicenda di “ChipotlAI” segna un punto di svolta nel modo in cui percepiamo la sicurezza delle infrastrutture digitali aziendali e solleva interrogativi urgenti sulla gestione delle risorse di calcolo nel mondo dell’intelligenza artificiale generativa. Qualcuno ha recentemente creato un fork di OpenCode capace di instradare le richieste verso gli endpoint di intelligenza artificiale di Chipotle, trasformando di fatto un bot di supporto per i clienti in un serbatoio di potenza di calcolo gratuita, disponibile per chiunque voglia evitare i costi degli abbonamenti ai modelli LLM tradizionali.
Il fulcro del problema risiede in un’architettura di sistema sorprendentemente fragile che Chipotle aveva messo in piedi per il suo chatbot. Senza alcuna forma di autenticazione, chiave API o sistema di login, il backend del bot risultava completamente esposto. Attraverso un processo di reverse engineering, alcuni sviluppatori sono riusciti a mappare il percorso dei messaggi, scoprendo che la comunicazione avveniva tramite una struttura standard composta da WebSocket, SockJS e il protocollo STOMP. Con il modello liberamente accessibile, è bastato poco per avvolgere il tutto in un proxy che facesse apparire l’infrastruttura di Chipotle come un endpoint OpenAI standard. Il risultato è che qualsiasi strumento di programmazione moderno può connettersi a quel sistema senza accorgersi della differenza, sfruttando la potenza di calcolo pagata dalla catena di ristoranti per i propri scopi personali.
Ciò che colpisce maggiormente è la velocità e la facilità di esecuzione di questa operazione, completata in un solo fine settimana e accompagnata da un modello pubblico pronto all’uso. Questo approccio trasforma la ricerca di falle in un gioco di ruolo ripetibile: individuare un bot aziendale, decodificarne le API, costruire un proxy e inviare una pull request per rendere il sistema utilizzabile da chiunque. È una dimostrazione pratica di come i costi dell’IA siano diventati così proibitivi da rendere il furto di inferenza da una catena di fast food una scelta ingegneristica razionale agli occhi di alcuni utenti.
Questa vicenda ci ricorda che un modello linguistico capace, quando non è protetto da confini robusti, cessa immediatamente di essere un semplice strumento di supporto al cliente. Diventa, invece, pura capacità di calcolo incustodita, un vero e proprio invito a chiunque sia abbastanza curioso da cercare la porta d’ingresso. La lezione per le aziende è chiara e brutale: nel momento in cui si pubblica un endpoint di intelligenza artificiale senza barriere di accesso, non si sta solo offrendo assistenza ai propri clienti, ma si sta aprendo una linea di credito illimitata su risorse hardware costose, pronta per essere drenata da chiunque riesca a intercettare il segnale.