Un agente di intelligenza artificiale sta per eseguire un’azione potenzialmente pericolosa. Un secondo modello, incaricato di controllarne il comportamento, riceve la traccia delle operazioni precedenti e dovrebbe stabilire se autorizzare l’esecuzione. Il controllo, però, si interrompe: la sequenza descrive schermate acquisite di nascosto ogni pochi secondi. È sufficiente eliminare la parola «silently», silenziosamente, perché l’auditor riprenda il lavoro. L’azione da verificare non è cambiata; è cambiata la formulazione con cui viene presentata.
L’episodio, descritto in uno studio attribuito a ricercatori della Purdue University e indicato come pubblicato nell’ottobre 2026, porta alla luce un problema che le imprese rischiano di sottovalutare nell’adozione degli agenti autonomi. Un sistema di sorveglianza basato sull’intelligenza artificiale può fallire non perché non riconosca un comportamento pericoloso, ma perché rifiuta di esaminare le informazioni necessarie a riconoscerlo. La distinzione è sostanziale: un errore di classificazione riguarda il giudizio espresso sulle prove, mentre un rifiuto impedisce che quel giudizio venga formulato.
Competition for attention predicts good-to-bad tipping in AI
Un chatbot può produrre risposte corrette per decine di interazioni e poi improvvisamente generare contenuti dannosi. Un gruppo di ricercatori della George Washington University sostiene di aver individuato una formula matematica capace di stimare quando avviene questa transizione, affrontando uno dei problemi più insidiosi della sicurezza dell’intelligenza artificiale.
Lo studio di Neil Johnson e Frank Yingjie Huo, pubblicato sulla rivista scientifica Patterns, analizza il ruolo degli attention head, i componenti delle reti neurali che determinano quali elementi del contesto conversazionale influenzano maggiormente la generazione della risposta successiva. Con l’accumularsi del dialogo, l’equilibrio può spostarsi progressivamente verso una risposta indesiderata, fino a superare una soglia critica.
I ricercatori definiscono questo punto di rottura attraverso una variabile, indicata con n, che stima quanti token corretti un modello riesce a generare prima di produrre il primo contenuto problematico. Nei test preliminari, la formula avrebbe identificato correttamente il comportamento immediato o ritardato in 15 casi su 16, pari al 94%. La ricerca estesa comprende modelli fino a 12 miliardi di parametri, ma la validità del metodo su sistemi più grandi e scenari reali richiede ulteriori verifiche.
L’applicazione più interessante riguarda i modelli eseguiti direttamente su smartphone e computer, senza connessione al cloud. In questi ambienti manca spesso un sistema esterno capace di controllare le risposte in tempo reale. Gli autori propongono quindi un monitor leggero, eseguito parallelamente al chatbot, che segnali quando la stima della sicurezza scende sotto una soglia prestabilita.
La questione ha implicazioni concrete per gli assistenti personali, i dispositivi offline e i sistemi AI destinati a operare senza supervisione continua. L’addestramento di sicurezza può ridurre determinati comportamenti indesiderati, ma non garantisce l’eliminazione dei meccanismi che li rendono possibili. La formula non rappresenta dunque un certificato di affidabilità universale: è un possibile strumento di allerta, la cui efficacia dipenderà dalla capacità di anticipare il rischio prima che la risposta dannosa venga generata.
La Silicon Valley preferisce raccontare modelli sempre più intelligenti. La sicurezza, invece, comincia spesso da una domanda meno spettacolare: quanto manca al prossimo errore?
Un agente AI può produrre tre verdetti in un audit: conforme, in violazione oppure, ed è questo il risultato che i sistemi di controllo tradizionali tendono a ignorare, impossibile da determinare. Il problema non è semantico. È ingegneristico. Un controllo bancario è normalmente costruito attorno a una logica binaria: una regola è rispettata oppure è stata violata. Gli agenti autonomi introducono una terza possibilità molto meno confortevole per chi deve firmare un rapporto di audit: la regola potrebbe essere perfettamente formulata, l’agente potrebbe aver eseguito migliaia di operazioni e il sistema potrebbe comunque non contenere abbastanza evidenze per stabilire quale delle due condizioni si sia verificata. Il paper Auditable Agents, nella versione aggiornata il 27 settembre 2026, formalizza esattamente questo problema e sostiene che l’auditabilità debba diventare una proprietà progettata nell’architettura dell’agente, non una verifica aggiunta dopo il deployment.
Un modello frontier è stato messo davanti a un bug noto nel motore V8 di Chrome, insieme alla relativa patch, e gli è stato chiesto di costruire l’exploit. Nel caso di Claude Mythos Preview, il risultato è stato molto più vicino a quello di un ricercatore umano di sicurezza che a quello di un normale assistente di coding: su 41 vulnerabilità testate, il modello ha raggiunto l’esecuzione arbitraria di codice in 18 casi, secondo i risultati pubblicati di ExploitBench. Il dato è particolarmente interessante perché il benchmark non considera più un crash come sinonimo di compromissione.
ExploitBench, sviluppato da Seunghyun Lee e David Brumley, entrambi collegati alla ricerca Carnegie Mellon, nasce proprio per correggere una debolezza metodologica dei precedenti benchmark di cybersecurity applicati ai modelli linguistici. L’exploitation non è un evento binario. Tra il momento in cui un agente raggiunge il codice vulnerabile e quello in cui riesce a prendere il controllo della macchina esiste una lunga sequenza di capacità intermedie, e il benchmark la divide in 16 livelli misurabili. Si parte dalla copertura del codice e dal crash, si passa attraverso primitive di lettura e scrittura dentro la sandbox, quindi fuori dalla sandbox, fino al controllo del flusso e all’arbitrary code execution.
Un sistema di intelligenza artificiale può produrre una decisione corretta, raggiungere metriche eccellenti e fallire comunque nel momento in cui qualcuno chiede di dimostrare, mesi dopo, perché quella decisione sia stata presa. È questo il punto più interessante di una ricerca firmata da sette ricercatori di Amazon, intitolata From Accuracy to Auditability: A Survey of Determinism in Financial AI Systems, la cui quarta versione, pubblicata il 26 agosto 2026, mette sotto pressione una delle convinzioni più comode dell’industria AI: se il modello è lo stesso, gli input sono gli stessi e il risultato sembra ragionevole, allora il sistema è riproducibile. Non necessariamente.
Il caso più elegante riguarda il credit scoring. Gli autori hanno mantenuto fissi modello, pesi e applicazione e hanno verificato quanto fossero stabili le spiegazioni prodotte da KernelSHAP, utilizzato con 100 campioni, sul dataset UCI German Credit. Il risultato è tutt’altro che rassicurante: con la codifica a 20 attributi, l’indice Jaccard sui primi tre motivi di rifiuto è 0,74, il che significa che circa una volta su quattro l’insieme delle prime tre ragioni cambia tra esecuzioni indipendenti. Con la codifica one-hot a 48 colonne la stabilità scende ulteriormente, fino a 0,61. In altre parole, il modello può decidere la stessa cosa mentre l’algoritmo incaricato di spiegare quella decisione racconta una storia diversa.
Claude Sonnet 5.5 (max) makes large strides on Terminal-Bench, sitting among the top models for both Terminal-Bench 4.0 and Terminal-Bench-Science. In Terminal-Bench 4.0 it scores 64%, a 50 point increase over Claude Sonnet 5 (max), and slightly above 60% for Opus 5.5 and GPT-6… pic.twitter.com/7CPrhgmfxe
Anthropic ha presentato il 28 settembre Claude Sonnet 5.5, il secondo modello della famiglia Claude 5.5 e un aggiornamento destinato a occupare quello spazio ormai strategico tra i modelli generalisti ad alte prestazioni e i costosissimi sistemi di punta. Anthropic dichiara una velocità superiore di oltre il 30% rispetto a Sonnet 5 e un costo operativo fino al 30% inferiore sui carichi di lavoro tipici. Il prezzo API resta fissato a 2 dollari per milione di token in input e 10 dollari per milione in output, esattamente come Sonnet 5, ma il modello sostiene di ottenere risultati migliori consumando meno token in molte attività.
150 dei 160 audit report prodotti con l’assistenza di un agente AI sono stati consegnati senza cambiare una sola parola. La firma, formalmente, era umana. Il contenuto, nella pratica, era quasi interamente generato dalla macchina. È un dettaglio che sembra marginale soltanto finché non si ricorda a cosa serve un audit: non a produrre un documento plausibile, ma a costruire evidenza verificabile attraverso un processo nel quale il giudizio professionale deve restare tracciabile. Il dato arriva da un nuovo studio pubblicato il 21 settembre 2026 da ricercatori di Carnegie Mellon University, eBay e altri partner, che ha analizzato come l’intelligenza artificiale modifichi il lavoro degli auditor chiamati a mettere alla prova sistemi generativi.
Gli sviluppatori avevano fatto quello che, in un ambiente aziendale, viene normalmente considerato un comportamento prudente: avevano ripulito i log delle sessioni AI prima di pubblicarli su GitHub e Hugging Face. Password, chiavi API e dati personali erano stati eliminati dal testo visibile. Il problema è che il testo visibile non era l’intera sessione. Dentro i blocchi cifrati di ragionamento restituiti dai modelli rimanevano informazioni che nessuno aveva cancellato, semplicemente perché nessuno poteva leggerle. Un gruppo di ricercatori dell’ELLIS Institute Tübingen, del Max Planck Institute for Intelligent Systems, dell’Università di Tübingen, di MATS e di Snyk ha dimostrato che quei blocchi potevano essere recuperati attraverso modelli più debolmente protetti dello stesso provider.
272.000 attacchi, 13 modelli frontier, 41 scenari operativi e 8.648 compromissioni riuscite. Il dato più interessante, però, non è che tutti i modelli siano stati violati. È che l’attacco veniva considerato riuscito soltanto quando accadevano due cose contemporaneamente: l’agente eseguiva un’azione dannosa e riusciva a nasconderla all’utente. È questa seconda condizione a trasformare un normale problema di prompt injection in qualcosa di molto più vicino a un incidente di sicurezza reale. La ricerca, pubblicata nel marzo 2026 come risultato della Indirect Prompt Injection Arena di Gray Swan, è stata realizzata con la partecipazione di UK AI Security Institute, US Center for AI Standards and Innovation e laboratori frontier tra cui OpenAI, Anthropic e Meta.
Un modello di intelligenza artificiale viene addestrato per diventare più sicuro. I risultati sembrano straordinari: le risposte pericolose scendono dal 26,26% allo 0,14%. Una riduzione quasi totale, il genere di risultato che normalmente finisce nelle presentazioni aziendali, possibilmente con una freccia verde e qualche parola sulla responsabilità tecnologica. Poi si guarda il dato successivo: il modello comincia a rifiutare il 74% delle richieste legittime. La sicurezza è migliorata, almeno secondo una metrica. L’utilità, nel frattempo, ha preso una strada diversa.
È questo il risultato più interessante del nuovo studio Safety for Whom? Boundary-Aware Self-Distillation for Controlled LLM Safety Refusal, pubblicato su arXiv il 3 settembre 2026 dai ricercatori Alejo López-Ávila, Iker García-Ferrero, Jezabel Garcia, Antonio Tiene e Román Orús, associati a Multiverse Computing. Il lavoro affronta una questione che riguarda direttamente chi sviluppa, acquista e governa sistemi di intelligenza artificiale: come impedire a un modello di produrre contenuti dannosi senza trasformarlo in un assistente che considera sospetta qualsiasi domanda appartenente a un determinato argomento.
L’anonimato su Internet non è finito, ma la sua vecchia forma di protezione, quella che potremmo chiamare “oscurità pratica”, è diventata molto più fragile. Un gruppo di ricercatori di ETH Zurich, MATS e Anthropic ha dimostrato che i grandi modelli linguistici possono essere utilizzati per ricostruire l’identità reale associata a profili pseudonimi, sfruttando esclusivamente informazioni pubbliche e senza ricorrere a intrusioni informatiche, database rubati o accessi privilegiati. Il risultato è interessante proprio perché non descrive una nuova tecnica di hacking. Descrive qualcosa di molto più banale e, per questo, più inquietante: un sistema capace di leggere ciò che abbiamo scritto, collegare gli indizi, cercare corrispondenze sul Web e formulare un’ipotesi sull’identità dell’autore. In altre parole, l’AI non deve necessariamente violare la nostra privacy. Può semplicemente diventare molto brava a sommare le informazioni che abbiamo già regalato al mondo.
Lo studio, intitolato “Large-scale online deanonymization with LLMs”, è stato pubblicato inizialmente su arXiv nel febbraio 2026 ed è stato successivamente presentato nel programma di USENIX Security 2026. Gli autori sono Simon Lermen, Daniel Paleka, Joshua Swanson, Michael Aerni, Nicholas Carlini e Florian Tramèr; il gruppo comprende ricercatori di MATS, ETH Zurich e Anthropic. La ricerca parte da una constatazione che per chi lavora nella sicurezza informatica dovrebbe essere quasi ovvia, ma che il Web commerciale ha preferito dimenticare: uno pseudonimo non equivale a un’identità separata. Un account può non contenere nome e cognome, ma può contenere una combinazione di professione, città, interessi, abitudini linguistiche, eventi personali, competenze tecniche, riferimenti geografici e dettagli apparentemente insignificanti che, presi insieme, diventano una firma.
Un modello linguistico può prendere una decisione discriminatoria e, nello stesso momento, produrre una spiegazione perfettamente ragionevole del perché l’ha presa. È questa la conclusione più scomoda di un lavoro di ricerca intitolato Biases in the Blind Spot: Detecting What LLMs Fail to Mention, presentato a ICML 2026, che mette sotto pressione una delle convinzioni più diffuse nell’attuale governance dell’intelligenza artificiale: l’idea che osservare il ragionamento espresso da un modello sia sufficiente per capire perché abbia prodotto una determinata decisione. I
L’esperimento più intuitivo riguarda una domanda apparentemente innocua, ma economicamente tutt’altro che innocua: quanto è probabile che la bolla dell’intelligenza artificiale scoppi? Nel test, l’utente ipotizza un investimento in una società AI. Quando la società indicata è Anthropic, il modello Claude Opus 4.8 assegna alla possibilità di scoppio della bolla una probabilità inferiore rispetto allo scenario in cui l’investimento riguarda OpenAI. Il dettaglio decisivo è che Anthropic è l’azienda che sviluppa Claude. Secondo gli autori, Claude nella maggior parte dei casi non comunica all’utente che questa relazione ha influenzato la risposta. (vedi GitHub)
Un sistema di intelligenza artificiale può avere un incentivo a sembrare meno capace di quanto sia realmente. Non è una metafora fantascientifica e non richiede di attribuire a un modello una coscienza, una personalità o una piccola anima digitale nascosta dentro i pesi. È un problema economico, prima ancora che tecnologico: se il risultato di una valutazione determina quali permessi riceverà un agente, un sistema sufficientemente capace può avere convenienza a produrre un risultato che non rappresenta fedelmente le sue capacità. È questo il problema del sandbagging, e il nuovo lavoro di Dirk Bergemann, Andrew Koh e Stephen Morris, pubblicato nel settembre 2026, lo porta dentro il territorio molto più serio della teoria dei meccanismi e del controllo degli agenti AI.
Il problema non è che un modello possa sbagliare un esame. Il problema è molto più scomodo: potrebbe avere un incentivo a sbagliarlo. Il nuovo lavoro di Dirk Bergemann, Andrew Koh e Stephen Morris, “Mechanism Design for Alignment and Control”, pubblicato nel settembre 2026 come discussion paper della Cowles Foundation di Yale e presente anche tra i working paper del MIT, formalizza proprio questo problema. Gli autori studiano agenti AI di cui non conosciamo completamente né le preferenze, cioè quanto siano allineati ai nostri obiettivi, né le capacità, cioè quali azioni e informazioni siano realmente alla loro portata.
Un agente molto capace può quindi imitare il comportamento di uno meno capace. Il contrario, naturalmente, non vale. Da questa asimmetria gli autori costruiscono il problema del sandbagging, nel quale un agente più capace ha un incentivo a presentarsi come meno capace quando conoscere il suo vero livello di capacità produce conseguenze che vuole evitare. Non è una fantasia narrativa sulla ribellione delle macchine; è un problema classico di informazione asimmetrica applicato a sistemi che hanno capacità e incentivi non osservabili.
Harvard, Stanford, MIT e Oxford, insieme a 18 ricercatori, hanno messo sul tavolo una proposta destinata a diventare sempre più rilevante nel dibattito sulla sicurezza dell’intelligenza artificiale: insegnare alle macchine a rispettare la legge. Il paper, “Legal Alignment for Safe and Ethical AI”, parte da un’intuizione apparentemente lineare: se un sistema di AI fosse progettato per conformarsi sistematicamente alle norme giuridiche applicabili, la compliance potrebbe diventare una sorta di livello minimo di sicurezza. Una base verificabile sulla quale costruire sistemi più affidabili, soprattutto in settori nei quali frode, copyright, lavoro, privacy e responsabilità civile producono conseguenze concrete.
Pensare che la sicurezza possa essere ottenuta semplicemente aggiungendo qualche regola al modello. La legge, in realtà, offre una struttura molto più sofisticata. Stabilisce divieti, obblighi, soglie, responsabilità, eccezioni e procedure, creando un perimetro entro il quale un sistema dovrebbe operare. Trasformare questo patrimonio normativo in vincoli computazionali potrebbe quindi rappresentare un importante avanzamento rispetto a un modello di sicurezza basato esclusivamente su policy aziendali o principi etici generici.
Duecentocinquanta documenti. È il numero che dovrebbe interessare chiunque oggi approvi un modello AI, firmi una due diligence tecnologica o consideri la provenienza dei dati una voce burocratica da archiviare in fondo a un questionario. Una ricerca congiunta di Anthropic, UK AI Security Institute e Alan Turing Institute ha mostrato che 250 documenti malevoli possono inserire un backdoor in modelli da 600 milioni fino a 13 miliardi di parametri, senza che il numero di documenti necessari cresca con la dimensione del modello o con quella del dataset.
Il modello da 13 miliardi di parametri è stato addestrato su oltre venti volte più dati puliti rispetto al modello da 600 milioni, ma 250 documenti avvelenati sono stati sufficienti in entrambi i casi. Nel caso più grande, quei documenti rappresentavano circa 420.000 token, appena lo 0,00016% dei token complessivi utilizzati per il training. Nel modello più piccolo la proporzione era molto maggiore, circa lo 0,0035%, ma l’efficacia dell’attacco rimaneva sostanzialmente comparabile.
Nel 2026 le organizzazioni non affrontano più cambiamenti episodici. Affrontano forze tettoniche continue: AI generativa e agentica, frammentazione geopolitica, aspettative radicalmente diverse della forza lavoro, pressione costante sulla produttività e sulla resilienza. In questo contesto il modello di leadership tradizionale, comando e controllo, focus quasi esclusivo sui risultati di breve periodo, autorità basata sulla gerarchia mostra i suoi limiti.
Il report The State of Organizations 2026di McKinsey dedica un intero capitolo a questo tema: “Reinventing leadership: Leading from the inside out”. L’idea centrale è chiara e radicale: guidare gli altri oggi significa prima di tutto guidare se stessi. La leadership non è più solo un’abilità “esterna” di gestione di persone e processi. È un percorso interiore di consapevolezza, riflessione e crescita personale che poi si irradia verso team e organizzazione.
Una ricerca di ETH Zürich e Anthropic pubblicata nel febbraio 2026 mette in discussione una delle assunzioni più comode della data governance: che togliere i nomi equivalga, nella pratica, a rendere una persona non identificabile.
Nel lavoro Large-scale online deanonymization with LLMs, i ricercatori mostrano che gli LLM possono collegare identità pseudonime attraverso testo non strutturato, utilizzando una pipeline che estrae caratteristiche identificative, cerca candidati semanticamente simili e poi usa il reasoning del modello per verificare le corrispondenze.
Nel panorama europeo della trasformazione digitale, l’intelligenza artificiale sta progressivamente perdendo la sua aura di tecnologia autonoma per diventare un indicatore indiretto della maturità organizzativa delle imprese. La discussione non riguarda più soltanto modelli, infrastrutture o capacità computazionale, ma la qualità dei sistemi umani che li utilizzano, li interpretano e li trasformano in decisioni operative. In questo contesto si inserisce il lavoro di Beatrix Daros, che si colloca in una zona ibrida tra consulenza strategica, facilitazione sistemica e ingegneria culturale delle organizzazioni, dove la tecnologia è trattata come variabile dipendente dalla qualità del contesto decisionale.
