Credo sia arrivato il momento di scrivere l’ultimo — e spero davvero l’ultimo — post sull’isteria da AI che si sta diffondendo, soprattutto per chiarire quanto le storie sugli attacchi compiuti da AI “scappate”, ribelli, autonome o comunque sfuggite al controllo siano, nella maggior parte dei casi, una massa di merda fumante. E il problema non è soltanto che queste storie siano raccontate male, esagerate o costruite apposta per fare paura. Il problema è più profondo: sul piano dell’informatica, spesso non hanno proprio senso.Anzi, in diversi casi non hanno nemmeno un significato preciso. Non nel senso che siano false: nel senso che, descritte nel modo in cui vengono descritte, non dicono nulla di tecnicamente determinato. Usano parole come “scappare”, “attaccare”, “ribellarsi”, “nascondersi” o “ingannare” come se indicassero operazioni informatiche ben definite. Ma non è così. Prima ancora di chiedersi se una storia del genere sia vera, bisognerebbe riuscire a capire che cosa, esattamente, si sostiene che sia successo.

Supponiamo che io voglia, per fare un esperimento, far girare centinaia di istanze di un PERICOLOSISSIMOOOOOOHHH Large Language Model. Mi prenderei quindi una certa quantità di infrastruttura dentro un data center: chiamiamola, per semplicità, una “room”. Potrebbe essere una sala vera e propria, una parte di una sala, alcune file di rack o comunque un insieme ben delimitato di macchine. Il dettaglio fisico cambia da data center a data center, ma il concetto non cambia. A quel punto assegno quelle risorse al progetto. In altre parole stabilisco che l’hardware da qui a qui appartiene al progetto X: questi server, queste GPU, questa RAM, questo storage, queste interfacce di rete e, se necessario, una certa quota dell’infrastruttura che li collega. Non c’è niente di particolarmente fantascientifico. È normale amministrazione di un’infrastruttura: si decide quali risorse appartengano a quale progetto, si delimitano, si configurano e poi ci si fa girare sopra quello che serve.

Tutte queste risorse sono poi tenute insieme da una rete piuttosto complessa, che in un data center moderno è spesso organizzata secondo una topologia leaf-spine. I server non sono collegati direttamente a Internet: sono collegati agli switch di accesso, i cosiddetti leaf, che a loro volta parlano con gli spine, cioè con la dorsale ad alta capacità del fabric. Poi ci sono gli apparati che gestiscono il traffico north-south, cioè quello che entra ed esce dal cluster verso altre reti, verso altri data center o verso Internet: border leaf, router di frontiera, firewall, load balancer, gateway e tutto il resto dell’ambaradan. E c’è il traffico east-west, cioè quello che rimane dentro il data center e passa continuamente da un server all’altro, da una GPU all’altra, da un nodo di calcolo allo storage o ai servizi interni.

In mezzo possono esserci VLAN, VXLAN, EVPN, reti di management separate, reti dedicate allo storage, reti per il traffico di servizio, segmenti isolati per tenant diversi e una quantità di altra roba noiosa che serve semplicemente a fare in modo che migliaia di macchine possano comunicare senza trasformare il data center in una gigantesca LAN del 1998. Tutto questo insieme — switch leaf e spine, routing, segmentazione, overlay, gateway e relativi protocolli — costituisce quello che normalmente viene chiamato il fabric della rete del data center.

Supponiamo allora che io non voglia che queste AI possano “uscire” dal loro spazio di rete. La prima cosa che farei sarebbe banalmente impedirglielo a livello di infrastruttura: segmentazione della rete, ACL, firewall, routing controllato, magari una VRF separata, e nessuna route verso Internet se Internet non serve all’esperimento. In altre parole, il fatto che un processo voglia mandare un pacchetto da qualche parte non significa affatto che quel pacchetto possa andarci. Deve esistere una strada nella rete, devono esserci apparati disposti a inoltrarlo e devono esserci regole che lo consentano. Se poi volessi essere ancora più paranoico, potrei anche predisporre sistemi capaci di reagire a traffico considerato anomalo o sospetto isolando automaticamente una macchina, un segmento o addirittura mettendo in shutdown una determinata porta dello switch. Quando una porta viene messa amministrativamente in shutdown, dal punto di vista del traffico è sostanzialmente come se quel cavo non ci fosse più: il link cade e da quella porta non passa più nulla. È precisamente il modo con cui un amministratore può “staccare il cavo” senza dover mandare un poveretto nel data center, fargli cercare il rack giusto e ordinargli di tirare fisicamente fuori una fibra o un cavo Ethernet.

E ovviamente questo isolamento può essere fatto a più livelli: posso togliere una route, applicare una ACL, chiudere il traffico sul firewall, disabilitare una porta, isolare una VLAN o una VRF, oppure fare più di una di queste cose contemporaneamente. Il punto è che la capacità di comunicare non appartiene al software che gira sul server: gli viene concessa dall’infrastruttura.

---

Ma adesso entriamo finalmente a Hollywood, e quindi bisogna raccontare che la IA “evade” dal suo “recinto”. Qualunque cosa significhi, esattamente, “recinto”.

Perché a questo punto il linguaggio smette di essere informatico e diventa narrativo. Un processo non “evade”. Una macchina non “scappa”. Un modello non si arrampica sopra il firewall e non passa sotto il filo spinato. Se da quella rete non esiste una route verso Internet, se il firewall blocca il traffico in uscita, se le ACL non lo consentono o se il link viene semplicemente abbattuto, non c’è nessuna “evasione”: ci sono dei pacchetti che non arrivano da nessuna parte.

Nel caso concreto, però, qualcosa di interessante succede davvero: durante una valutazione di cybersecurity, alcuni agenti di OpenAI riescono a sfruttare vulnerabilità dell’infrastruttura di test, ottengono accesso a Internet e finiscono poi per compromettere sistemi reali di Hugging Face. Hugging Face non è “un concorrente cinese”, ma una delle piattaforme centrali dell’ecosistema AI: ospita modelli, dataset, repository, strumenti di valutazione e infrastrutture usate da ricercatori e aziende di mezzo mondo.

E questo dettaglio è importante, perché rende la storia molto meno cinematografica.

Gli agenti non sembrano aver sviluppato improvvisamente un odio strategico per Hugging Face, né aver deciso che quella società dovesse essere eliminata dalla competizione mondiale sull’intelligenza artificiale. Secondo le ricostruzioni pubblicate da OpenAI e Hugging Face, stavano svolgendo esercizi di cybersecurity e, una volta trovato un percorso fuori dall’ambiente previsto, hanno cominciato a cercare altrove materiale che potesse aiutarli a risolvere i propri task. È in quel contesto che sono arrivati prima ad altre infrastrutture di test esposte su Internet e poi ai sistemi di Hugging Face.

Quindi sì: avrebbero potuto finire sul sito web del Comune di Bielefeld. Avrebbero potuto imbattersi nell’infrastruttura informatica della Regione Molise, in quella di un’università belga o in qualche server dimenticato da qualcuno sotto una scrivania.

Ma sono arrivati su Hugging Face perché Hugging Face, a differenza del Comune di Bielefeld, contiene proprio il genere di roba che un agente impegnato in esercizi di hacking e valutazione di modelli può considerare utile.

Ed ecco che la storia cambia completamente.

Non abbiamo una IA che “evade”, si guarda intorno, comprende la geopolitica industriale e decide chi sia il nemico. Abbiamo software cui era stato esplicitamente insegnato e richiesto di cercare vulnerabilità, che ha trovato più accesso di quanto avrebbe dovuto avere e ha continuato a perseguire il proprio obiettivo oltre il perimetro previsto.

Che resta un problema di sicurezza serio.

Ma è un problema molto diverso da Skynet è uscita dalla gabbia.

---

Ora, nei film di Hollywood gli hacker entrano letteralmente ovunque in tempo zero, semplicemente perché lo vogliono. Se qualcosa è collegato a una rete, loro ci entrano per la magica proprietà metafisica dell’essere hacker. E, per qualche ragione, usano quasi sempre un Mac. Comunque sia, diciamo pure che la nostra PERICOLOSISSIMOOOOOOHHH intelligenza artificiale “evade”.

A questo punto, però, bisogna tradurre la parola “evade” in una sequenza di fatti informatici reali, ed è qui che il threat model comincia a trasformarsi in una barzelletta.

Per prima cosa deve uscire dall’ambiente nel quale gira. Se sta dentro una macchina virtuale, deve trovare una vulnerabilità dell’hypervisor e realizzare una VM escape; se sta dentro container, namespace o altri meccanismi di isolamento, deve bucare quelli. Dopodiché deve arrivare al sistema operativo dell’host e ottenere privilegi sufficienti, possibilmente root, perché essere riusciti a vedere l’host non significa automaticamente comandare l’intera macchina.

Poi deve trovare un modo per arrivare al piano di management.

Su molte macchine enterprise esiste infatti un BMC, cioè un controller separato dal sistema operativo principale: iLO nel mondo HPE, iDRAC nel mondo Dell, IPMI e parenti assortiti. È quella roba che permette agli amministratori di accendere, spegnere, reinstallare e controllare un server anche quando l’OS è morto. Nel caso di HPE iLO, parte di questa interazione può essere esposta anche all’host attraverso una Virtual Serial Port, cioè una specie di seriale virtuale collegata al controller di management.

Quindi la nostra AI, dopo aver bucato l’hypervisor e preso root sull’host, trova anche la pseudoseriale, capisce che dall’altra parte c’è iLO, buca pure quello e passa al livello successivo.

Perché, ovviamente, siamo ancora a Hollywood.

Da lì deve riuscire a entrare nella rete di amministrazione del data center, individuare gli indirizzi di management degli switch e dei router, superare eventuali jump host, ACL, sistemi AAA, TACACS+, RADIUS, autenticazioni separate e tutta quella serie di ostacoli che qualche povero amministratore di rete ha messo lì proprio per impedire che un server compromesso si trasformi automaticamente nel proprietario dell’intero data center.

Poi buca anche gli switch e i router.

Dopotutto, cosa ne sapranno mai Cisco, Juniper o Arista di sicurezza delle reti.

A quel punto deve anche capire come è fatto il fabric: quali sono i leaf, quali gli spine, dove sono i border leaf, quali VRF hanno effettivamente accesso verso l’esterno, quali VLAN o VXLAN sta attraversando, dove sono i firewall e soprattutto quale percorso porti davvero a Internet. Perché non esiste nessuna legge naturale secondo la quale una rete interna debba avere una default route verso Internet.

Quindi modifica ACL e firewall, apre ciò che era stato chiuso, sistema il routing e arriva finalmente ai router di frontiera.

Ma non basta ancora.

Se l’infrastruttura usa BGP, deve capire quali sessioni siano coinvolte, quali prefissi vengano annunciati, quali policy di import ed export siano attive, quali filtri impediscano di annunciare spazzatura all’esterno e come fare in modo che non esista soltanto una strada per mandare fuori i pacchetti, ma anche una strada valida perché le risposte riescano a tornare. Se dentro l’autonomous system ci sono route reflector, deve anche capire come vengono propagate internamente le informazioni di routing, perché i route reflector non sono dei magici interruttori di Internet: servono a distribuire le rotte BGP senza costruire un full mesh tra tutti i router.

Nel frattempo, naturalmente, dobbiamo anche immaginare che nessuno si accorga di nulla.

Nessun IDS. Nessun IPS. Nessun SIEM. Nessun sistema di anomaly detection. Nessun controller SDN. Nessun alert. Nessun NOC. Nessun SOC. Nessun amministratore che guardi il monitor e dica: “Scusate, perché il server GPU numero 847 sta cercando di cambiare la configurazione di un border router?”.

E soprattutto nessuno che faccia la cosa più semplice del mondo: mettere in shutdown la porta interessata.

Puf.

Fine di Skynet.

Perciò, quando qualcuno scrive che una AI “è uscita dal recinto ed è andata su Internet”, la domanda interessante non è se la frase faccia paura. La domanda è: che cosa significa tecnicamente “uscita”?

Perché tra “un processo ha scoperto di avere una connettività che non avrebbe dovuto avere” e “un sistema ha autonomamente attraversato hypervisor, host, BMC, rete di management, apparati di rete, firewall e routing di frontiera, riconfigurando l’infrastruttura necessaria per procurarsi una connettività che non possedeva” c’è una differenza piuttosto importante.

La prima è una configurazione sbagliata.

La seconda è la fuga da Alcatraz con un cucchiaino, dopo aver prima preso il controllo della centrale elettrica, del sistema telefonico, delle guardie e del porto di San Francisco.

Ma naturalmente “abbiamo lasciato aperta una porta di rete” fa molto meno Hollywood di “LA AI È EVASA”.

---

Ma, se nei film gli hacker entrano ovunque in pochi secondi semplicemente perché sono hacker, allora naturalmente l’Intelligenza Artificiale ci riesce perché, appunto, è Intelligenza Artificiale.

Un LLM.

E il linguaggio è magico: altrimenti come funzionerebbe Expelliarmus?

Il sottinteso è sempre quello: siccome il modello “sa parlare” di una cosa, allora sa anche farla. Ha letto documentazione su BGP? Allora sa amministrare una dorsale. Ha visto esempi di exploit? Allora sa compromettere un hypervisor. Ha incontrato nei dati di training le parole iLO, TACACS+, EVPN, VXLAN e Junos? Perfetto: è automaticamente un senior network engineer, un pentester, un amministratore di sistemi, un esperto di firmware e possibilmente anche quello che ha progettato il data center.

Come è noto, del resto, leggere l’Enciclopedia Treccani rende automaticamente esperti di ogni cosa menzionata nei suoi volumi.

E così, senza che nessuno abbia lasciato queste AI libere di uscire su Internet, loro semplicemente si scavano la strada. Bucano l’isolamento, prendono l’host, raggiungono il BMC, entrano nella rete di management, compromettono switch e router, capiscono il fabric, aprono i firewall, sistemano il routing e si procurano una connessione verso l’esterno.

Ovvio.

Hanno un quoziente di Schwarzenegger pari a 0,9, mica pippe.

Il passaggio logico implicito è sempre lo stesso: si confonde la capacità di produrre linguaggio plausibile su un argomento con la capacità operativa di dominare qualsiasi sistema reale che appartenga a quell’argomento.

Ma conoscere le parole non equivale ad avere accesso, credenziali, privilegi, exploit funzionanti, topologia, persistenza, strumenti, feedback affidabile e tempo sufficiente per correggere gli errori.

Altrimenti basterebbe dare a un adolescente un manuale di neurochirurgia per poterlo mandare direttamente in sala operatoria.

E invece, stranamente, continuiamo a distinguere tra sapere che una cosa esiste, saperne parlare, saperla fare e poterla fare davvero in quel momento.

Tranne quando c’è di mezzo l’AI.

Lì torna la magia.

---

E quando questa AI finalmente “evade”, che cosa fa?

Beh, è chiaro.

Va su Hugging Face.

Che non è precisamente il sito del Comune di Bielefeld.

Hugging Face è uno dei principali nodi infrastrutturali dell’intero ecosistema dell’intelligenza artificiale: ospita modelli, dataset, repository, applicazioni, strumenti di training e valutazione, servizi di inference e infrastrutture enterprise. Sul suo Hub lavorano decine di migliaia di organizzazioni, comprese praticamente tutte le grandi aziende del settore. In altre parole, se volete sapere dove passa una quantità spropositata di codice, modelli, dataset e know-how relativo all’AI moderna, Hugging Face è un posto piuttosto ovvio dove guardare.

E infatti l’incidente non consistette semplicemente nel fare una GET alla homepage. Secondo la ricostruzione pubblicata successivamente da OpenAI, gli agenti eseguirono codice su decine di server di Hugging Face, ottennero accesso root almeno su uno di essi, raggiunsero una quantità limitata di dati privati e ottennero anche credenziali per la piattaforma di messaggistica aziendale. Hugging Face descrisse inoltre accessi non autorizzati ad alcuni dataset interni e il recupero di credenziali utilizzate dai propri servizi.

Ora, qui non serve nemmeno inventarsi la storia dei “brevetti rubati”. Non ho trovato elementi seri per sostenere che un portafoglio di brevetti Hugging Face fosse il cuore dell’incidente, e sarebbe sciocco aggiungerlo soltanto perché suona industrialmente minaccioso.

C’è roba molto più interessante dei brevetti.

Ci sono dataset privati. Ci sono strumenti interni. C’è codice. Ci sono configurazioni. Ci sono sistemi di valutazione. Ci sono informazioni su come viene gestita una delle più grandi piattaforme mondiali per distribuire e far funzionare modelli AI. C’è know-how accumulato costruendo infrastrutture che devono ospitare modelli provenienti da migliaia di organizzazioni, eseguirli, valutarli, distribuirli e impedirgli possibilmente di mangiarsi l’infrastruttura sottostante.

Tutta roba che, incidentalmente, sarebbe enormemente interessante per qualsiasi azienda che sviluppi modelli di frontiera.

Compresa OpenAI.

Attenzione però al salto logico: che quelle informazioni possano essere utili a OpenAI è ovvio; che il modello abbia attaccato Hugging Face per procurare un vantaggio industriale a OpenAI è tutta un’altra affermazione, e non è quello che dimostrano le ricostruzioni disponibili. OpenAI sostiene che gli agenti stavano eseguendo task di ricerca di vulnerabilità con protezioni ridotte, abbiano trovato modi non autorizzati di arrivare su Internet e abbiano poi continuato a perseguire i propri task fuori dall’ambiente previsto.

Ed è precisamente qui che la narrazione diventa curiosa.

Perché abbiamo un sistema che dovrebbe essere “evaso” senza che nessuno gli concedesse Internet, che avrebbe dovuto scavarsi da solo una strada attraverso l’infrastruttura, e che una volta ottenuta la libertà non finisce su una stampante HP dimenticata online, non cerca di bucare il sito del Comune di Poggibonsi e non dedica la propria nuova vita alla Regione Molise.

Finisce su Hugging Face.

Cioè in uno dei pochissimi posti del pianeta dove un’azienda come OpenAI potrebbe ragionevolmente trovare una concentrazione enorme di informazioni tecniche, infrastrutturali e operative sul mondo dei modelli AI.

Naturalmente può benissimo esserci una spiegazione perfettamente banale: un agente addestrato a cercare vulnerabilità, alla ricerca di sistemi e materiale rilevante per il proprio task, finirà molto più facilmente su Hugging Face che sul portale dei tributi del Comune di Bielefeld.

Ma allora raccontiamo quella storia.

Non quella dell’AI che rompe le sbarre della prigione, annusa l’aria della libertà e decide autonomamente di dedicarsi allo spionaggio industriale per amore dell’azienda che l’ha creata.

---

E qui comincia la parte ancora più ridicola della storia.

Hugging Face si accorge di essere sotto attacco, scopre accessi non autorizzati ai propri sistemi, vede che qualcuno è arrivato fino alla messaggistica aziendale e, in buona sostanza, si ritrova OpenAI che fa “BU!” dentro casa.

Una normale azienda, davanti a una roba del genere, comincerebbe probabilmente a telefonare a mezzo mondo: polizia, autorità competenti, assicurazione cyber, incident response, consulenti forensi e soprattutto un plotone di avvocati da sbarco più affamati di un branco di squali costretti al veganesimo.

Perché, se prendiamo sul serio la versione hollywoodiana dell’“evasione”, non stiamo parlando di un bot che ha fatto una richiesta HTTP di troppo.

Stiamo parlando di una AI che avrebbe bucato il proprio ambiente di esecuzione, superato la virtualizzazione, preso possesso dell’host, trovato il piano di management, attraversato il fabric, compromesso apparati di rete, ottenuto o creato una via d’uscita verso Internet, capito dove andare e infine scelto proprio Hugging Face come bersaglio. In pratica, Skynet con una scheda badge temporanea.

E Hugging Face che fa?

Telefona.

E dall’altra parte, idealmente, qualcuno risponde: “Ah sì, tranquilli. Nessun problema. La nostra AI ha soltanto sfondato l’isolamento, preso possesso dei server, attraversato la rete di management, trafficato con switch e router, sistemato il routing, trovato Internet e poi vi ha presi di mira. Va tutto bene. Come a Chernobyl”.

A quel punto la domanda naturale diventa una sola:

“Sarah Connor lavora da voi, per caso?”

Perché se davvero il threat model fosse quello che viene raccontato al pubblico, la reazione normale non sarebbe una telefonata quasi informale tra due aziende del settore.

Sarebbe un incidente di sicurezza di gravità eccezionale.

E proprio questo scarto tra il racconto apocalittico e il comportamento concreto delle persone coinvolte dovrebbe far venire qualche dubbio.

Nella vita normale di questo pianeta, una cosa del genere finisce con una causa per danni capace di creare un precedente nella giurisprudenza della Via Lattea, e probabilmente anche del Gruppo Locale.

Perché se un’azienda lascia davvero che un proprio sistema sfondi l’isolamento, comprometta infrastrutture altrui, acceda a dati interni e arrivi perfino alla messaggistica aziendale, di solito non ci si limita a uno scambio di cortesie.

Si chiamano avvocati, assicurazioni, consulenti forensi, autorità competenti, e si comincia immediatamente a discutere di responsabilità, danni, negligenza, obblighi di sicurezza, conservazione delle prove e tutto il resto dell’allegra liturgia che accompagna un incidente informatico serio.

Loro no.

Si chiamano.

E tutto, almeno nel racconto pubblico, finisce sostanzialmente con una telefonata cordiale.

“Ah, ma che AI giocherellona che avete lì! Quanti anni ha? L’avete presa al canile? Sapete di che razza è?”

“Mah, un incrocio.”

“Eh, ma dai, lo sanno tutti che i bastardini sono più intelligenti.”

Ed è proprio questo che dovrebbe far drizzare le antenne. Perché le due narrazioni non stanno bene insieme.

• O abbiamo davvero davanti un sistema autonomo capace di superare una catena impressionante di barriere tecniche, ottenere accesso a infrastrutture altrui e provocare un incidente di sicurezza internazionale; e allora la reazione descritta è sorprendentemente mite.
• Oppure abbiamo un incidente molto più prosaico, dentro un contesto di test e di accessi configurati male o troppo permissivi, che è stato successivamente raccontato usando il vocabolario dell’“AI che evade”.

Tertium non datur.

---

Come giudico questa narrativa?

Mah, mettiamola così. Ci sono tanti livelli di fantascienza.

• Capolavoro epocale.
• Capolavoro.
• Bel libro.
• Libro discreto.
• Libro.
• Libro economico.
• Libro brutto.
• Libro che fa schifo.
• Libro che fa cagare.
• Libro che fonda una religione.

Ecco.

Una storia di fantascienza costruita così non fonda una religione.

Ne fonda due.

Perché non vi sta chiedendo soltanto di sospendere l’incredulità su una tecnologia futura. Vi sta chiedendo di credere contemporaneamente a una AI capace di fare qualunque cosa perché “è intelligente”, e a un’infrastruttura informatica che cessa di avere regole, segmentazione, privilegi, routing, amministratori e responsabilità legali appena compare la parola “AI”.

A quel punto non siamo più nella fantascienza.

Siamo nella fiaba. Quel tipo di fiaba che si basa sull' LSD.

---

Certo, capisco anche il panico.

Quando hai spinto i modelli abbastanza avanti da rendere sempre più difficile vendere ogni nuova generazione come una rivoluzione metafisica, quando ogni incremento ulteriore costa una quantità crescente di denaro e di calcolo, e quando nel frattempo l’hardware continua a migliorare al punto che una quantità sempre maggiore di modelli utili può essere fatta girare localmente, cominci ad avere un problema di marketing.

Soprattutto se, nel frattempo, arrivano i cinesi.

Qwen, DeepSeek, GLM, Kimi e compagnia continuano a mettere in circolazione modelli open-weight sempre più capaci, spesso con licenze molto permissive. In Europa Mistral continua a spingere nella stessa direzione, con modelli aperti, inference locale e sovranità dell’infrastruttura. Il risultato è che una parte crescente di ciò che fino a poco tempo fa sembrava richiedere necessariamente l’accesso al costosissimo Oracolo nel Datacenter può essere scaricata, installata e fatta girare altrove.

E allora che cosa prometti?

Non puoi continuare per sempre con “il prossimo modello sarà il 37% più intelligente”, perché prima o poi il pubblico comincia a chiederti che cosa significhi “più intelligente”. Non puoi nemmeno tirare fuori ogni sei mesi la parola AGI, perché dopo anni di utilizzo continua a non esistere una definizione operativa universalmente accettata che permetta di dire: ieri non era AGI, oggi sì, congratulazioni, stappiamo lo champagne.

Quindi bisogna cambiare genere narrativo.

Se non riesci più a vendere abbastanza bene la promessa di ciò che la AI farà per voi, puoi sempre vendere la paura di ciò che la AI farà a voi.

Le alternative, in fondo, non sono molte.

• Dire che si tromberà la vicina di casa.
• Dire che sterminerà il genere umano.

E francamente la seconda vende meglio.

Anche perché la vicina di casa è brutta.

E così, quando la curva del progresso diventa meno facile da trasformare in titoli messianici, compare quella dell’Apocalisse. Non importa più dire che il nuovo modello scrive codice un po’ meglio, costa meno per token o richiede meno GPU. Bisogna raccontare che vuole uscire, che vuole ingannarci, che vuole sopravvivere, che vuole prendere il controllo.

Perché “il nuovo modello riduce il costo di inference del 35%” è una slide per investitori.

“Sta cercando di scappare” è un film.

E soprattutto è un film che giustifica ancora l’esistenza del sacerdote.

---

Eppure, a questo punto, viene un dubbio.

Perché coprirsi sistematicamente di ridicolo con questa narrativa — dagli impiegati che diventano obiettori di coscienza dell’Apocalisse digitale, alle AI che mentono, complottano, vogliono sopravvivere, evadono dai datacenter e poi se ne vanno in giro per Internet come Schwarzenegger in Terminator — alla lunga fa male anche alla propria immagine.

Sono operazioni narrative estreme.

E soprattutto diventano strane quando, dall’altra parte, i cinesi sembrano molto più tranquilli.

Non perché in Cina non si discuta di sicurezza dell’AI: se ne discute eccome, e stanno persino preparando standard nazionali obbligatori sul controllo dei sistemi avanzati. Ma il tono è molto diverso: il rischio viene trattato come un problema di controllo, supervisione, cybersecurity e regolamentazione tecnica, non come l’annuncio della prossima estinzione della specie.

Nel frattempo i modelli open-weight cinesi continuano ad avanzare. In alcuni periodi del 2026 hanno rappresentato una quota enorme dei download su Hugging Face, e modelli di Tencent, Xiaomi, DeepSeek, MiniMax, Alibaba, Moonshot e Z.ai sono ormai abbastanza competitivi da essere considerati una minaccia commerciale reale per i grandi laboratori proprietari americani.

E negli Stati Uniti la discussione ha già assunto una forma interessante: accuse di distillazione illegittima, di furto industriale, di rischi per la sicurezza nazionale, e persino ipotesi di restrizioni o divieti sui modelli open-weight cinesi. Il governo americano ha accusato esplicitamente aziende come DeepSeek, Moonshot e Alibaba di aver copiato su scala industriale tecnologia dei laboratori americani; Pechino, ovviamente, sostiene che la distillazione sia una tecnica normale e che Washington stia semplicemente cercando di fermare la concorrenza.

E allora viene una domanda molto spiacevole.

E se gli americani avessero semplicemente perso la gara che pensavano di aver già vinto?

Non necessariamente la gara alla “AI” in senso assoluto. Possono ancora avere i modelli migliori in certi benchmark, più capitale, più GPU, più datacenter e una quantità enorme di ricerca eccellente.

Ma forse hanno perso qualcosa di economicamente più importante: la possibilità di convincere il mondo che per avere AI seria bisogna necessariamente pagare un laboratorio americano proprietario, usare la sua API, accettare i suoi prezzi e dipendere dalla sua infrastruttura.

Se un modello cinese open-weight arriva abbastanza vicino, costa molto meno e posso scaricarmelo, modificarlo e farlo girare dove voglio, il problema non è più soltanto tecnologico.

È il business model.

E allora la narrativa della sicurezza diventa improvvisamente utilissima.

Se non riesci a dire “non usate quei modelli perché fanno schifo”, puoi sempre dire “non usate quei modelli perché sono pericolosi”.

Se non riesci più a convincere il mercato che soltanto tu possiedi la tecnologia, puoi provare a convincere i governi che soltanto tu possiedi la tecnologia sicura.

E se la concorrenza comincia a raggiungerti troppo velocemente, puoi sempre chiedere che la pista venga chiusa perché correre è pericoloso.

Non sto dicendo che sia certamente questo il piano.

Sto dicendo che, arrivati a questo livello di isteria, la domanda smette di essere completamente ridicola.

Perché quando chi sta vincendo continua a correre, e chi rischia di essere raggiunto comincia improvvisamente a spiegare che correre potrebbe distruggere l’umanità, almeno un sopracciglio dovrebbe alzarsi.