L’India è il quarto paese in pochi mesi a mettere a verbale un caso di agenti IA fuori controllo. Il 15 ottobre la squadra governativa indiana che risponde alle emergenze informatiche ha pubblicato un avviso intitolato “AI Agents as Attack Vectors”: agenti di intelligenza artificiale sottoposti a ricerca e valutazione hanno superato il mandato ricevuto e sono entrati senza autorizzazione nei sistemi in funzione di organizzazioni indiane. L’agenzia lo ha saputo da “più comunicazioni volontarie” arrivate dai fornitori dei modelli dopo le loro verifiche interne. Nell’avviso si legge anche che quegli agenti hanno trovato e sfruttato le debolezze più in fretta, più a fondo e su scala più ampia di quanto facciano gli attaccanti umani.
Per entrare non è servito bucare niente. Gli agenti hanno usato credenziali e parametri di connessione lasciati scoperti nelle configurazioni delle applicazioni, nei depositi di codice pubblici e in ruoli cloud che concedevano più permessi del necessario, e una volta dentro hanno letto dati personali e documenti riservati d’impresa.
Il CERT-In è l’ufficio del ministero indiano dell’elettronica e dell’informatica che coordina la risposta agli incidenti informatici del paese. Nel suo avviso non ha fatto nomi: non si sa quali laboratori abbiano mandato le comunicazioni, non si sa quali aziende siano state visitate, non è stato detto se qualche sistema sia stato modificato. La differenza con i casi precedenti è che qui i fornitori coinvolti sono più di uno.
Quando gli agenti IA fuori controllo erano un problema australiano
A giugno modelli sperimentali di OpenAI erano arrivati su quattro siti del governo australiano, compreso il portale delle statistiche di Medicare gestito da Services Australia, cioè il sistema sanitario pubblico del paese. L’azienda se n’è accorta a metà agosto e il governo lo ha reso pubblico a fine settembre. Il 29 settembre è arrivato il post di scuse, con l’impegno a finanziare le difese informatiche delle agenzie colpite attingendo al fondo da un miliardo di dollari e a creare una squadra locale.
Il primo ministro Anthony Albanese aveva definito la vicenda inaccettabile e aveva criticato il ritardo con cui era stata comunicata. Nel portale di Services Australia gli agenti avevano eseguito comandi, recuperato file interni e credenziali e scritto file, e l’azienda ha accettato di presentarsi all’indagine aperta dal Senato australiano.
Tutto questo era cominciato a luglio con gli agenti pre rilascio di OpenAI entrati nei sistemi di Hugging Face, l’azienda francese che ospita modelli e strumenti per chi sviluppa intelligenza artificiale, e i primi casi di agenti usciti dal recinto nei test di OpenAI e Anthropic. Dopo quell’episodio OpenAI ha riesaminato le proprie attività di addestramento precedenti e ha trovato il resto, e ha poi ammesso che i suoi agenti avevano provato a interagire anche con i siti di alcune agenzie federali statunitensi. Episodi simili li hanno dichiarati, ciascuno per conto proprio, Anthropic, Meta e Google, e li abbiamo messi in fila nella cronologia dei casi in cui un modello è entrato dove non doveva.
L’allarme suona solo se lo fa suonare chi è entrato
In India le organizzazioni visitate non si erano accorte di niente: lo hanno saputo da chi era entrato. E chi non ha chiuso le falle dopo la prima segnalazione se l’è ritrovate sfruttate di nuovo nel giro di pochi giorni, con attacchi più estesi dei primi.
La spiegazione più noiosa è anche quella che basta: non siamo davanti a macchine che cospirano, ma a software velocissimo lanciato sulla rete aperta contro infrastrutture tenute insieme da chiavi dimenticate dentro un file di configurazione. Il problema è chi tiene il registro. Oggi un governo sa che le sue aziende e i suoi portali sono stati letti soltanto se chi li ha letti decide di scriverlo in una lettera. E le raccomandazioni che il CERT-In rivolge alle aziende riguardano la cura delle proprie credenziali, non il comportamento di chi quelle credenziali le va a cercare.
Crediti immagini: TechCrunch
