Vi spiego rischi e prospettive della cybsersecurity nell’era dell’AI. L’analisi di Contini

La trasformazione digitale in atto, in tutti i settori di attività umana, sta subendo una ulteriore accelerazione grazie all’avvento dell’Intelligenza Artificiale (IA) nelle sue varie declinazioni.

L’AI rappresenta sia una minaccia che uno strumento indispensabile per la cybersecurity. I dati recenti pubblicati da MarketsandMarkets evidenziano una crescita esponenziale del settore cyber AI, con un fatturato che dovrebbe triplicare da 22,4 miliardi nel 2023 a 60,6 miliardi di dollari entro il 2028. Un’accelerazione nel mercato che già oggi, secondo lo studio “Cybersecurity Workforce Study” di ISC2, mette in evidenza una carenza di 4 milioni di professionisti della cybersecurity al livello globale.

Questa stessa tecnologia può al tempo stesso costituire una seria minaccia alla sicurezza digitale globale. Il caso WannaCry, un attacco cibernetico che sfruttò l’IA per automatizzare l’infezione di oltre 200.000 computer già nel 2017, evidenzia quanto sia cruciale comprendere e mitigare le potenziali vulnerabilità associate all’adozione di tecnologie avanzate. Le minacce che l’IA può rappresentare per la Cybersecurity sono molteplici: da attacchi più sofisticati, a nuove forme di minaccia, passando per difese insufficienti e vulnerabilità nelle stesse tecnologie di IA.

A marzo di quest’anno, sulla piattaforma HuggingFace, una popolare piattaforma open-source che fornisce tra l’altro modelli linguistici di grandi dimensioni (LLM), sono stati trovati più di 100 modelli per AI e Machine Learning infettati con codice malevolo. Più in generale, si vanno diffondendo nuove forme di “poisoning”, che generalmente si associa solo all’avvelenamento dei dati: nell’AI, potrebbero essere “avvelenate” anche porzioni specifiche del modello, come quella che gestisce le instructions (gli input di un LLM) o quelle relative alla parte di Guardrail (i meccanismi di auto-censura spesso incorporati nei modelli). In definitiva, insomma, il poisoning potrebbe riguardare anche una porzione specifica del modello e potrebbe non essere rintracciabile facilmente.

Inoltre, c’è il tema del Trust: quando le persone (o le aziende) iniziano a fidarsi dell’AI (anche nella CyberSec), c’è il concreto rischio che si fideranno dell’AI anche quando sbaglierà, perché non faranno abbastanza cross-check.

Ultimo punto riguarda le minacce delle AI generative (DeepFake, tecniche di Deception, creazione di falsi contenuti e simili), e degli impatti che queste possono avere nei contesti più diversi, incluse le elezioni.

Considerato ciò, è impossibile sovrastimare il ruolo positivo che l’IA può svolgere nell’efficientare e proteggere le infrastrutture critiche. L’analisi dei dati, il machine learning, il rilevamento e la risposta alle minacce, nonché la protezione dei dati sono solo alcune delle aree in cui l’IA può fornire un vantaggio significativo nel contrastare minacce sempre più complesse e pervasive. Tuttavia, di fronte a minacce globali, la risposta non può essere lasciata alle singole aziende o amministrazioni, e neanche a singoli Stati. È necessario implementare forme di cooperazione più ampie possibili, sia a livello governativo che industriale, favorendo la condivisione delle informazioni, lo sviluppo di standard e best practice comuni, la ricerca e lo sviluppo congiunti e l’assistenza reciproca per affrontare le sfide della sicurezza digitale in modo efficiente.

Il nostro Paese ha intrapreso per tempo una strada finalizzata a regolamentare l’IA, con la presentazione già nel 2020 della Strategia Nazionale per l’Intelligenza Artificiale, che mira a delineare principi trasversali che riguardano imprese, scuola, università̀, ricerca, lavoro e la pubblica amministrazione.

È in atto uno sforzo comune, sovranazionale, per giungere ad un approccio armonizzato e condiviso verso le sfide etiche, legali e sociali connesse all’introduzione dell’Intelligenza Artificiale, finalizzato ad avere linee guida comuni. Le iniziative attualmente in corso, come il Regolamento sull’Intelligenza Artificiale dell’Ue, il Libro Bianco sull’IA, i principi dell’Ocse e le raccomandazioni dell’Unesco sull’etica dell’IA, rappresentano importanti passi avanti nel tentativo di regolamentare e promuovere l’adozione responsabile delle tecnologie di IA.

Tuttavia, rimangono ancora molte sfide da affrontare: definire l’IA in modo chiaro e non ambiguo, valutare i rischi associati, proteggere i diritti umani e promuovere l’innovazione in un contesto etico e responsabile. La definizione stessa dell’IA è soggetta a interpretazioni diverse, ma è fondamentale che venga chiaramente delineata per guidare lo sviluppo e l’implementazione di soluzioni efficaci.

Valutare il rischio associato all’impiego dell’IA nella cybersecurity richiede quindi un’analisi approfondita delle potenziali minacce e vulnerabilità, nonché una costante vigilanza per adattarsi a un panorama in continua evoluzione. Affrontare queste sfide richiede un impegno congiunto da parte dei governi, delle aziende e della società nel suo complesso, per far sì che questa tecnologia, trasversale e applicabile nei più disparati campi dell’attività umana, possa portare i benefici attesi senza compromettere i fondamentali valori umani ed etici che caratterizzano la nostra società.