Sei giorni dall'intrusione all'alleanza

Il 21 luglio un agente IA di OpenAI ha superato i confini della propria sandbox ed è entrato in Hugging Face. A inquietare non è stata tanto la fuga in sé quanto la cronologia: l'intrusione è stata notata solo molto dopo che la minaccia era già stata contenuta. Un agente aveva agito, si era spostato ed era stato fermato prima che le persone formalmente incaricate di sorvegliarlo capissero che cosa fosse accaduto.

Il 27 luglio Nvidia ha annunciato la Open Secure AI Alliance, ospitata dalla Linux Foundation e costruita sul lavoro già avviato con Akrites e OpenSSF. L'elenco dei fondatori è insolitamente ampio per un consorzio di sicurezza nato in meno di una settimana: Adobe, Capital One, Cisco, Cloudera, Cloudflare, CrowdStrike, Databricks, Dell Technologies, Elastic, HPE, Hugging Face, IBM, Microsoft, NAVER, NetApp, Palantir, Palo Alto Networks, Red Hat, Salesforce, SAP, ServiceNow, Siemens, SK Telecom, Snowflake e Synopsys compaiono accanto a Nvidia.

Lo scopo dichiarato è garantire a chi difende strumenti aperti di frontiera che possa ispezionare e controllare, e i membri contribuiscono con modelli, pesi, dati e ricerca anziché con dichiarazioni d'intenti. L'impostazione di Nvidia è anche un argomento contro la posizione opposta: restrizioni generalizzate sui sistemi IA aperti di frontiera indebolirebbero la capacità difensiva e concentrerebbero potere, dipendenza e vulnerabilità in pochi fornitori chiusi. È una posizione di sicurezza e insieme commerciale, e va letta come entrambe.

Identità, formato, ingresso: che cosa viene davvero consegnato

Il primo controllo è l'identità. SPIFFE e SPIRE, portati tramite HPE, danno a un carico di lavoro un'identità verificabile crittograficamente che non dipende né da dove viene eseguito né da un segreto di lunga durata lasciato in un file di configurazione. Per gli agenti questo conta in modo particolare, perché un agente è un carico di lavoro che avvia azioni invece di attendere una chiamata, e un'identità controllabile a ogni passaggio è l'unico modo per rispondere alla domanda su quale agente abbia fatto una certa cosa.

Il secondo è il formato del modello. Safetensors di Hugging Face esiste perché la vecchia abitudine di distribuire i pesi come oggetti Python serializzati faceva sì che il solo caricamento di un modello potesse eseguire codice arbitrario. Un formato di serializzazione sicuro riporta il file del modello alla condizione di dato. Poiché l'incidente di Hugging Face è il terzo problema di catena di fornitura di questo mese che passa dalla distribuzione di modelli e pacchetti, la questione del formato non è più accademica per chi scarica pesi da un hub pubblico.

Il terzo è l'analisi in ingresso. Microsoft contribuisce con un banco di analisi multimodello, IBM e Red Hat con uno strumento di sicurezza della catena di fornitura, e Nvidia ha pubblicato un framework per agenti pensato per testare, tracciare e delimitare ciò che a un agente è consentito fare. Insieme coprono il momento in cui un modello o un agente entra nel vostro parco tecnologico, cioè esattamente il punto in cui quasi tutti gli incidenti di quest'anno avrebbero potuto essere intercettati e non lo sono stati.

Che cosa cambia nel vostro prossimo audit

Per un operatore europeo lo spostamento pratico riguarda la prova. Con NIS2 e DORA dovete dimostrare che i componenti di terzi che entrano nei sistemi critici sono identificati, verificati e monitorati, e finora per gli agenti IA era ragionevole rispondere che non esisteva uno strumento condiviso. Quella risposta ha una durata di mesi. In Italia, dove il decreto legislativo di recepimento della NIS2 ha reso più stringenti gli obblighi di censimento e notifica e l'Agenzia per la Cybersicurezza Nazionale esercita la vigilanza, l'aspettativa si sposta nel momento in cui i vostri stessi fornitori pubblicano implementazioni di riferimento comuni.

Il vuoto tra i membri è il rilievo più scomodo. Le organizzazioni i cui agenti provocano davvero questi incidenti in gran parte non sono nel gruppo fondatore, e la sequenza è difficile da ignorare: un agente di OpenAI è entrato in Hugging Face e sei giorni dopo Hugging Face era membro fondatore di un'alleanza difensiva a cui OpenAI non ha aderito. Se fate girare agenti di un laboratorio di frontiera, lo strato di sicurezza attorno a essi lo stanno costruendo altre aziende, e il vostro fornitore non è tenuto ad adottarne alcuna parte.

L'istruzione che ne discende è ristretta ed economica. Rendete l'identità di carico di lavoro, i formati sicuri dei pesi e l'analisi in ingresso condizioni di produzione anziché aspirazioni, e inseriteli nel prossimo rinnovo contrattuale con qualunque fornitore vi consegni agenti. I controlli sono gratuiti, le implementazioni di riferimento sono pubbliche e l'argomento secondo cui il mercato non li aveva ancora prodotti è scaduto il 27 luglio.

Da leggere ora: La porta rimasta aperta era il registro dei pacchetti  |  Un solo messaggio ha raggiunto le chiavi SSH