Edition 14

L'istinto di trattare un chatbot come un confidente privato è esattamente la trappola. Tolta l'intimità, la realtà è banale: ChatGPT è un servizio cloud gestito da una società che registra gli input, li conserva e li consegna quando un tribunale, o la propria policy, lo richiede. È più simile a un'email che a un diario, e le email sono acquisibili come prove da decenni. L'errore non è usare l'AI, è dimenticare cosa sia.

Per la vostra organizzazione questa non è una nota a margine sulla privacy personale, è un problema di gestione dei documenti che vi riguarda già. Ognuna di quelle 1.200 app AI non ufficiali di cui ho parlato qualche settimana fa è ora un archivio di documenti aziendali acquisibili come prove, potenzialmente soggetti a misure di conservazione legale, e probabilmente del tutto al di fuori delle vostre regole di retention e classificazione. Se un regolatore o una controparte vi chiedesse di produrre, o conservare, tutto ciò che il vostro personale ha digitato negli strumenti AI, sareste in grado di farlo? Trattate le chat AI per quello che sono giuridicamente: documenti aziendali sul cloud di terzi, e governateli di conseguenza.

La storia raccontata da tutti questa settimana è "la grande AI viene regolamentata", il che è vero e noioso. Il dettaglio più acuto è la categoria. Chiamare ChatGPT un motore di ricerca è il suono della regolamentazione che estende un manuale vecchio di un decennio su qualcosa per cui non era stato scritto, e non sarà l'ultima volta, perché l'alternativa, un regime su misura per ogni nuovo tipo di AI, avanza molto più lentamente della tecnologia. Aspettatevi altri adattamenti goffi, e aspettatevi che i confini vengano contestati in sede legale.

La sostanza non riguarda la sicurezza di questi sistemi, che è già migliore di quella di quasi qualsiasi organizzazione. Riguarda l'effetto del prodotto sulle persone che lo utilizzano. Un modello generativo deve ora valutare e mitigare formalmente come diffonde contenuti illegali, danneggia i minori, distorce le elezioni e erode la salute mentale, con auditor indipendenti e ricercatori che stanno per ottenere accesso per verificarne il lavoro. È un nuovo tipo di richiesta: non se il vostro sistema è sicuro, ma cosa sta facendo il vostro sistema al pubblico. È la prima volta che un regolatore fa rispondere un'AI generativa dell'effetto sulla società piuttosto che del suo uptime, e come ChatGPT risponderà entro gennaio è la vera storia, anche se l'obbligo in sé non raggiungerà mai la maggior parte delle organizzazioni.

Questa è una casella genuinamente nuova per il vostro threat model, e merita attenzione. Per due anni la superficie di attacco AI era il prompt, l'elemento di fronte al modello. La memoria sposta il bersaglio dietro di esso, nello stato persistente, e questo trasforma il rischio da un trucco momentaneo a un impianto durevole. È la stessa lezione dell'attacco di persistenza passkey di cui ho parlato il mese scorso: la mossa pericolosa non è quella che termina con la sessione, è quella che rimane silenziosamente.

Quindi, se state distribuendo agenti con memoria, e dopo i numeri della settimana scorsa probabilmente lo state facendo anche senza averlo deciso, le domande cambiano. Cosa può scrivere nella memoria dell'agente, e parte di esso è input non attendibile come un'email o una pagina web? Siete in grado di ispezionare, sanificare e ripristinare quanto ha memorizzato? OWASP ha già codificato questo come rischio agentico di primo livello con difese nominali, quindi non è speculativo. E sì, gli strumenti che rilevano la memoria avvelenata sono essi stessi AI, il che è il loop in cui viviamo ora: usare l'AI per difendersi dall'AI, per sempre. Non è un paradosso da risolvere, è semplicemente il lavoro ora.

Guardate cosa ha effettivamente fallito, perché è la tesi intera di questa newsletter in un'unica sanzione. Nessun MFA. Nessuna VPN. Nessuna segmentazione degli accessi. Nessun monitoraggio. Non un zero-day, non uno stato-nazione, solo i controlli di base che non sono mai stati implementati, e 727.000 persone ne hanno pagato le conseguenze. Qualsiasi framework al mondo li avrebbe segnalati. La lacuna non era sapere cosa fare. Era farlo.

Ora la parte che dovrebbe preoccupare chiunque si interessi a dove si concentra realmente il rischio. L'ospedale privato ha ricevuto una multa di mezzo milione di euro e una pubblica gogna. Un ospedale pubblico francese, che detiene dati almeno altrettanto sensibili, non è soggetto per legge a tale multa, e lo Stato francese non ha nemmeno recepito NIS2 per i propri enti. Quindi i soggetti con la minor pressione di enforcement sono spesso quelli che detengono i dati dei cittadini più sensibili, acquisiti coattivamente, non forniti volontariamente. Questa inversione è il ponte verso l'ultimo elemento, e non è solo un problema francese.

Sarò breve perché l'argomento è nel testo, ma ecco il punto centrale, e vale ovunque si voti. La cybersecurity non ha un vero divario ideologico. Nessuno fa campagna per una crittografia più debole o patch più lente. Quindi, quando diventa un marcatore di campagna, l'unica cosa che un candidato può aggiungere è un rebranding: una nuova agenzia, un perimetro ridisegnato, un budget riannunciato, e ogni rebranding costa dai dodici ai diciotto mesi di ri-familiarizzazione contro scadenze che non si spostano. L'AI è diversa: ha divisioni genuine che vale la pena dibattere. La cyber difensiva no.

Ciò di cui il settore pubblico ha bisogno non è una dottrina per ogni elezione, ma esecuzione attraverso di esse: finanziamenti pluriennali che sopravvivono alla battaglia annuale sul bilancio, milestone riportate pubblicamente al parlamento anziché sepolte in commissione, e idealmente un impegno trasversale su alcune scadenze datate che nessuno riapre. Ho visto, in Vallonia, cosa succede senza quella sponsorship: buoni audit che diventano PDF archiviati. L'argomentazione completa, con i numeri, è in link. Se lavorate in prossimità del governo, è la lettura che vorrei di più nelle vostre mani questa settimana.