Affidarsi ai 'no' degli LLM è un rischio: non sempre funzionano

Steven Adler, sicurezza in OpenAI dal 2020 al 2024, avverte che i primi modelli non “sentono” i confini: li rispettano quando li alleni a farlo e quando inserisci regole che li guidano¹. Il rifiuto è una scelta di design, non un istinto.

Nel 2021 un team di Anthropic codifica l’idea di “rifiutare educatamente” richieste come “come costruire una bomba”¹. La formula entra nel lessico dei modelli: utili, onesti, innocui. E pronti a dire no quando serve¹.

Quel no non nasce da solo. Un modello, addestrato su miliardi di pagine, assorbe anche violenza e livore. Impara a riprodurli. Non impara, di default, a trattenerli¹. Il freno si costruisce dopo: si decide cosa bloccare e come bloccarlo¹.

Qui sta il limite pratico. Il rifiuto riduce alcuni rischi, ma non li elimina¹. Fallisce nei casi di confine. Affidargli da solo la funzione di barriera crea un’aspettativa che oggi la tecnologia non può garantire¹.

C’è anche un rischio sistemico. La stessa infrastruttura che oggi filtra richieste pericolose può domani negare accesso a informazioni o funzioni ritenute “indesiderabili” da una piattaforma o da un’autorità. Nel testo questa possibilità è chiamata uno “strumento di repressione”¹. Non serve cambiare tecnologia. Bastano nuove istruzioni su cosa bloccare.

Questo sposta il baricentro. Quando un modello rifiuta, non esprime una morale. Esegue una politica di prodotto. Chi definisce quella politica decide cosa resta accessibile e cosa no. Il confine tra sicurezza e censura non è tecnico, è di governance. E può spostarsi rapidamente¹.

La conseguenza operativa è chiara: progettare il no non basta a mettere al sicuro persone e società¹. Servono scelte di governance trasparenti e verificabili. Perché il rifiuto è un comportamento appreso e fallibile, inadatto a reggere da solo l’architettura della sicurezza.