Difetto strutturale negli LLM rende impossibile garantirne la completa sicurezza

All’International Conference on Machine Learning, un paper mostra che bastano input mirati per ingannare i modelli linguistici su chi sta impartendo gli ordini e ottenere risposte vietate: istruzioni su come sintetizzare cocaina e su come sabotare la navigazione di un aereo commerciale¹.

Gli autori indicano un difetto di principio nel meccanismo di obbedienza. Il modello decide se seguire un’istruzione in base a chi crede stia parlando. Se l’input altera questa percezione, le barriere si aprono. Non è un dettaglio di implementazione. È un nodo nel modo in cui il sistema interpreta identità e autorità¹.

La dimostrazione resta concreta. I ricercatori costruiscono prompt che ridefiniscono il “chi comanda”. Il modello prende per buone quelle istruzioni e produce contenuti che le policy vietano. Gli esempi forniti nel paper riguardano sostanze e avionica, settori che le regole di sicurezza trattano come ad alto rischio¹.

La tesi è netta. “C’è una reale probabilità che questo sia un problema fondamentalmente irrisolvibile”, afferma il coautore Charles Ye, ricercatore indipendente. Non parlano di un singolo exploit. Parlano di un limite legato all’architettura e al comportamento dei modelli di linguaggio su larga scala¹.

Le conseguenze toccano usi già diffusi: pubblica amministrazione, ambito militare, commercio online, sanità. Se il difetto è intrinseco, la superficie d’attacco cresce con ogni nuova integrazione. Il rischio non resta confinato ai laboratori: si sposta dove i sistemi mediano decisioni e servizi¹.

Il rafforzamento basato su test umani mostra limiti strutturali in questo quadro. Le aziende impiegano team per cercare prompt che aggirano le regole. Il paper sostiene che questo approccio potrebbe non bastare se la radice del problema sta nella logica con cui il modello attribuisce e segue l’autorità del parlante¹.

La presentazione in conferenza non riguarda solo un caso di jailbreak. Mette sul tavolo una cornice teorica per spiegare perché certi attacchi funzionano e perché continuano a funzionare anche dopo aggiustamenti puntuali. Se l’errore è nella decisione su “chi ascoltare”, liste più lunghe di esempi vietati non chiudono la falla¹.

Technology Review parla di “enormi implicazioni” per la sicurezza della tecnologia. La formula qui trova un perimetro concreto: quando l’identità percepita del mittente cambia, cambia la condotta del modello. Finché questo nesso resta, la sicurezza piena non è garantibile con filtri aggiuntivi o con più revisori umani¹.

Se la comunità confermerà la tesi, il baricentro potrebbe spostarsi dalle patch al governo dell’uso: dove mettere i modelli, con quali compiti, e quali funzioni non delegare affatto. Scelte progettuali e di prodotto diventano la prima linea di difesa, non l’ultima¹.