Il BSI mette in guardia su una nuova tecnologia IA per il rilevamento delle vulnerabilità
Il Bundesamt für Sicherheit in der Informationstechnik (BSI) si è occupato in modo approfondito del nuovo modello di IA «Mythos» di Anthropic e mette in guardia su ripercussioni significative per lo scenario delle minacce informatiche e per la sicurezza nazionale. La tecnologia segna una svolta importante nel panorama della cybersecurity, poiché individua in modo automatizzato vulnerabilità software nascoste in sistemi operativi e browser web ampiamente diffusi.
Che cos'è il modello di IA Mythos?
Mythos è un modello di intelligenza artificiale sviluppato dall'azienda statunitense Anthropic, progettato specificamente per riconoscere in modo automatizzato vulnerabilità software nascoste. L'azienda ha reso noto di avere già individuato con questo strumento migliaia di vulnerabilità gravi, tra cui in ogni sistema operativo e browser web di larga diffusione. Queste scoperte sottolineano l'efficacia pratica della tecnologia in ambiente reale.
Particolarmente degno di nota è il fatto che Anthropic stessa avverta che, con il rapido progresso dell'intelligenza artificiale, capacità di questo tipo negli strumenti IA potrebbero presto essere a disposizione anche di attaccanti online. Ciò rende il controllo e la disponibilità limitata di tali strumenti una questione centrale di sicurezza.
Accesso controllato attraverso partner di primo piano
Anthropic non intende rendere Mythos disponibile al pubblico in generale. Al suo posto avviene una cooperazione controllata con grandi aziende tecnologiche selezionate e specialisti della sicurezza. Apple, Amazon e Microsoft sono tra i partner di cooperazione ai quali viene concesso l'accesso a Mythos, per identificare e chiudere le falle di sicurezza nel proprio software.
Oltre ai grandi gruppi tecnologici, nel progetto sono coinvolti altri partner: la fondazione Linux, le società di sicurezza informatica Crowdstrike e Palo Alto Networks nonché lo specialista di reti Cisco. Questa selezione indica una strategia che punta su attori consolidati e affidabili nel settore della sicurezza.
La prospettiva del BSI: la sicurezza nazionale al centro
Ampia rivalutazione del panorama delle vulnerabilità
La presidente del BSI Claudia Plattner si è detta preoccupata per le implicazioni di ampia portata della tecnologia. Il BSI finora non ha potuto testare direttamente il nuovo strumento, ma nel corso di un colloquio personale con gli sviluppatori ha potuto farsi un'idea del suo funzionamento. L'autorità prende molto sul serio gli annunci di Anthropic e si attende «sconvolgimenti nella gestione delle falle di sicurezza e nel panorama delle vulnerabilità nel suo complesso».
Portando il ragionamento alle sue conseguenze, nel medio termine potrebbe non esistere più alcuna vulnerabilità software classica sconosciuta. Ciò comporterebbe uno spostamento fondamentale dei vettori di attacco e un cambio di paradigma rispetto allo scenario delle minacce informatiche. Gli attaccanti si vedrebbero costretti a sviluppare nuovi metodi e a sfruttare altri punti deboli.
Sovranità e controllo strategico
Il BSI si chiede inoltre se e, in caso affermativo, per quanto tempo strumenti tanto potenti saranno disponibili sul libero mercato o in generale per altri Paesi. Da questa domanda derivano immediatamente riflessioni sulla sicurezza nazionale ed europea nonché sulla sovranità tecnologica. Chi ha il controllo su strumenti di sicurezza tanto potenti possiede anche un vantaggio strategico nel panorama della cybersecurity.
Il contesto critico: perché le vulnerabilità sono così pericolose
Porte d'accesso per criminalità informatica e spionaggio
Le vulnerabilità in software, hardware o reti sono porte d'accesso per attacchi informatici da parte di criminali o di hacker che operano al servizio di servizi segreti stranieri. Quanto più a lungo una vulnerabilità è nota ma non viene chiusa, tanto maggiore è il rischio per imprese, enti pubblici e utenti privati di essere vittime di furto di dati o di estorsione dopo l'installazione di software dannoso.
Particolarmente critiche sono le cosiddette vulnerabilità zero-day, non ancora note ai produttori. Queste vengono spesso utilizzate come primi obiettivi di attacco da criminali informatici e servizi segreti, poiché imprese e autorità non possono ancora adottare contromisure.
Esempio storico: WannaCry e la falla della NSA
La storia mostra le drammatiche conseguenze che si verificano quando le vulnerabilità non vengono chiuse per tempo. Nel 2017 alcuni hacker hanno sfruttato una falla di sicurezza nota al servizio segreto statunitense NSA per infettare su vasta scala computer con il software di estorsione WannaCry. Questi programmi cifrano il disco rigido e chiedono denaro per il rilascio dei dati. All'epoca furono colpiti, tra gli altri, ospedali britannici e i tabelloni informativi della Deutsche Bahn. La NSA finì sotto critica perché non aveva fatto chiudere la falla di sicurezza, benché il pericolo fosse evidente.
Anche i servizi di intelligence e gli inquirenti tedeschi utilizzano tuttavia le vulnerabilità per determinati scopi, ad esempio per far luce su reti terroristiche o su reati gravi oppure per la prevenzione dei pericoli. Ciò evidenzia il complesso bilanciamento tra sicurezza e determinati poteri investigativi.
Rilevanza pratica per i responsabili della sicurezza
Patching e aggiornamenti regolari come pratica critica
Dalla situazione discende immediatamente, per le imprese e per i gestori di infrastrutture critiche, che l'installazione degli aggiornamenti di sicurezza e il patching sistematico devono avere la massima priorità. Con i moderni strumenti di IA che riconoscono le vulnerabilità in modo automatizzato, queste vengono rese note prima e in numero maggiore. Le imprese devono accelerare e ottimizzare di conseguenza i propri processi di aggiornamento.
In particolare per i gestori di sistemi con elevate esigenze di protezione vale quanto segue: un'analisi proattiva delle vulnerabilità e audit di sicurezza regolari diventano ancora più imprescindibili. Ciò vale anche per le strutture di sicurezza specializzate che proteggono beni critici: le banche che custodiscono contante e titoli, ad esempio, potrebbero trarre vantaggio da misure di sicurezza aggiuntive, così da essere protette anche contro attacchi tecnici.
Prospettive e implicazioni strategiche
Lo sviluppo di Mythos da parte di Anthropic segna una nuova pietra miliare nella tecnologia della cybersecurity. Con l'accesso controllato alla tecnologia, Anthropic cerca di mantenere l'equilibrio tra innovazione e sicurezza, un equilibrio che sarà difficile da conservare quando capacità analoghe emergeranno anche in altri sistemi di IA.
Il BSI continuerà a osservare da vicino lo sviluppo e a mantenere il dialogo con Anthropic. Al tempo stesso le autorità nazionali ed europee dovranno confrontarsi con la questione di come regolamentare e controllare tecnologie strategicamente così rilevanti, nell'interesse della sicurezza e della sovranità della Germania e dell'Europa.
Per imprese e organizzazioni ciò significa che il momento di prepararsi ai moderni scenari di minaccia è adesso. Il rilevamento delle vulnerabilità basato sull'IA diventerà realtà, e chi oggi non è ben preparato subirà domani una pressione ancora maggiore.
