Per anni il dibattito sull'intelligenza artificiale applicata alla cybersecurity è stato raccontato come una sfida quasi sportiva: chi trarrà il maggiore vantaggio, gli hacker o chi protegge le reti? La risposta fornita dalle National Academies of Sciences, Engineering and Medicine degli Stati Uniti è molto meno rassicurante di quanto molti si aspettassero. Il nuovo rapporto dedicato agli effetti dell'AI sulla sicurezza informatica sostiene infatti che il problema non sia stabilire quale delle due parti vincerà definitivamente, ma gestire un periodo di transizione nel quale le capacità offensive potrebbero evolvere più rapidamente di quelle difensive. È proprio questo squilibrio temporaneo a rappresentare oggi il rischio più concreto per imprese, pubbliche amministrazioni e infrastrutture critiche.
LA DEMOCRATIZZAZIONE DEL CYBERCRIMINE
L'aspetto più interessante del rapporto non riguarda tanto l'aumento della potenza dell'intelligenza artificiale quanto la riduzione delle barriere d'ingresso. Attività che fino a pochi anni fa richiedevano competenze altamente specialistiche, settimane di preparazione e risorse economiche significative possono oggi essere accelerate grazie ai modelli generativi e ai sistemi agentici. L'individuazione di vulnerabilità, la raccolta di informazioni sui bersagli, la creazione di campagne di phishing credibili, la scrittura di codice malevolo e l'automazione delle attività di ricognizione diventano più rapide, meno costose e accessibili a un numero crescente di soggetti. Non significa che l'AI renda automaticamente chiunque un hacker esperto, ma riduce sensibilmente il livello di esperienza necessario per condurre operazioni offensive con un'efficacia impensabile fino a pochi anni fa.
Questa trasformazione modifica profondamente il panorama delle minacce. Se in passato molte campagne sofisticate erano prerogativa di gruppi criminali ben organizzati o di attori statali, oggi il rischio è che strumenti sempre più potenti diventino disponibili anche per organizzazioni di dimensioni ridotte. L'effetto non è soltanto un aumento del numero degli attacchi, ma anche della loro qualità. Il cybercrime tende così a industrializzarsi, sfruttando l'automazione per colpire più bersagli contemporaneamente, adattare i messaggi alle singole vittime e individuare vulnerabilità con velocità crescente.
QUANDO L'INTELLIGENZA ARTIFICIALE DIVENTA UN MOLTIPLICATORE DI RISCHIO
L'intelligenza artificiale rappresenta una tecnologia a duplice uso. Gli stessi strumenti capaci di aiutare un ricercatore a individuare una vulnerabilità prima che venga sfruttata possono essere utilizzati da un attaccante per cercare quella medesima debolezza su migliaia di sistemi contemporaneamente. Questa natura duale rende particolarmente complessa qualsiasi strategia normativa fondata esclusivamente sul controllo dell'accesso ai modelli più avanzati.
Il rapporto sottolinea infatti che il vantaggio iniziale degli attaccanti deriva da una semplice considerazione operativa. Automatizzare un'offensiva è generalmente più semplice che automatizzare una difesa completa. Un attacco può concentrarsi su un singolo punto debole, mentre chi difende deve monitorare reti, dispositivi, software, identità digitali e catene di fornitura in modo continuo. La sicurezza informatica rimane quindi un problema sistemico, nel quale basta un errore per compromettere un'infrastruttura, mentre la protezione richiede il corretto funzionamento di decine di processi contemporaneamente.
LE CONSEGUENZE PER IMPRESE E INFRASTRUTTURE CRITICHE
L'impatto di questa evoluzione non riguarda esclusivamente le grandi aziende tecnologiche. Ospedali, banche, operatori energetici, reti di trasporto e pubbliche amministrazioni stanno progressivamente aumentando la propria dipendenza da sistemi digitali sempre più complessi. Parallelamente cresce la superficie di attacco e aumenta il valore economico delle informazioni trattate.
Non sorprende quindi che anche negli Stati Uniti il tema sia ormai affrontato come una questione di sicurezza nazionale. Proprio nei giorni scorsi la Casa Bianca ha annunciato la creazione di un gruppo permanente di coordinamento tra sviluppatori di intelligenza artificiale e gestori di infrastrutture essenziali con l'obiettivo di condividere vulnerabilità individuate dai modelli più avanzati, coordinare le attività di risposta e ridurre il rischio che tali informazioni possano essere sfruttate da soggetti ostili prima della distribuzione delle correzioni. Si tratta di un cambio di approccio significativo: la cybersecurity viene affrontata non solo come problema tecnico, ma come elemento strategico della resilienza nazionale.
DAL RISCHIO TECNOLOGICO ALLA RESPONSABILITÀ GIURIDICA
Questa evoluzione pone inevitabilmente nuove domande anche sul piano del diritto. Se l'intelligenza artificiale rende prevedibili determinate categorie di attacchi e rende disponibili strumenti difensivi sempre più efficaci, cambia anche il parametro con cui valutare la diligenza richiesta alle organizzazioni.
In Europa questo principio emerge già dal nuovo quadro normativo sulla resilienza digitale. La direttiva NIS2 amplia gli obblighi di gestione del rischio, rafforza la responsabilità del management e impone procedure sempre più strutturate di prevenzione e risposta agli incidenti. Il Cyber Resilience Act introduce invece requisiti di sicurezza lungo l'intero ciclo di vita dei prodotti digitali, imponendo una maggiore attenzione alla gestione delle vulnerabilità e agli aggiornamenti di sicurezza. Parallelamente, l'AI Act inserisce la cybersecurity tra gli elementi essenziali per garantire l'affidabilità dei sistemi di intelligenza artificiale, soprattutto quando utilizzati in contesti ad alto rischio.
Il risultato è un progressivo spostamento della responsabilità. Non sarà più sufficiente dimostrare di aver reagito correttamente a un incidente informatico; diventerà sempre più importante provare di aver adottato tutte le misure ragionevolmente disponibili per prevenirlo. In altre parole, la governance della sicurezza informatica si trasforma progressivamente in un obbligo organizzativo permanente, destinato a coinvolgere consigli di amministrazione, responsabili della compliance, DPO, CISO e management aziendale.
LA DIFESA DEL FUTURO NON SARÀ PIÙ REATTIVA
Se il breve periodo appare critico, il messaggio conclusivo del rapporto è tutt'altro che pessimista. Gli esperti ritengono infatti che proprio l'intelligenza artificiale possa consentire, nel medio e lungo termine, un cambiamento radicale del paradigma difensivo. La sicurezza informatica potrebbe evolvere da un modello basato su controlli periodici e interventi successivi agli incidenti a un sistema continuo, capace di monitorare costantemente le infrastrutture, identificare anomalie in tempo reale, suggerire correzioni, distribuire automaticamente aggiornamenti e supportare le attività di risposta agli attacchi.
Per raggiungere questo obiettivo, tuttavia, non sarà sufficiente sviluppare modelli di AI sempre più sofisticati. Serviranno investimenti nella qualità del software, nella condivisione delle informazioni sulle minacce, nella formazione del personale, nella ricerca e nella cooperazione tra settore pubblico e privato. Gli autori del rapporto ricordano come la storia di Internet abbia già dimostrato che gli incentivi economici e regolatori rappresentano uno degli strumenti più efficaci per migliorare la sicurezza complessiva dell'ecosistema digitale. In assenza di tali incentivi, la velocità dell'innovazione continuerà a superare quella della protezione.
LA CORSA DECISIVA NON È TRA HACKER E INTELLIGENZA ARTIFICIALE
L'errore più grande sarebbe interpretare questa fase come una semplice competizione tecnologica tra cybercriminali e sistemi di difesa. La vera sfida riguarda la capacità delle istituzioni, delle imprese e dei legislatori di adattare con sufficiente rapidità modelli organizzativi, regole e investimenti a una tecnologia che evolve con ritmi senza precedenti.
L'intelligenza artificiale non renderà inevitabilmente Internet meno sicura. Ma renderà molto più costoso il ritardo di chi continuerà a considerare la cybersecurity come un semplice adempimento tecnico. Nel prossimo decennio il vantaggio competitivo non apparterrà necessariamente a chi svilupperà l'algoritmo più potente, bensì a chi riuscirà a costruire un ecosistema nel quale innovazione tecnologica, resilienza operativa e governance giuridica cresceranno con la stessa velocità.
A cura degli studenti sotto la Facoltà di Giurisprudenza e Ingegneria Informatica
NOTE E RIFERIMENTI
- Direttiva (UE) 2022/2555 (NIS2) — Misure per un livello comune elevato di cybersicurezza nell'Unione. Costituisce il principale riferimento europeo per la gestione del rischio cyber, gli obblighi di sicurezza e la responsabilità degli organi di amministrazione delle organizzazioni essenziali e importanti: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Regolamento (UE) 2024/2847 (Cyber Resilience Act) — Introduce requisiti obbligatori di cybersecurity per prodotti hardware e software lungo l'intero ciclo di vita, rafforzando il principio di security by design e la gestione delle vulnerabilità: https://eur-lex.europa.eu/eli/reg/2024/2847/oj
- Regolamento (UE) 2024/1689 (AI Act) — Primo quadro normativo europeo sull'intelligenza artificiale. Per il tema trattato risultano particolarmente rilevanti le disposizioni relative alla gestione dei rischi, alla robustezza, all'accuratezza e alla cybersecurity dei sistemi di AI ad alto rischio: https://eur-lex.europa.eu/eli/reg/2024/1689/oj
- ENISA – Threat Landscape — Rapporti periodici dell'Agenzia dell'Unione europea per la cybersicurezza che analizzano l'evoluzione delle principali minacce informatiche e le tendenze emergenti del panorama cyber europeo: https://www.enisa.europa.eu/publications/enisa-threat-landscape
- National Academies of Sciences, Engineering, and Medicine, AI and the Future of Cybersecurity — Rapporto scientifico che analizza l'impatto dell'intelligenza artificiale sulle capacità offensive e difensive della cybersecurity, evidenziando l'aumento dei rischi nel breve periodo e le prospettive di rafforzamento della resilienza digitale attraverso investimenti e cooperazione: https://www.nationalacademies.org/news/ai-will-elevate-near-term-cybersecurity-risks-but-with-investment-and-coordination-can-strengthen-cybersecurity-in-the-long-run
- NIST – AI Risk Management Framework (AI RMF 1.0) — Framework sviluppato dal National Institute of Standards and Technology per supportare organizzazioni pubbliche e private nella gestione dei rischi connessi ai sistemi di intelligenza artificiale, compresi gli aspetti di sicurezza, affidabilità e governance: https://www.nist.gov/itl/ai-risk-management-framework
