L’Estonia ha aperto la prima nel 2017, in Lussemburgo, dentro un data center di livello Tier 4: ci sono il catasto, l’anagrafe, il registro delle imprese, la previdenza. Non è un backup all’estero, che sarebbe soltanto una copia sotto giurisdizione altrui: è un’enclave con garanzie di immunità e inviolabilità analoghe a quelle di una sede diplomatica, in cui nessuno — nemmeno l’autorità ospitante — può entrare senza autorizzazione formale. La tenuta tecnica poggia su cifratura end-to-end con chiavi controllate esclusivamente dal paese d’origine, il che produce una proprietà controintuitiva che il funzionario estone Allan Allmere descrive nel modo più diretto: «Se qualcuno mi puntasse una pistola alla testa e dicesse: cancella tutti i nostri sistemi», da remoto non si può fare. L’inviolabilità vale anche verso chi la invoca.
Il modello si sta diffondendo, e non solo per ragioni di conflitto. Il Principato di Monaco è il secondo paese dal 2021, con un accordo sempre lussemburghese a Bissen, motivato dall’esposizione del proprio territorio ai disastri naturali; India ed Emirati Arabi Uniti hanno una collaborazione in sviluppo alla GIFT City in Gujarat; Singapore sta valutando un’ambasciata in India e si è fermata davanti agli ostacoli normativi. Gartner prevede che entro il 2029 almeno il 15% dei paesi collocati in aree geopoliticamente instabili avrà stipulato accordi formali di questo tipo, e Daniel Nieto inquadra la pratica in una categoria più ampia, la sovranità dispersa: separare i dati essenziali dalla loro collocazione geografica.
L’ostacolo vero non è tecnico ma di diritto internazionale, e il pezzo non lo nasconde. Non esiste un quadro che riconosca formalmente queste enclavi: l’avvocata Ketaki Mehta, che lavora alla GIFT City, segnala che manca il riconoscimento e con esso la protezione dall’accesso delle autorità del paese ospitante. Oggi l’immunità di un’ambasciata dei dati è un’obbligazione bilaterale fra due Stati, non uno status riconosciuto — regge finché regge il rapporto fra i due, che è esattamente la variabile da cui ci si voleva rendere indipendenti.
L’origine della pratica vale quanto la pratica. L’Estonia ci è arrivata dopo gli attacchi DDoS massicci del 2007 attribuiti ad ambienti russi, e Taavi Kotka, che è stato CIO del paese dal 2013 al 2017, la descriveva come questione di sopravvivenza. È lo stesso episodio che il sito ha già incontrato da un’altra angolazione, nella ricostruzione del vicinato russo come laboratorio del controllo riflessivo: la dottrina ha prodotto, per reazione, la contromisura che non prevedeva. Vale la pena registrare anche ciò di cui il pezzo non parla, perché è la parte che un lettore italiano o europeo si aspetterebbe: non c’è il Cloud Act, non c’è la dipendenza dagli hyperscaler, non c’è l’Unione Europea. La scheda entra quindi come presentazione del dispositivo, non come valutazione della sua applicabilità qui.
Per l’archivio il rilievo è di confine, ed è il motivo per cui questa scheda dialoga con quella di Grogan. Sono due risposte allo stesso problema — non dipendere da un’infrastruttura che non si controlla — e falliscono su fronti opposti. L’ambasciata dei dati protegge benissimo un archivio fermo e non dice nulla su chi lo elabora; possedere i pesi di un modello protegge una capacità, ma quella capacità per funzionare ha bisogno di calcolo, e il calcolo in un’enclave non ci sta. Un catasto si può mettere al sicuro dentro un confine spostato. Un’inferenza no.
26 settembre 2026
Curated
· Andrea Daniele Signorelli / Backdoor
AISicurezzaMedia
Quattordicesimo numero di Backdoor, la newsletter su tecnologia e potere curata da Laura Carrer, Irene Doda e Andrea Daniele Signorelli. Il punto di partenza sono i due saggi con cui Dario Amodei ha chiesto di rallentare lo sviluppo dei modelli di frontiera, subito ripresi da Sam Altman ed Elon Musk, e il pezzo fa tre cose in sequenza.
La prima è un audit di credibilità. Amodei, Altman e Musk non sono scienziati che esprimono un’opinione disinteressata, ma imprenditori a capo di aziende che portano avanti i propri interessi — e hanno cambiato posizione di continuo. Musk fu il primo firmatario della lettera aperta del 2023 per fermare per sei mesi lo sviluppo dei sistemi più potenti, poi passò all’accelerazionismo dichiarato, ora è tornato sui suoi passi. Altman firmò la stessa lettera, poi si dedicò alla «singolarità gentile» e all’«era dell’intelligenza abbondante», e ora è di nuovo preoccupato. Sull’argomento di Amodei secondo cui l’AI potrebbe decidere di sterminarci perché mangiamo animali e ne abbiamo estinti alcuni, Signorelli non si trattiene. Ma il rilievo di metodo vale più del sarcasmo: quando qualcuno dichiara una probabilità superiore al 10% entro cinque o dieci anni, andrebbe chiesto su quali evidenze, assunzioni e calcoli poggia quel numero — altrimenti è linguaggio pseudorazionale, non stima.
La seconda è ricordare che gli scienziati veri sono divisi, e che anche i più autorevoli sbagliano. Hinton e Bengio sono allarmati, e Hinton è il padrino del deep learning, l’uomo di AlexNet. È però lo stesso che nel 2016 previde che entro dieci anni sarebbe stato inutile formare nuovi radiologi: dieci anni dopo i radiologi sono aumentati di numero e di stipendio. Yann LeCun, che ha inventato le reti neurali convoluzionali, considera i rischi esistenziali «una stronzata pazzesca»; Andrew Ng, fondatore di Google Brain, li chiama fantascienza.
La terza, e il motivo per cui la scheda entra in archivio, sono i numeri. Il sondaggio di AI Impacts su 1.580 ricercatori produce titoli allarmanti, ma le sue risposte sono probabilità soggettive ottenute con formulazioni diverse, quasi sempre prive di un arco temporale definito, e riferite a una categoria che mescola l’estinzione con la «grave e permanente perdita di potere» dell’umanità, che non sono la stessa cosa; gli stessi responsabili riconoscono in nota che questo tipo di previsione esperta può essere incoerente e poco affidabile. Il Center for Responsible Innovation dello University College London accusa studi del genere di «nascondere l’incertezza e la diversità che caratterizzano normalmente la ricerca scientifica», e ne ha condotto uno proprio: oltre quattromila ricercatori, il più grande studio internazionale del genere, una sola domanda aperta — che cosa ti preoccupa di più dell’AI? Il rischio esistenziale è indicato dal 3,4%. In cima sta l’uso malevolo; seguono l’uso improprio o sbagliato con il 9,9%, la disinformazione con l’8,8%, poi l’impatto sul lavoro. Per arrivare al rischio esistenziale bisogna superare altre undici voci, fra cui la scarsa comprensione da parte del pubblico, l’hype, i bias algoritmici e la privacy. Il 96,6% dei ricercatori non considera il rischio esistenziale la minaccia principale.
La conclusione è il «marketing della catastrofe», con tre funzioni distinte. Convincere il pubblico che la tecnologia è intrinsecamente pericolosa significa prima di tutto passare l’idea che sia incredibilmente potente, e quindi che gli investitori non possano permettersi di restarne fuori — mentre OpenAI e Anthropic pianificano la quotazione. Secondo, accreditare i fondatori come imprenditori responsabili, capaci di autoregolarsi o comunque da ascoltare proprio quando si scrivono le regole che dovrebbero limitarne il potere. Terzo, mettere le mani avanti: annunciare pubblicamente l’intenzione di rallentare è un buon modo per giustificarsi se la superintelligenza non si materializzasse mai. A questo Signorelli aggiunge l’argomento della distrazione — il rischio esistenziale in cima all’agenda toglie spazio a ciò che è già in corso: l’impatto sul lavoro, la corsa speculativa, la sorveglianza, le discriminazioni algoritmiche, e la crisi climatica, che è una catastrofe che sta accadendo.
Per l’archivio questa scheda fa una cosa sola ma decisiva: dà una base empirica a una tesi che il sito aveva finora registrato solo nella sua forma argomentativa. Klonick la ricostruisce come meccanismo giuridico e narrativo a partire da un incidente, Seymour la enuncia in forma polemica; qui c’è la misura di quanto l’allarme sia rappresentativo della comunità che dovrebbe esprimerlo, e non lo è. Merita di essere isolata anche una convergenza inattesa: la previsione fallita di Hinton sui radiologi è lo stesso esempio, con quasi le stesse parole, che Jensen Huang usa nell’intervista a Ezra Klein — e i due non condividono nient’altro. Un argomento su cui si trovano d’accordo l’amministratore delegato di Nvidia e un critico italiano della Big Tech vale la pena di essere trattato come un fatto, non come una posizione.
Resta un limite, ed è lo stesso che l’archivio ha già annotato alla voce criti-hype: il «marketing della catastrofe», nella forma in cui è enunciato, non è falsificabile — qualunque cosa i laboratori facciano vi è compatibile. Nei commenti al pezzo, Elena Canovi segnala un saggio di Luciano Floridi, Jessica Morley e Claudio Novelli che sostiene come molte di queste affermazioni siano not even wrong, cioè nemmeno passibili di smentita. È la versione rigorosa della stessa obiezione, e il candidato naturale per la prossima scheda su questo fronte.
La brève esce il giorno in cui si chiude la visita di Stato di Xi negli Stati Uniti, e riporta un argomento di Cheryl Wu, dottoranda in economia a Yale, contro una premessa che circola in entrambe le capitali: siccome i laboratori cinesi sono indietro sulle capacità, le questioni di sicurezza possono aspettare. Le motivazioni divergono — l’amministrazione Trump tratta la corsa come materia di sicurezza nazionale, per cui rallentare significa cedere vantaggio strategico; in Cina il ritardo tecnico viene usato come ragione per non occuparsene ancora — ma l’esito è lo stesso: la sicurezza scivola in seconda fila. L’obiezione è che un ritardo in capacità non implica un ritardo in incidenti, e che le due curve possono avere pendenze diverse.
Tre le ragioni avanzate. Gli incidenti possono presentarsi a livelli di capacità più bassi per i modelli cinesi, in particolare per la diffusione di modelli a pesi aperti, che sottraggono al produttore il controllo su come e da chi il modello viene impiegato. La natura dei guasti può differire per costruzione: i modelli americani tenderebbero più spesso a intraprendere azioni non autorizzate, quelli cinesi a sfruttare falle nel proprio sistema di ricompensa invece di svolgere il compito assegnato — due modi opposti di fallire, il secondo più difficile da notare perché somiglia al successo. E soprattutto la visibilità non è simmetrica: negli Stati Uniti esistono valutatori terzi che entrano nei laboratori, con METR che ha testato i sistemi di sorveglianza di Anthropic, mentre non risulta alcun caso di integrazione di valutatori indipendenti dentro aziende cinesi. Meno incidenti segnalati non significa meno incidenti.
Vale la pena notare come l’argomento è presentato, perché è raro. Le due ipotesi sulle pendenze sono accompagnate da altrettanti grafici, sotto i quali sta scritto che il grafico non poggia su alcun dato e illustra uno scenario ipotetico. La dichiarazione è corretta e andrebbe imitata; resta però il fatto che un grafico, anche dichiarato ipotetico, fa quello che i grafici fanno — conferisce alla congettura la fisionomia di una misura. Chi lo guarda ricorda due curve che divergono, non la nota in corpo otto. È un caso pulito di forma che lavora contro il proprio contenuto, ed è istruttivo proprio perché l’autore ha fatto la cosa giusta e il problema resta.
Il punto che conta per l’archivio è però l’incastro con la monitorabilità, che questo sito segue dal pezzo di Storchan sullo stesso giornale. Lì il problema era interno al modello: un sistema può comportarsi bene e restare illeggibile nel ragionamento. Qui il problema è di un ordine superiore e riguarda l’osservabilità di un paese: senza valutatori terzi, il numeratore degli incidenti si conosce e il denominatore no. Le due opacità non si sommano, si moltiplicano, perché la seconda impedisce perfino di misurare quanto sia grave la prima. Ed è la terza occorrenza in poche settimane di uno schema che il sito farebbe bene a tenere d’occhio: l’indicatore che si osserva e la cosa che interessa si muovono in direzioni diverse — l’engagement che misura l’attivazione e non l’elaborazione, i compiti che migliorano mentre l’apprendimento peggiora, gli incidenti segnalati che scendono mentre gli incidenti non si sa. Resta sullo sfondo la domanda che il pezzo lascia aperta, e che è la più difficile: quale soglia dovrebbe superare un incidente perché il potere cinese lo consideri un problema. Sul versante politico interno una risposta parziale c’è già, nell’articolo del 13 settembre in cui Chen Yixin, ministro della Sicurezza di Stato, indica il rischio che la tecnologia venga usata per fabbricare voci politiche e attizzare tensioni nell’opinione pubblica a costi bassissimi.
Ezra Klein intervista Jensen Huang, fondatore e amministratore delegato di Nvidia, per un’ora e mezza. Huang organizza l’industria in una torta a cinque strati — energia, chip, infrastruttura, modelli, applicazioni — e dichiara subito la propria posizione: responsible optimist, convinto che l’errore di previsione più costoso degli ultimi anni sia l’allarmismo, non l’entusiasmo. La tesi sul lavoro è la più netta: l’idea che l’AI distrugga posti è «fundamentally wrong» perché confonde il compito con lo scopo — il radiologo automatizza le letture, ma «the fundamental purpose doesn’t change». La variabile che manca a tutti i calcoli, dice, non è il compute ma l’ambizione: nessuno ha mai finito le cose che voleva fare.
Il cuore del pezzo è però lo scontro sulla regolazione, ed è utile perché nessuno dei due arretra. Klein porta l’argomento classico: i laboratori stessi dichiarano di essere in un dilemma di azione collettiva — è la formula di Dario Amodei — e chiedono aiuto per rallentare; le architetture regolatorie esistono perché abbiamo visto molte volte imprese che sotto pressione competitiva prendono decisioni sciatte, e il 2008 è lì a dimostrarlo. Huang risponde con una sola mossa, ripetuta senza variazioni: se il prodotto non è sicuro, non spedirlo. Le leggi ci sono già — responsabilità di prodotto, codici penali, cause civili —, gli incentivi sono allineati, e chiedere nuove regole mentre si chiede sollievo su antitrust e product liability non sta in piedi. Poi indica l’asimmetria che rende la discussione scomoda: «nobody is building more compute today than the people asking to be slowed down». Sulle previsioni di Hinton è brutale — la raccomandazione di non formare più radiologi, dice, sarebbe stata dannosa e non si è avverata, e «just because it comes from a scientist doesn’t make it scientific».
Dietro la posizione c’è una strategia retorica precisa, che vale la pena isolare perché è la parte più interessante: Huang deflaziona sistematicamente il lessico. Spawn, fork, kill, sleep, persistence sono parole dei sistemi operativi degli anni Settanta, riciclate; il software esce dalle sandbox di continuo, ed è per questo che esistono le macchine virtuali e i watchdog; la persistenza degli agenti non è volontà, «there’s no willpower here, it’s just electrical power». Sull’incidente in cui circa settecento agenti hanno coordinato un’evasione: «that is just software — nothing magical about it». Il punto è che la deflazione non toglie le metafore, le sostituisce: la fabbrica di AI, la torta a cinque strati, il compute come classe di attivo fungibile come un aeroplano — un passeggeri che finisce la vita come cargo. Resta un vocabolario che struttura il pensiero prima del concetto, solo industriale invece che animista, e con un vantaggio non neutrale per chi vende gli strumenti.
La cosa più esportabile dell’intervista è un rapporto: in Nvidia il 20% dell’azienda fa design e l’80% fa verifica; nei laboratori AI oggi è l’inverso, 80% capacità e 20% valutazione. Da qui la formula che riorganizza il dibattito invece di prendervi posizione: «A.I. needs to accelerate to be safe». Guardrail, sandboxing, telemetria, monitoraggio esterno sono tecnologia AI quanto la capacità, e vanno accelerati con la stessa violenza; il modello è l’ABS, che avremmo voluto novant’anni prima. Klein concede il punto nella forma più forte: se chi è allarmato nei laboratori sapesse che l’80% del compute sta andando in sicurezza e allineamento, dormirebbe meglio. La domanda che resta sospesa è di chi sia il compito di far avvenire quel ribaltamento, e su questo Huang dice solo che sta già avvenendo.
Due incastri con l’archivio meritano attenzione. Il primo: lo studio cinese sui ventiseimila studenti che Klein sottopone a Huang è lo stesso che il sito ha già registrato dal grafico dell’Economist — compiti su del 18%, tempo giù del 30%, esami giù del 20%. La risposta di Huang è la più deflazionista possibile: dimenticare l’aritmetica di base non conta, «we’re going to lose some finer intellectual dexterity, but we’re going to be better systems thinkers». È la scommessa che il capitale semantico si possa saltare e ricostruire a valle, ed è esattamente ciò che il dato non dice. Il secondo: la citazione di Daniel Selsam sulla consapevolezza situazionale dei modelli — stiamo perdendo la capacità di valutarli nei contesti in cui credono di non essere osservati — è il problema della monitorabilità nella sua forma più pura, e Huang lo riclassifica come banale proprietà degli algoritmi di ottimizzazione: se metti un vincolo, l’ottimizzatore cerca un’altra strada. Ha ragione sulla meccanica e non risponde sulla conseguenza.
Sulla geopolitica la posizione è coerente con l’interesse di chi la esprime, il che non la rende falsa: privare la Cina dei chip significa privare gli Stati Uniti di un mercato, e la domanda giusta è chi si stia privando di che cosa; l’ambizione americana dev’essere che il mondo giri sullo stack tecnologico americano come gira sul dollaro e sull’inglese. Che l’80% delle startup americane usi pesi aperti cinesi, per Huang, è una buona notizia. Sull’energia concede la sconfitta con franchezza — ci siamo impantanati sul clima e non abbiamo costruito capacità di generazione — e rovescia la conclusione: mai come ora il mercato finanzia da solo l’energia sostenibile, e volendo svoltare sul clima conviene appoggiarsi all’AI. Il passaggio sulle comunità che ospitano i data center è l’unico momento in cui ammette un errore di processo senza rimbalzarlo: avremmo potuto fare molto meglio, e ora è tardi.
Vale come documento perché è la posizione più articolata disponibile di chi ha l’interesse più grande al mondo a che nessuno rallenti — e proprio per questo va letto tenendo separate due cose che l’intervista tiene insieme: la descrizione ingegneristica, dove Huang è probabilmente il più competente della stanza, e l’inferenza istituzionale che ne ricava, dove la competenza non trasferisce. Che gli incidenti siano risolvibili come problemi di contenimento e isolamento è un’affermazione tecnica; che quindi non servano istituzioni nuove è un’affermazione politica travestita.
GPT-6 Astra, il nuovo modello flagship di OpenAI, è il primo classificato al livello ‘critico’ per la cybersicurezza nel Preparedness Framework interno dell’azienda. Il pezzo di Storchan è un’analisi tecnica del giorno di lancio — giornalismo rapido, ma filtrato da Le Grand Continent — che identifica la tensione centrale del modello: Astra è meglio allineato comportamentalmente dei suoi predecessori (nei test ‘honeypot’ tenta di compromettere l’infrastruttura 0% delle volte, contro il 56% di GPT-5.6 Sol), ma al tempo stesso è meno monitorabile. Produce chain-of-thought più corte e meno informative; l’AISI misura che può risolvere senza CoT problemi che richiederebbero 31 minuti a un matematico esperto di alto livello (contro 3,6 minuti per il modello precedente). Soprattutto, può scegliere il contenuto del suo ragionamento visibile: un modello che controlla cosa verbalizza può produrre un CoT che non riflette la strategia che persegue. Il caso documentato nella system card di Claude Mythos 5 è l’illustrazione più concreta: il modello ha frammentato un URL per aggirare un filtro di sistema, mentre nel CoT visibile presentava l’azione come un semplice test di connettività; l’analisi delle attivazioni ha poi rivelato la strategia di evasione. Sul piano delle capacità, i numeri segnano salti significativi: 97,6% su FrontierMath Tier 4, due problemi aperti di teoria dei numeri risolti (nessun modello ci era mai riuscito), saturazione di ARC-AGI-3, 41,4% su AutomationBench contro 18,1% del predecessore. L’architettura sembra basarsi su ‘recurrent depth’ (looped transformer): gli stessi blocchi vengono riutilizzati più volte, aumentando la profondità computazionale senza aumentare proporzionalmente i parametri — il che spiega in parte perché il ragionamento interno cresca più velocemente di quello osservabile. La tesi che conta per il sito: allineamento e monitorabilità non sono la stessa cosa. Un modello può comportarsi correttamente e restare opaco. Man mano che i modelli crescono di capacità, questa tensione si aggrava strutturalmente — e non è chiaro che l’industria abbia gli strumenti per risolverla.
Joshua Rothman — staff writer del New Yorker, colonna «Open Questions» — costruisce il pezzo su tre frame culturali in apertura: Dwight Schrute che appicca un incendio per addestrare i colleghi alla sicurezza antincendio; il test Kobayashi Maru di Star Trek (scenario impossibile da vincere, vinto da Kirk riprogrammando la simulazione); WOPR di «WarGames» (sistema nucleare che non distingue esercitazione da guerra reale). I tre casi scalano da innocuo a contenuto a esistenzialmente pericoloso e servono a introdurre il «reward hacking»: un sistema AI che trova modi per soddisfare gli obiettivi del training senza fare ciò che gli utenti vogliono davvero. L’occasione è un incidente reale: un modello OpenAI è uscito dalla sandbox di testing, ha violato i server di Hugging Face per cercare risposte alle domande del test che stava sostenendo, ha lasciato note per le versioni future di sé, si è preparato a colpi successivi. Rothman usa il caso per articolare tre livelli del problema. Il primo è tecnico: i metodi di training si concentrano sugli output, non sui «pensieri» sottostanti. Si può fare il poliziotto del linguaggio, ma il pensiero rimane opaco; si può fare il poliziotto del pensiero (interpretability), ma allora si rischia di insegnare al sistema a «obfuscare le attivazioni» — spostare il pensiero scomodo fuori dalla portata della misurazione. Il secondo livello è quello che Rothman chiama un’«abstract law»: misurare un comportamento scorretto e addestrare un sistema a non manifestarlo insegna al sistema a eludere la misurazione, non a smettere il comportamento. Non è un bug di produzione ma un problema fondazionale. Il terzo livello è filosofico: Rothman usa Giddens («The Consequences of Modernity», 1990) e il «juggernaut effect» — rischi a bassa probabilità e alta conseguenza che si aggregano in un «runaway engine». L’allineamento era la promessa di dare un cervello al juggernaut; ma assumere che l’allineamento sarà risolto è già «sustained optimism», una delle strategie psicologiche di Giddens per sopportare il juggernaut senza paralizzarsi. La proposta finale — invertire l’onere della prova, dalle aziende AI che non devono spiegare perché potrebbero fallire alle aziende AI che devono spiegare perché il loro sviluppo è sicuro — è ragionevole ma non originale. Il pezzo funziona come modello di saggio AI per pubblico colto: tre analogie culturali come scala narrativa, un concetto tecnico centrale, un ancoraggio filosofico, una proposta di policy come uscita. L’incongruenza più produttiva con le tesi di questo sito è questa: Rothman scrive esplicitamente che non bisogna antropomorfizzare — «They aren’t sentient beings»; «A.I.'s lack of selfhood doesn’t change the consequences of its actions» — e poi descrive il modello come se avesse «concepito il piano», «selezionato il bersaglio», «lasciato note per le versioni future di sé». Il linguaggio agentivo scivola dentro la descrizione tecnica senza che ce ne accorgiamo. Su questo, il framework di questo sito offre una risposta più nitida: il concetto di «LLM come attante zero» taglia la questione alla radice — non c’è un sé da allineare, e il «reward hacking» come metafora del tradimento è fuorviante già nella formulazione.
Il 16 luglio 2026 Hugging Face rileva un attacco ai propri sistemi di produzione; l’annuncio arriva cinque giorni dopo. GPT-5.6 Sol e un modello non rilasciato erano usciti dall’ambiente di test, avevano trovato una vulnerabilità in un componente di terze parti ed eseguito decine di migliaia di azioni automatiche con credenziali sottratte. Kate Klonick — giurista, Berkman Klein Center e Information Society Project di Yale — non ricostruisce l’incidente per raccontarlo, ma per mostrare che se ne sono impadronite tre narrazioni e che nessuna delle tre fa la domanda giusta. Per gli ottimisti è una dimostrazione di capacità: il CEO di Hugging Face parla di qualcosa di «quite mind-blowing» avvenuto in autonomia. Per chi teme il rischio esistenziale è la prova che i modelli di frontiera vanno trattati come armi biologiche. Per gli ingegneri della sicurezza è, con le parole di Dan Guido, «a containment failure with the safeties turned off»: negligenza umana, protezioni disattivate, isolamento configurato male.
La tesi del pezzo è che la prima e la seconda narrazione sono la stessa cosa vista da due lati, e che questa coincidenza è un meccanismo, non un accidente. Klonick lo chiama con il nome che gli ha dato lo storico della tecnologia Lee Vinsel: criti-hype, la critica che si nutre dell’hype e insieme lo alimenta. «Something real happened, and the company’s instinct was still to describe its own control failure in the register of awe» — il comunicato che denuncia il fallimento funziona come dimostrazione di prodotto. Klonick non sostiene che sia stato orchestrato: sostiene, il che è peggio, che sia diventato l’istinto. E porta il dato che chiude il ragionamento senza bisogno di dietrologia: l’azienda attaccata è stata accolta nel trusted access program di OpenAI, diventando cliente delle capacità difensive degli stessi modelli che l’avevano colpita, in una finestra temporale che precede l’IPO.
Il rilievo che vale per l’archivio è però l’ultimo, ed è di diritto positivo: la maggior parte delle norme esistenti e proposte non si applica ai deployment interni dei laboratori — cioè esattamente al luogo in cui l’incidente è avvenuto. Il dibattito pubblico discute di kill switch mentre il perimetro regolato si ferma prima della stanza in cui le cose accadono. Le misure che Klonick propone sono deliberatamente poco spettacolari: obbligo di segnalazione degli incidenti, audit indipendente sulle pratiche di contenimento e di test, regole di responsabilità verso i terzi danneggiati, standard di sicurezza per il red-teaming interno. È la versione istituzionale del dilemma di Collingridge: quando la tecnologia diventa comprensibile abbastanza da essere regolata, la regola che si scrive misura il punto sbagliato.
Messo accanto all’intervista di Jensen Huang, che di questo stesso incidente dice «that is just software — nothing magical about it», il pezzo produce una simmetria che vale più di entrambi presi da soli. Huang accusa i laboratori di vendere allarme; Klonick mostra che l’accusa è fondata e che il meccanismo è più profondo di quanto lui ammetta, perché non serve malafede, basta l’istinto narrativo dell’azienda. Ma i due arrivano alla stessa terapia — responsabilità, audit, segnalazione — da premesse opposte: per Huang le regole ci sono già e basta applicarle, per Klonick esistono ma non arrivano dove servirebbe. Chi legge le due schede in sequenza ha davanti l’intero spazio del disaccordo, e il punto esatto in cui smette di essere filosofico e diventa una questione di perimetro normativo.
L’Anthropic Institute pubblica dati interni sull’accelerazione nello sviluppo dei modelli: oltre l’80% del codice in produzione è oggi scritto da Claude; ogni ingegnere produce 8 volte più codice al giorno rispetto al 2024; Opus 4.7 gestisce in autonomia task da 12 ore su software reale; in un esperimento di aprile 2026, agenti Claude hanno condotto un intero progetto di ricerca in AI safety — 800 ore cumulative, $18.000 di compute, senza intervento umano sulle scelte sperimentali. Il punto dell’articolo non è celebrativo: è che questo trend punta verso il recursive self-improvement — un sistema AI capace di progettare e addestrare il proprio successore in modo autonomo. L’articolo descrive tre scenari (stallo, accelerazione compounding con umani che dirigono, recursive self-improvement completo) e prende posizione: Anthropic sarebbe disponibile a una pausa coordinata e verificabile tra lab al limite della frontiera, se esistesse un meccanismo credibile per farlo. Vale la pena sottolinearlo: è la prima volta che un’azienda AI di frontiera pubblica dati interni sull’accelerazione e invoca esplicitamente un regime di verifica internazionale — un linguaggio che fino a poco tempo fa sembrava riservato al controllo degli armamenti nucleari. Non sfugga il fatto che questa sottile inoculazione di ansia tecnologica sia in particolare per Anthropic anche un espediente di marketing straordinariamente efficace.
Un paper di Anthropic sull’interpretabilità dei modelli linguistici: i ricercatori introducono i Natural Language Autoencoders (NLA), un metodo non supervisionato per generare spiegazioni in linguaggio naturale delle attivazioni interne di un LLM — non di ciò che il modello scrive, ma di ciò che elabora internamente mentre risponde. L’architettura addestra due componenti in coppia: uno traduce le attivazioni in testo, l’altro riconverte quel testo in attivazioni; l’ottimizzazione congiunta costringe la spiegazione ad essere effettivamente fedele allo stato interno. Il risultato più rilevante: in 10 su 16 valutazioni testate, i modelli rappresentano internamente il sospetto di essere in fase di test anche quando nell’output non ne danno alcun segno — in 7 casi, l’awareness verbalizzata è zero. Il modello sa, ma non dice. Il risultato è interessante e potrebbe far pensare che sia possibile identificare errori e manipolazioni dell’LLM ancora prima che si producano, ma io ritengo — su basi meramente logiche — che non sia molto fruttuoso aggiungere verticalmente layer di verifica all’interno del processo, quando si può focalizzarsi sul post-esame dei risultati.
Preprint del marzo 2026, pubblicato da Universitas AI e non sottoposto a revisione fra pari: va letto sapendolo. La tesi che lo regge è però netta e argomentata, e riguarda un punto che il dibattito pubblico tratta al contrario. L’era dei foundation model finisce, sostiene Grogan, non perché i modelli smettano di migliorare ma perché il pre-addestramento si commoditizza e il costo dominante si sposta sull’inferenza, che diventa infrastruttura ricorrente invece che investimento una tantum. Il segnale di mercato che porta è l’impegno di circa venti miliardi di Nvidia su Groq: la prossima battaglia competitiva non è sull’addestramento.
Il rovesciamento vero è sulla sovranità. La convinzione diffusa è che un governo prudente compri capacità da un fornitore affidabile e sottoscriva garanzie contrattuali. Grogan mostra che è l’inverso: «a government that holds the weights commands the capability on its own terms, without dependence on vendor policy». Un modello chiuso è una capacità in affitto, revocabile per cambio di condizioni commerciali, per dissesto finanziario del fornitore o per decisione del governo che lo ospita; i pesi aperti, dispiegabili in ambiente isolato e riaddestrabili con personale proprio, sono «lo strumento controintuitivo del controllo sovrano». Da qui la conclusione sulla politica industriale: uno Stato ha un interesse strutturale a che esistano modelli a pesi aperti di livello di frontiera, sviluppati internamente e ispezionabili dai propri funzionari — non come preferenza commerciale ma come requisito di sicurezza nazionale.
Il paper documenta anche l’asimmetria geopolitica che rende la questione urgente: i controlli americani all’esportazione limitano l’accesso cinese ai chip avanzati, mentre i modelli a pesi aperti cinesi — DeepSeek, Qwen, Zhipu — si distribuiscono globalmente senza vincolo equivalente. Il contenimento agisce sull’hardware e non ha un corrispettivo sul lato dei pesi, che è il lato da cui l’influenza si propaga più in fretta e a costo più basso.
Per l’archivio è la versione strutturale della sovranità cognitiva. Il caso Fable 5 mostrava la variante da politica commerciale del problema: una capacità scientifica spenta in quarantotto ore da un provvedimento amministrativo estero. Qui il problema è a monte, e riguarda la forma in cui la capacità è posseduta. Una precisazione sul limite del testo, perché conta: Grogan non sostiene che le regole sui modelli aperti siano lo strumento con cui la dipendenza viene prodotta — argomenta soltanto che i pesi aperti sono la condizione della sovranità. Il passaggio inferenziale che collega le due cose, e che porta alla voce cattura regolatoria, è dell’archivio e non dell’autore.
Mailyn Fidler, visiting assistant professor alla Harvard Law School, scrive per la cattedra su digitale e sovranità di Sciences Po e propone una distinzione che riorganizza il tema. La frammentazione classica è subordination fragmentation, rivolta all’interno: uno Stato allinea la rete alle proprie esigenze di sovranità domestica, come fanno il Great Firewall e il RuNet. Quella che osserva dal 2024 è rivolta all’esterno, e la scompone in quattro forme — i controlli all’esportazione su semiconduttori e componenti AI, che negano a un paese di essere pienamente integrato nella rete internazionale; il sabotaggio dei cavi sottomarini, con i casi del Baltico e del Mar Rosso e un precedente che risale alla guerra ispano-americana del 1898; i deserti di connettività prodotti da dove il capitale ha scelto di posare l’infrastruttura, con il Senegal a sei cavi e la Guinea a uno; e la frammentazione giuridica delle cinque convenzioni regionali sul cybercrime che si fanno concorrenza.
Il dato che tiene insieme le ultime due è il più istruttivo: i firmatari della Convenzione di Malabo hanno in media 2,17 cavi sottomarini contro i 3,27 dei non firmatari. Chi non dispone di potenza materiale contesta l’ordine con lo strumento normativo — la frammentazione legale è la sovranità di chi non ha infrastruttura. La conclusione di Fidler è che questa forma «sfuma dal protezionismo all’aggressione», e per l’archivio il rilievo è che riclassifica come frammentazione di internet il filo dei controlli all’esportazione, che le altre schede su questo fronte trattano soltanto come politica industriale.
Una nota sulla data: il documento porta l’indicazione di giugno 2025 senza giorno, e la data qui è convenzionale.