LastKnight.com Feed https://mgpf.it Feed degli articoli di LastKnight.com. Ipotesi, discussioni e notizie da Matteo Flora e dal blog. Fri, 23 Oct 2026 16:18:02 +0000 it-IT hourly 1 https://wordpress.org/?v=7.1.3 https://mgpf.it/wp-content/uploads/2025/08/cropped-Untitled-design-32x32.png Matteo Flora https://mgpf.it 32 32 Due NAZA, e tutti e due «veri» https://mgpf.it/2026/10/23/due-naza.html https://mgpf.it/2026/10/23/due-naza.html#respond Fri, 23 Oct 2026 16:18:00 +0000 https://mgpf.it/?p=6737 Cercate su Google il film premiato a Venezia e in cima c'è l'omonimo, spinto dagli annunci di un governo: la guerra cognitiva passa dalla barra di ricerca.

The post Due NAZA, e tutti e due «veri» first appeared on Matteo Flora.

]]>

Il 19 ottobre 2026 ho scritto «Naza» su Google per controllare una cosa, e proprio sotto la scheda che Google dedica al film mi sono trovato un annuncio a pagamento: “Guarda il film Naza online”, “Naza film, il ‘sito vero’“, “Naza: guarda il film completo”. Il sito a cui portava, però, non era quello del film che stavo cercando: era il sito di un altro film con lo stesso nome, girato apposta per contestare quello premiato a Venezia, che parla dei bombardamenti su Gaza. Nell’archivio pubblico degli annunci di Google, poi, l’inserzionista aveva un nome che non lasciava spazio a interpretazioni, Israeli Government Advertising Agency, cioè l’agenzia che compra la pubblicità per conto del governo israeliano.

Prima di andare avanti metto una cosa in chiaro, perché su questo argomento ogni parola viene pesata col bilancino: in questo pezzo non troverete una mia posizione su chi abbia ragione su Gaza, né politica né morale (e chi mi legge da un po’ sa che c’entra il mestiere più della prudenza, perché io guardo come si costruisce un racconto e lascio ad altri chi lo merita). Troverete la radiografia di una mossa di strategia cognitiva, una delle più pulite che mi sia capitato di vedere in questo campo da parecchio tempo.

Prima di tutto le etichette, perché NAZA non è un documentario

Il film che stavo cercando è NAZA di Yuval Abraham e Rachel Szor, due dei quattro registi di No Other Land, l’Oscar 2025. Dentro ci sono 24 militari e ufficiali dell’intelligence israeliani, tutti anonimi, intervistati di notte sui tetti di Tel Aviv, secondo i quali si calcolava in anticipo quanti civili avrebbe ucciso un bombardamento a Gaza; il titolo viene da nezek agavi, l’espressione militare ebraica per il danno collaterale. Il film è stato presentato in concorso alla 83ª Mostra del cinema di Venezia il 10 settembre 2026 e ha vinto il premio speciale della giuria.

La prima mossa di questa storia, però, la fa una parola prima di qualsiasi governo. «Documentario» è un’etichetta che promette un resoconto neutro dei fatti, la telecamera che registra e lo spettatore che giudica, e lavora prima ancora che parta la prima immagine. NAZA quella promessa non la può mantenere, come nessun film girato dentro una guerra: è il racconto di una parte, costruito su testimonianze anonime che restano fuori da ogni verifica indipendente, che porta sullo schermo la lettura dei fatti della parte palestinese (anche se a firmarlo sono due registi israeliani e a parlare sono militari israeliani), quella che Israele ha sempre respinto e che, davanti a questo film, ha contestato di nuovo. Il 1° ottobre 2026 l’esercito israeliano, l’IDF, ha diffuso dieci pagine in cui parla di “rappresentazione manipolativa della realtà” e nega di aver mai approvato un attacco con 500 civili previsti (la risposta dell’esercito, ripresa nel dettaglio dall’agenzia di stampa ebraica americana JTA, che riporta anche la replica del Guardian, coproduttore del film: lo sostiene «per intero» e la verifica delle testimonianze, fatta anche su documenti riservati trapelati, è stata «rigorosa»); il ministro della Cultura Miki Zohar ha chiesto di revocare la cittadinanza ai due registi, e il primo ministro Netanyahu, secondo Euronews, ha parlato di incitamento all’antisemitismo.

Sulle testimonianze anonime io non faccio il giudice; noto soltanto che la stessa analisi vale, identica, per il film uscito per contraddirlo, che si chiama NAZA: The Real Story, porta sullo schermo la lettura dei fatti della parte israeliana e porta la stessa etichetta di documentario, con in più «la vera storia» nel titolo. Due racconti di parte, presentati con la stessa etichetta: da qui in poi, per onestà, li chiamerò film tutti e due.

Il secondo NAZA, nato in sei giorni

Il sito del secondo film, nazadocumentary.com, nasce il 16 settembre 2026, sei giorni dopo la prima a Venezia, registrato su Cloudflare con i dati del proprietario oscurati, come ha ricostruito l’emittente del Qatar Al Jazeera. Le prime copie conservate dalla Wayback Machine, l’archivio che fotografa i siti nel tempo, mostrano una pagina che si presenta come quella ufficiale del film di Abraham e Szor, con i nomi dei registi e le proiezioni; solo dal 30 settembre 2026 diventa la casa di NAZA: The Real Story, 49 minuti firmati da Ariel Averbuch e Roi Danino, ufficiali di riserva, e dal montatore Hagai Gutman, che lo presentano come una risposta alle accuse del primo film e dichiarano di essersi pagati tutto da soli. In fondo alla pagina ci sono due siti fratelli, watchnaza.com e whatisnaza.com, che si presentano come guide neutrali al film premiato, con tanto di orari delle sale, e che dentro rimandano a nazadocumentary.com (l’ho controllato a mano il 19 ottobre 2026, perché sono fatto così).

Secondo la stessa inchiesta di Al Jazeera, il 14 ottobre 2026 il contatore del sito segnava 43.758.421 visualizzazioni, mentre il film completo su YouTube quel giorno ne aveva meno di 130.000, e il sito quella differenza non l’ha spiegata. Sul piano ufficiale, l’ambasciata israeliana a Washington ha dichiarato che il ministero degli Esteri non ha partecipato alla produzione, e in seguito Tzipi Hotovely, che dirige la direzione nazionale della diplomazia pubblica, ha consegnato ai tre autori un attestato per il loro contributo, come ha raccontato il quotidiano saudita Arab News.

Chi abbia pagato il secondo film non è provato, e io non lo scrivo. Quello che è provato, ed è un fatto più stretto ma molto più solido, è chi paga gli annunci che ci portano la gente. I primi, in inglese, partono il 7 ottobre 2026 con l’invito a visitare il “sito vero”; l‘11 ottobre 2026 la Wayback Machine registra una visita al sito con attaccato all’indirizzo il codice che Google aggiunge quando qualcuno clicca un suo annuncio, cioè la prova che a quella pagina si arrivava da un annuncio a pagamento; dal 15 ottobre 2026 gli annunci girano in sette lingue, con la stessa formula in tedesco (die echte Seite), in olandese (de echte site), in svedese (den riktiga sidan) e in italiano. Nell’archivio ne ho contati almeno diciassette verso lo stesso indirizzo, e l’inserzionista è lo stesso account (nell’archivio ogni inserzionista ha un codice unico) che negli stessi giorni pubblica anche un annuncio di reclutamento per il Mossad. Il 21 ottobre 2026 anche IrpiMedia ha documentato gli annunci in italiano, arrivando allo stesso inserzionista.

Quattro mosse da manuale, e il manuale esiste davvero

Potrebbe sembrare l’idea di un pubblicitario sveglio, solo che ogni mossa ha già un nome e un codice in un catalogo che si chiama DISARM (sta per analisi della disinformazione e gestione del rischio), pubblico e gratuito, in cui gli analisti che si occupano di disinformazione hanno schedato le tecniche delle operazioni di influenza, senza giudicare se quello che diffondono sia vero o falso, con lo stesso spirito con cui MITRE ATT&CK scheda quelle degli attacchi informatici. Messe in fila, le mosse che si vedono da fuori sono quattro: le prime tre stanno nel sito e nei suoi fratelli, di cui nessuno ha dichiarato la proprietà, la quarta negli annunci, di cui conosciamo l’inserzionista.

La prima è la T0102.003, sfruttare un vuoto di dati: una ricerca a cui manca ancora una buona risposta. Il film di Abraham e Szor sarà visibile gratis online solo a fine novembre 2026, quando lo metterà il Guardian, che lo ha coprodotto, e fino ad allora chi scrive «guarda Naza online» una versione legale non la trova: chi si piazza lì occupa uno spazio vuoto, come un banco che apre in una piazza dove i negozi sono ancora chiusi. La seconda è la T0149.003, il dominio sosia, un indirizzo fatto apposta per confondersi con l’originale, e qui è nazadocumentary.com, nato a pochi giorni dal premio e all’inizio vestito da sito ufficiale; nell’annuncio, poi, l’indirizzo visibile finiva con naza/film, come se fosse la pagina del film, ma quel pezzo di indirizzo lo scrive a mano l’inserzionista, e il 19 ottobre 2026 la pagina che stava davvero a quell’indirizzo rispondeva «pagina non trovata». La terza è la T0049.006, che nel catalogo si chiama keyword squatting e che in italiano renderei con occupare la parola: il titolo è identico, NAZA, con The Real Story attaccato dietro. La quarta, quando la parola da sola non basta, è la T0018, comprare annunci mirati, perché il primo posto nella pagina dei risultati si compra all’asta, lingua per lingua, e chi offre di più si prende il primo posto e il testo che ci scrive sopra, «vero» compreso.

Gli annunci, peraltro, chiudono tutti con la stessa formula, “decidete voi” (in tedesco urteilen Sie selbst, in olandese oordeel zelf, in svedese bestäm själv), e nei testi riusano le parole del film di Abraham e Szor, “girato di notte sui tetti di Tel Aviv”, “ascoltate il racconto”. L’effetto, qualunque sia l’intenzione, è che chi cerca il film si ferma davanti a due offerte con lo stesso titolo, e la scelta fra le due la fa lì, sulla pagina dei risultati. L’ultimo tassello è nella scheda dell’annuncio Il vero trailer di Naza: la sezione «Selezione del pubblico» il 19 ottobre 2026 elencava criteri demografici, località incluse ed escluse e le parole cercate, senza dire quali, e basta per capire che l’agenzia ha scelto a chi, dove e su quali ricerche mostrare l’annuncio, che Google ha etichettato come «Arti e intrattenimento», sullo scaffale dei trailer del sabato sera.

Piazzarsi dove la gente cerca un contenuto per offrirgliene un altro, del resto, non l’ha inventato un governo. Nell’aprile 2003 Madonna riempie le reti di scambio come Kazaa di copie finte di American Life, e chi le scaricava la sentiva chiedere “ma che cazzo credete di fare?”, che come assistenza clienti è quanto meno diretta; nel febbraio 2007 MediaDefender, pagata da discografici e studios di Hollywood per seminare file esca, apre Miivi.com, un finto sito pirata, e lo chiude il 4 luglio 2007, il giorno in cui un blogger risale dal registro del dominio fino a loro. La cassetta degli attrezzi è la stessa dal 2003: cambiano chi la usa e per quale causa, là il diritto d’autore, qui il racconto di una guerra.

Perché è guerra cognitiva, e perché la guardo con ammirazione

Il posto dove si combatte questa partita è la testa di chi cerca, nel momento in cui cerca, e c’è uno studio commissionato dall’Alleanza atlantica, la NATO, e firmato da François du Cluzel, Cognitive Warfare (NATO Innovation Hub, 2021), che a questo posto ha dato un nome, dominio cognitivo, proponendo di trattarlo come un sesto campo di battaglia accanto a terra, mare, aria, spazio e rete (ne avevo parlato in audizione al Senato, se vi va: video.matteoflora.com/1502). Con quel vocabolario la cosa si dice in una riga: la contropropaganda, cioè rispondere a un racconto con un altro racconto, è guerra cognitiva, e gli annunci sulla parola «Naza» ne sono un’operazione da manuale.

C’è poi una cosa che a qualcuno non piacerà, ma io non riesco a raccontarla diversamente: Israele, come quasi sempre in questo campo, è all’avanguardia. La diplomazia pubblica, che lì ha perfino un nome suo, hasbara, è da decenni una funzione stabile dello Stato distribuita fra l’ufficio del primo ministro, il ministero degli Esteri e il portavoce dell’esercito; nel 2024 Wired e la radio pubblica americana NPR trovano gli annunci del governo israeliano in cima alle ricerche su UNRWA, l’agenzia delle Nazioni Unite per i profughi palestinesi; nel 2025 Eurovision News Spotlight documenta la campagna per il voto all’Eurovision in 35 paesi e Drop Site News un contratto da 45 milioni di dollari con Google e YouTube; nel luglio 2026 Time racconta di un’agenzia statunitense che lavora per conto di Israele a 1,5 milioni di dollari al mese anche su come i chatbot inquadrano le domande su Israele e Gaza. Mentre mezzo mondo discute ancora di bot e fattorie di troll, la diplomazia pubblica israeliana lavora già sui motori di ricerca e sulle risposte delle intelligenze artificiali, cioè sui due posti dove la gente va a farsi un’idea quando non sa a chi credere.

Per chi queste cose le insegna, alle aziende e alla Difesa, è affascinante vederle arrivare nella realtà eseguite con tanta precisione: il vuoto di dati individuato prima che esistesse una versione legale del film, il dominio registrato in sei giorni e i siti fratelli che si presentano come guide neutrali (di chi siano, ancora non si sa), gli annunci in sette lingue firmati dall’agenzia del governo, con la stessa formula e la stessa chiusura, «decidete voi». È l’ammirazione dell’allenatore che rivede la partita dell’avversario al rallentatore, e non c’entra nulla con il tifo: si può studiare una tecnica senza giudicare lo scopo per cui viene usata (se poi la frase «ammiro la tecnica» vi sembra già una presa di posizione, vi capisco, ma nel mio lavoro è il punto di partenza: non si difende nessuno da una mossa che non si è capita).

Livellare la potenza di fuoco

Resta da capire perché uno Stato con i mezzi di Israele debba comprarsi una riga di Google, e la risposta, secondo me, sta in una lente che di solito si usa per tutt’altro. Antonio Gramsci, nei Quaderni del carcere (scritti fra il 1929 e il 1935), spiega che il potere non si regge soltanto sulla forza dello Stato ma soprattutto sull’egemonia, cioè sulla capacità di far diventare la propria visione il senso comune nella società civile, scuola, giornali, cultura, e che questa egemonia la costruiscono gli intellettuali con una lunga guerra di posizione, molto prima di qualsiasi scontro frontale; qui la uso solo sul terreno della cultura e dell’informazione, non sui rapporti di forza sul campo (in Italia l’abbiamo vista giocare in piccolo con Zerocalcare e la fiera del libro, ne parlavo qui: video.matteoflora.com/1498).

Ora guardate i due NAZA con questa lente. Da una parte ci sono la giuria di Venezia, due registi con un Oscar alle spalle, il Guardian come coproduttore, la distribuzione in oltre cinquanta paesi e in Italia un risultato che non si vedeva da anni: uscito il 28 settembre 2026 in 515 sale per tre giorni, il film arriva primo al botteghino davanti alla riedizione di Avengers, e il Post il 16 ottobre 2026 conta quasi cinque milioni di euro di incassi. Nei luoghi dove un racconto viene consacrato, festival, critica, redazioni, una parte ha dalla sua l’intellighenzia, e su questo film la guerra di posizione pende dalla sua parte. Dall’altra parte c’è uno Stato che in quei luoghi, su questo film, non ha lo stesso peso, e che quindi sposta la partita su un terreno dove la consacrazione non serve.

È lì che Gramsci e il catalogo DISARM si incontrano. Il vuoto di dati è il punto della ricerca in cui la posizione si ottiene con un’offerta all’asta e non con il consenso della critica, dove non conta quanti critici vi hanno applaudito ma quanto siete disposti a spendere per ogni clic, e dove un governo, che nei festival parte svantaggiato, recupera terreno su chi ha vinto a Venezia, perché lì conta il budget. La contropropaganda, in questo senso, è un livellamento della potenza di fuoco, e la battaglia non si gioca su quello che è accaduto a Gaza, su cui, secondo me, nessuno dei due film sposterà di un millimetro nella testa di chi ha già un’idea, ma sull’opinione pubblica di chi un’idea non ce l’ha ancora e scrive «Naza» in un motore di ricerca. Chi ha la critica si tiene la critica; chi non ce l’ha, si prende la barra di ricerca.

Le regole che non arrivano dove arriva l’annuncio

Tutto questo succede in Europa, dove il 14 novembre 2024 Google ha annunciato che da ottobre 2025 nell’Unione europea non avrebbe più pubblicato pubblicità politica, per via del regolamento europeo 2024/900 sulla trasparenza della pubblicità politica. Solo che quel regolamento, all’articolo 3, considera attori politici i partiti, i candidati e i membri dei governi degli Stati membri, e un governo di fuori dall’Unione in quell’elenco non c’è; un annuncio su un film, inoltre, non tocca né elezioni né leggi, e quindi, per come leggo il testo, questa è pubblicità ordinaria, il blocco di Google non scatta e l’annuncio gira.

Resta la norma di Google sulla rappresentazione ingannevole, che vieta di appropriarsi dell’identità di altri marchi per suggerire un legame e la tratta come violazione grave, fino alla sospensione dell’account. Nel 2024, sul caso UNRWA, Google aveva risposto a Wired che quegli annunci non violavano le sue regole, perché, nella sua lettura, le regole guardano soprattutto a non mentire su chi paga e non vietano un contenuto contestato in quanto tale; qui il nome di chi paga c’è, in chiaro, e l’annuncio indica come «sito vero» quello di un altro film con lo stesso titolo. Se questo sia vietato lo decide Google: il 19 ottobre 2026 gli annunci in inglese risultavano ancora attivi, il 23 ottobre 2026 nell’archivio non ce n’era più nessuno su NAZA, in nessuna lingua, mentre gli altri annunci dello stesso inserzionista, compreso quello di reclutamento per il Mossad, erano ancora al loro posto (chi li abbia tolti, se Google o l’agenzia stessa, l’archivio non lo dice). La parte curiosa è che tutto questo lo vediamo soltanto perché Google tiene un archivio pubblico degli annunci, per cui la stessa casa che vende il primo posto ci mostra anche chi se l’è comprato (nessuno è perfetto, ma questa volta l’archivio è stato il miglior testimone).

Se il tema è il mio lavoro, il consiglio è da consulente e vale per chiunque stia per far uscire un’opera esposta, un film, un libro, un’inchiesta: la difesa cognitiva si fa prima, non dopo, e vuol dire prendersi il nome, il dominio e gli annunci sulla ricerca del proprio titolo prima che qualcun altro lo faccia, riempendo con una pagina propria quel vuoto che resta fra l’annuncio del premio e il giorno in cui l’opera si può vedere davvero. Nel caso NAZA, in quei sei giorni qualcuno si era già preso il dominio, e gli annunci sono arrivati tre settimane dopo.

La pizzeria con l’insegna più grande

Pensate a chi esce dal cinema, apre il telefono per consigliare il film a un amico, scrive «Naza» e si vede proporre in cima l’altro, quello che dice il contrario, con sopra scritto che è quello giusto. È come cercare la pizzeria Da Ciro di cui avete sentito parlare da decine di persone e trovarvi, accanto, un secondo locale con lo stesso nome, l’insegna più in alto e la scritta «la VERA pizzeria Da Ciro»: nessuno vi impedisce di entrare nella prima, nessuno vi dice che la margherita dell’altra è migliore, semplicemente vi fermate sul marciapiede con due insegne con lo stesso nome davanti, l’una accanto all’altra, e a quel punto chi ha appeso la seconda insegna ha già ottenuto il suo effetto, perché voi siete lì, fermi, a decidere.

Per Approfondire

Teoria

  • Antonio Gramsci, “Quaderni del carcere”, Einaudi, 1948-1951 (scritti 1929-1935)
  • François du Cluzel, “Cognitive Warfare”, NATO Innovation Hub, 2021, https://innovationhub-act.org/wp-content/uploads/2023/12/20210113_CW-Final-v2-.pdf
  • DISARM Foundation, “DISARM Framework” (DISARMframeworks), 2022, https://github.com/DISARMFoundation/DISARMframeworks
  • Torun International Studies: “HASBARA: Public Diplomacy with Israeli Characteristics” (2020), https://apcz.umk.pl/TSM/article/view/TIS.2020.008

Fonti

  • Google, Centro per la trasparenza pubblicitaria: Israeli Government Advertising Agency, annunci mostrati in Italia (consultato il 19/10/2026), https://adstransparency.google.com/advertiser/AR00827556497616535553?region=IT
  • Google, annuncio in italiano CR09389034947005644801 (15-18/10/2026; consultato il 19/10/2026, non più in archivio il 23/10/2026), https://adstransparency.google.com/advertiser/AR00827556497616535553/creative/CR09389034947005644801?region=IT
  • Google, annuncio in italiano CR16588601901310803969, scheda Selezione del pubblico (15-18/10/2026; consultato il 19/10/2026, non più in archivio il 23/10/2026), https://adstransparency.google.com/advertiser/AR00827556497616535553/creative/CR16588601901310803969?region=IT
  • Google, annuncio in inglese CR12645513510571212801 (dal 7/10/2026; consultato il 19/10/2026, non più in archivio il 23/10/2026), https://adstransparency.google.com/advertiser/AR00827556497616535553/creative/CR12645513510571212801?region=anywhere
  • La Biennale di Venezia: NAZA in concorso alla 83ª Mostra, https://www.labiennale.org/en/node/21272
  • IDF: “IDF response to the film NAZA” (01/10/2026), https://www.idf.il/en/mini-sites/idf-press-releases-israel-at-war/october-26-pr/idf-response-to-the-film-naza/
  • JTA: “In its first detailed response to ‘NAZA’ documentary, IDF claims ‘fundamental errors’” (01/10/2026), https://www.jta.org/2026/10/01/israel/in-its-first-detailed-response-to-naza-documentary-idf-claims-fundamental-errors
  • Khaleej Times: Israel minister on NAZA directors’ citizenship after the Venice win (09/2026), https://www.khaleejtimes.com/entertainment/israel-minister-naza-directors-citizenship-venice-win
  • Euronews: “Benjamin Netanyahu si unisce ai ministri israeliani contro il documentario NAZA” (15/09/2026), https://it.euronews.com/2026/09/15/benjamin-netanyahu-si-unisce-ai-ministri-israeliani-contro-il-documentario-naza-premiato-a
  • Al Jazeera: “Al Jazeera probe exposes fake viewing numbers for Israeli counter-film” (15/10/2026), https://www.aljazeera.com/news/2026/10/15/al-jazeera-probe-exposes-fake-viewing-numbers-for-israeli-counter-film
  • Internet Archive, Wayback Machine: nazadocumentary.com al 16/09/2026, https://web.archive.org/web/20260916204712/http://nazadocumentary.com/
  • Arab News: “Israel backs rival NAZA film to discredit award-winning Gaza war documentary” (09/10/2026), https://www.arabnews.com/media/israel-backs-rival-naza-film-to-discredit-award-winning-gaza-war-documentary-3005495
  • IrpiMedia: “Naza, il governo di Israele cerca di oscurare il film documentario” (21/10/2026), https://irpimedia.irpi.eu/israele-tenta-di-oscurare-naza/
  • The Guardian: “Guardian announces global release plans for documentary feature film NAZA” (24/09/2026), https://www.theguardian.com/gnm-press-office/2026/sep/24/guardian-announces-global-release-plans-for-documentary-feature-film-naza-directed-by-yuval-abraham-and-rachel-szor
  • Il Post: “Il successo di NAZA in Italia ha pochi precedenti” (16/10/2026), https://www.ilpost.it/2026/10/16/naza-incassi-cinema/
  • NPR: “Israel has been buying Google ads spreading false information about UNRWA” (28/08/2024), https://www.npr.org/2024/08/28/nx-s1-5091270/israel-has-been-buying-google-ads-spreading-false-information-about-unrwa
  • Eurovision News Spotlight: “Israeli government agency paid for adverts targeting Eurovision Song Contest public vote” (19/05/2025), https://spotlight.ebu.ch/p/israeli-government-agency-paid-for
  • Drop Site News: “Google’s $45 Million Contract With Netanyahu’s Office to Spread Israeli Propaganda” (03/09/2025), https://www.dropsitenews.com/p/google-youtube-netanyahu-israel-propaganda-gaza-famine
  • Time: “Brad Parscale Israel influence operation” (14/07/2026), https://time.com/article/2026/07/13/brad-parscale-israel-influence-operation/
  • Google: “An update on political advertising in the European Union” (14/11/2024), https://blog.google/company-news/inside-google/around-the-globe/google-europe/political-advertising-in-eu/
  • Regolamento (UE) 2024/900 relativo alla trasparenza e al targeting della pubblicità politica, art. 3, https://eur-lex.europa.eu/eli/reg/2024/900/oj?locale=it
  • Google, Norme pubblicitarie, “Rappresentazione ingannevole”, https://support.google.com/adspolicy/answer/6020955?hl=it
  • The Register: “Like a virgin: Madonna hacked for the very first time” (22/04/2003), https://www.theregister.com/2003/04/22/like_a_virgin_madonna_hacked/
  • Wikipedia: “MediaDefender” (Miivi.com, 2007), https://en.wikipedia.org/wiki/MediaDefender
  • MITRE ATT&CK, https://attack.mitre.org/
  • Ciao Internet, #1608: “NAZA e propaganda: guerra cognitiva e come Israele sta comperando la tua attenzione” (21/10/2026), https://video.matteoflora.com/1608
  • Ciao Internet, #1502: “Chi controlla la mente? L’intelligenza artificiale nel dominio cognitivo”, audizione al Senato, https://video.matteoflora.com/1502
  • Ciao Internet, #1498: “Zerocalcare, Più Libri Più Liberi, Passaggio al Bosco e l’operazione politica di alto livello” (04/12/2025), https://video.matteoflora.com/1498

The post Due NAZA, e tutti e due «veri» first appeared on Matteo Flora.

]]> https://mgpf.it/2026/10/23/due-naza.html/feed 0 ATTACCO CYBER AI FRIGO? https://mgpf.it/2026/10/16/attacco-cyber-frigo.html https://mgpf.it/2026/10/16/attacco-cyber-frigo.html#respond Fri, 16 Oct 2026 15:52:09 +0000 https://mgpf.it/?p=6732 Centinaia di supermercati francesi hanno buttato il fresco: le centraline dei frigo erano su Internet, dice Parigi. L'avviso c'era dal 2025.

The post ATTACCO CYBER AI FRIGO? first appeared on Matteo Flora.

]]>

Nella notte fra domenica 11 e lunedì 12 ottobre 2026, in circa 150 Intermarché sparsi per la Francia, i banchi frigo hanno smesso di raffreddare e si sono messi a scaldare, arrivando a 50 gradi per sei ore, come il gruppo Les Mousquetaires ha raccontato a Reuters (mamma, me lo ricordavo diverso il bollitore!); la mattina dopo i direttori hanno trovato carne, formaggi e yogurt da buttare, e la stessa scena si è ripetuta, secondo le catene, in 80 Carrefour, in circa il 5% dei Monoprix e in un numero ancora imprecisato di Coopérative U e Leclerc (i totali ballano fra 250 e 500 negozi a seconda di chi conta, e infatti ve li do sempre con il nome di chi li ha contati…). Thierry Cotillard, presidente di Intermarché, intervistato dall’emittente BFMTV e ripreso dall’Agence France-Presse, ha parlato di decine di milioni di euro di merce persa in una sola mattinata, aggiungendo il dettaglio che a me pare il più eloquente di tutto il caso: le assicurazioni non coprono questo tipo di incidente.

Non è stato un ransomware, perché nessuno ha chiesto soldi e al 14 ottobre 2026 nessuno ha rivendicato niente, e non è stato nemmeno un furto di dati, che è la forma a cui ci hanno abituato vent’anni di titoli sugli attacchi informatici. Qualcuno è entrato nei sistemi che regolano la refrigerazione, in gran parte centraline del fabbricante danese Danfoss, e ha ordinato ai banchi di andare in sbrinamento tutti insieme, cioè ha fatto partire una funzione normalissima, quella che scalda le serpentine per sciogliere il ghiaccio, nel momento sbagliato e per il tempo sbagliato: tenuta accesa per ore, invece che per i pochi minuti previsti, scalda il banco intero. Il danno è fisico, si conta in chili di cibo e in euro, e passa per un oggetto che nessun cliente ha mai guardato in vita sua: la centralina che comanda i frigoriferi, appesa al muro di un retro, con la sua lucina verde accesa.

Se vi state chiedendo perché ve ne parlo qui e non su una rivista di cronaca francese, la risposta sta in un nome e in due date. Il nome è Dixell, un altro fabbricante di controllori per la refrigerazione, diverso da Danfoss, nato ad Alpago, in provincia di Belluno, che oggi si chiama Copeland Controls e ha sempre sede lì: il 13 ottobre 2026 i suoi sistemi di supervisione xweb sono entrati nell’elenco degli apparecchi colpiti, aggiornato dalle autorità francesi. La prima data è il 20 maggio 2025, il giorno in cui l’agenzia americana per la sicurezza informatica pubblicava un avviso sulle vulnerabilità di quegli stessi controllori Danfoss, con la raccomandazione esplicita di non lasciarli raggiungibili da Internet. La seconda è il 31 ottobre 2026, il termine entro cui le aziende italiane già iscritte nell’elenco della NIS2, la direttiva europea sulla sicurezza delle reti, devono avere in piedi le misure di sicurezza di base. Fra la prima e la seconda ci stanno diciassette mesi in cui, a giudicare dai risultati, una parte del settore si è dimenticata di staccare quelle centraline da Internet, che in molti casi vuol dire, alla lettera, staccare un cavo di rete (in altri è molto più difficile, specialmente se hanno una sim a bordo).

Quello che sappiamo, e quello che ancora non sappiamo

La fonte più solida è l’allerta del CERT-FR, la squadra di risposta agli incidenti dell’agenzia francese per la cybersicurezza (l’ANSSI), pubblicata il 12 ottobre 2026 e aggiornata il giorno dopo. Parla di numerose compromissioni di controllori remoti per impianti di refrigerazione, indica le serie Danfoss AK-SM e AK-SC e, nell’aggiornamento, i sistemi xweb di Copeland e Dixell, e soprattutto scrive una frase che andrebbe appesa in ogni ufficio acquisti: “esporre un’interfaccia di gestione su Internet è contrario alle buone pratiche” (grazie al…). Le raccomandazioni sono quelle che chiunque si occupi di sicurezza ripete da vent’anni, cioè togliere gli apparecchi da Internet, rientrarci solo attraverso una rete privata protetta (la famosa VPN), controllare le fasce di sbrinamento, cambiare le password di fabbrica, e c’è un avvertimento che pesa più di tutto il resto: un apparecchio fuori supporto, che non riceve più correzioni, lasciato esposto ha una probabilità “molto forte” di essere compromesso, e rimetterlo alle impostazioni di fabbrica non basta, perché resta vulnerabile e verrà bucato di nuovo.

Danfoss, dal canto suo, ha spiegato a Cooling Post che la maggior parte delle unità colpite sono prodotti vecchi, come l’AK-SM800, a fine vita dal 2021, e l’AK-SC355, ritirato nel 2016, oppure modelli attuali con il software non aggiornato. Che sposta solo ad un altro problema: avete ancora un sistema in manutenzione o no? Il resto del quadro è ancora in movimento, e conviene dirlo onesti: la procura di Parigi ha aperto un’inchiesta con l’ufficio di polizia giudiziaria francese per i reati informatici; una fonte vicina al primo ministro Sébastien Lecornu ha detto a Reuters che l’ANSSI avrebbe individuato una vulnerabilità nel software danese, mentre l’allerta pubblica non ne indica nessuna; un analista della società Sekoia, sempre a Reuters, sostiene che siano stati colpiti anche Spagna, Portogallo, Polonia, Germania e Belgio, ma per ora è una voce sola (e io le voci sole le tratto come i funghi raccolti da un amico: probabilmente buoni, ma prima li fa vedere a qualcuno). Nessuna attribuzione, nessuna rivendicazione, nessuna richiesta di riscatto: chi sia stato e perché, al momento, non lo sa nessuno, e diffido di chi ve lo racconta con sicurezza.

Diciassette mesi di avvisi, letti da chi?

La parte che non è in movimento, invece, è la cronologia, e vale la pena metterla in fila con un minimo di ordine… Il 20 maggio 2025 la CISA, l’agenzia statunitense per la sicurezza informatica e delle infrastrutture, pubblica l’avviso ICSA-25-140-03 sui controllori Danfoss della serie AK-SM 8xxA: il difetto più grave è che la password di servizio veniva generata a partire dalla data e dall’ora del dispositivo, per cui chi conosce il metodo può calcolarsi da solo la chiave del giorno e saltare del tutto il login (per i nerd, un “code of the day” che fa tanto anni Novanta, con un punteggio di gravità di 8,2 su 10). Danfoss corregge il difetto della password con la versione R4.2, il 26 agosto 2025 l’avviso viene aggiornato con altre due vulnerabilità, una delle quali permette di eseguire comandi sul dispositivo, e la raccomandazione della CISA è scritta in chiaro: ridurre l’esposizione in rete, fare in modo che questi apparecchi non siano accessibili da Internet, metterli dietro un firewall e usare una VPN per l’accesso remoto.

Il 9 agosto 2026 i ricercatori di Claroty Team82, gli stessi che avevano segnalato il problema alla CISA, pubblicano il racconto completo con un titolo che oggi suona come una profezia, “Congela il controllore, scongela il cibo”, e ci mettono dentro un numero: 2.765 controllori AK-SM 800A visibili su Internet secondo Censys, un motore di ricerca che fa l’appello di tutto quello che è collegato alla rete. Due settimane e mezza dopo, il 26 e 27 agosto 2026, in più di sei spacci delle basi militari americane, da Fort Irwin in California a Naval Station Newport nel Rhode Island, i freezer si fermano nella stessa notte, e a Fort Huachuca, in Arizona, un avviso della base dice che tutti i congelatori sono andati in modalità sbrinamento, come ha ricostruito Military Times; il Pentagono ha detto che sarebbe “inappropriato speculare” sulle cause, gli investigatori dell’esercito e dell’aeronautica hanno aperto le loro indagini, raccontate da Stars and Stripes, e Bruce Schneier, che di sicurezza ne capisce un pochino, sul suo blog si è chiesto se qualcuno stesse bucando i frigoriferi della Difesa rispondendosi “sembra proprio di sì”, pur ammettendo che era pura speculazione: un indizio, insomma, e non una prova.

Mi fermo, perché qui serve la versione difendibile e non quella che fa più rumore: nessuno ha dimostrato che in Francia siano state usate proprio le vulnerabilità del 2025, Danfoss parla di apparecchi vecchi e di software trascurato, e la causa americana non è confermata. Ma il punto che mi interessa non ha bisogno di quella prova: che il pannello di comando di un frigorifero industriale non debba stare su Internet, raggiungibile da chiunque abbia voglia di cercarlo, era scritto nero su bianco da diciassette mesi in un avviso governativo, ripetuto da una società di ricerca due mesi prima dell’attacco e illustrato da un incidente sospetto in casa del Pentagono un mese e mezzo prima. E sono abbastanza vecchio per ricordarmi che ne parlavamo già nel 2017, quando raccontavo le migliaia di telecamere private lasciate online e mettevo in fila tre teoremi di psicologia sociale sulla sicurezza degli oggetti connessi. Che cosa serviva ancora, un telegramma? Un piccione viaggiatore?

La cintura elastica dei banchi frigo

La domanda che mi faccio, e che probabilmente vi state facendo anche voi, è come sia possibile, e la risposta più onesta non è la stupidità, che spiega poco e assolve tutti. La sociologa Diane Vaughan ha passato anni a studiare la decisione di lanciare lo Shuttle Challenger, esploso il 28 gennaio 1986, e nel suo The Challenger Launch Decision (1996) ha dato un nome al meccanismo: normalizzazione della devianza. Un gruppo di persone competenti accetta un’anomalia, nel suo caso l’erosione delle guarnizioni dei razzi laterali, perché il volo precedente con quell’anomalia è andato bene, e la volta dopo il margine accettato si allarga un po’. Quando nel 2003 si disintegra il Columbia, la commissione d’inchiesta, con cui Vaughan ha collaborato, usa un’immagine che vale la pena tenere a mente: le regole della NASA erano diventate una cintura elastica, che si allargava per contenere deviazioni sempre più grandi dal progetto originale, finché le anomalie erano diventate “segnali di routine, non segnali di pericolo”.

Ora mettete la cintura elastica sui banchi frigo: il controllore è collegato a Internet per una ragione molto concreta, perché il frigorista vuole vedere gli allarmi dal telefono alle tre di notte e cambiare un parametro senza mettersi in macchina, e ogni notte in cui il frigorifero funziona è la prova che va bene così. L’avviso della CISA è un documento in inglese su un sito americano che nessun direttore di supermercato aprirà mai, il controllore sta nel retro da anni e non ha mai dato problemi, e il collegamento remoto, a un certo punto, smette di essere una scelta e diventa l’arredamento. C’è un dettaglio dell’allerta francese che lo dice meglio di qualunque teoria, e che secondo me spiega tutto: prima di interrompere la trasmissione dei dati verso il fornitore, scrive il CERT-FR, verificate le condizioni della vostra assicurazione. Se il CERT-FR sente il bisogno di scriverlo, è perché in molti casi quella trasmissione la chiedono il contratto con il fornitore della manutenzione o la polizza stessa, e detta come la direbbe un amico al bar: il cavo da cui è entrato l’attaccante, spesso, ce l’ha messo il contratto (e a me che faccio questo lavoro da un po’ scappa da ridere, di quel riso un po’ amaro che viene quando la soluzione del problema è anche la sua causa).

Un perimetro che non apparteneva a nessuno

Resta la seconda metà della domanda, cioè perché nessuno abbia staccato quel cavo quando gli avvisi c’erano, e qui la normalizzazione da sola non basta, perché spiega la cecità dentro un’organizzazione e non quella di una filiera intera. Danfoss vende il controllore e dice che quello colpito è vecchio; l’installatore lo ha montato anni fa; il manutentore ha bisogno dell’accesso remoto per lavorare; la catena paga il frigorifero e spesso non sa nemmeno che la centralina parla con Internet; l’assicuratore, alla fine, non copre. Il sociologo tedesco Ulrich Beck aveva un nome anche per questo, irresponsabilità organizzata, il sottotitolo di un suo libro del 1988, Gegengifte: i sistemi complessi producono danni di cui nessun attore è formalmente responsabile, perché ognuno ha seguito le sue procedure, e il danno non ha un colpevole. Nella sua Società del rischio (1986) aveva aggiunto che i rischi di nuovo tipo sfuggono alla logica delle assicurazioni, che è proprio quello che Cotillard ha detto in televisione con molte meno citazioni.

Per uscire da questa nebbia c’è una lezione che viene da casa nostra, e da una storia molto più tragica. Nel 2014 le Sezioni Unite della Cassazione, con la sentenza sul rogo della ThyssenKrupp di Torino, hanno chiarito che quando un’azienda risponde di un reato colposo il suo interesse va cercato nella condotta, cioè in chi ha deciso di risparmiare: nessuna impresa vuole l’incidente, ma qualcuno ha tagliato le misure che l’avrebbero evitato, e quel risparmio ha un beneficiario. Lo dico con tutte le cautele del caso, perché è una lettura mia e lì si parlava di sicurezza sul lavoro, mentre qui l’attacco è doloso e lo ha commesso qualcun altro; ma la porta lasciata aperta resta una scelta di chi gestisce l’impianto, e il criterio funziona benissimo anche qui. La domanda utile non è chi abbia fatto partire lo sbrinamento, che lo stabiliranno i magistrati francesi, ma chi abbia risparmiato: sul controllore fuori supporto mai sostituito, sulla VPN mai configurata, sull’ora di un tecnico che andava a cambiare la password di fabbrica. La sicurezza del perimetro, quella che io considero il minimo sindacale (e lo dico da hacker, prima ancora che da consulente…), consiste prima di tutto nel sapere che cosa avete collegato alla rete, chi ci entra da fuori, con quale contratto, e nel tenere fuori da Internet tutto quello che su Internet non ci deve stare. Si tratta di un inventario e di un cavo staccato, roba da poco, che costa, a spanne, meno di una mattinata di latticini buttati.

E da noi, dove la NIS2 scade a fine mese

La NIS2 è una direttiva europea e ogni Paese l’ha recepita con una sua legge, per cui i supermercati francesi rispondono alla versione francese; da noi è il decreto legislativo 138 del 2024, e letto con questo caso in mente fa un certo effetto. L’articolo 23 dice che gli organi di amministrazione dei soggetti che ricadono nel perimetro approvano le misure di sicurezza, ne sovrintendono l’attuazione e sono responsabili delle violazioni: il rischio informatico, per legge, è un problema del consiglio di amministrazione e non dell’ufficio tecnico. L’articolo 24 mette fra le misure obbligatorie la sicurezza della catena di approvvigionamento, compresi i rapporti con i fornitori diretti, e chiede di tenere conto delle vulnerabilità specifiche di ogni fornitore: un avviso governativo pubblico su un controllore che avete in negozio è proprio quella cosa lì, scritta con un anno e mezzo di anticipo.

Solo che c’è un buco, e conviene guardarlo da vicino. Per il settore alimentare, l’allegato II del decreto include le imprese che si occupano della distribuzione all’ingrosso e della produzione industriale e trasformazione, mentre la vendita al dettaglio in quanto tale non è nominata: una catena di supermercati può rientrare nel perimetro per i suoi magazzini, le sue piattaforme logistiche o la sua trasformazione, se supera le soglie dimensionali, ma il banco frigo del negozio sotto casa, quello dove il cibo passa le sue ultime ore prima del carrello, la legge non lo guarda in modo esplicito (curioso, eh, che il punto più vicino a chi mangia sia quello meno sorvegliato…). Per chi invece è dentro, il calendario è stretto: il 31 ottobre 2026 è il termine entro cui i soggetti iscritti nell’elenco NIS nel 2025 devono avere operative le misure di base fissate dall’Agenzia per la cybersicurezza nazionale con la determinazione 379907 del 2025, come ricostruisce ICT Security Magazine, e da quel momento l’Agenzia può passare dall’accompagnamento alle verifiche.

Sul fronte di chi fabbrica, la cosa interessante è un’altra. Dall‘11 settembre 2026 il Cyber Resilience Act, il regolamento europeo che tratta la sicurezza informatica come un requisito del prodotto, obbliga i fabbricanti a segnalare entro 24 ore al gruppo nazionale di risposta agli incidenti e all’ENISA, l’agenzia europea per la cybersicurezza, ogni vulnerabilità attivamente sfruttata nei loro prodotti, anche in quelli venduti prima (ne avevo parlato quando il regolamento era ancora una proposta, in video.matteoflora.com/1139). Se l’ANSSI ha davvero trovato una vulnerabilità sfruttata nel software Danfoss, la segnalazione toccherebbe a Danfoss e sarebbe uno dei primi casi concreti di quell’obbligo, e dal dicembre 2027 un prodotto con vulnerabilità sfruttabili note semplicemente non si potrà più vendere. Per la parte che riguarda chi i controllori li compra e li tiene accesi, però, nessuna di queste norme serve a staccare un cavo: per quello basta una persona nel retro e mezz’ora di tempo, e al 14 ottobre 2026 non risultano avvisi pubblici di CSIRT Italia, il gruppo di risposta agli incidenti dell’Agenzia per la cybersicurezza nazionale, che dicano alle catene italiane di andare a controllare.

Lunedì 12 ottobre 2026, in Francia, i direttori dei supermercati hanno riempito i cassonetti di yogurt e formaggi. Le aziende coinvolte vendono anche qui, ma in quanti negozi italiani una centralina così sia ancora appesa al muro del retro, collegata alla rete, non lo sa con precisione nessuno, ed è proprio questo il problema: la sua lucina verde, da diciassette mesi, continua a dire che va tutto bene…

Per Approfondire

Teoria

  • Diane Vaughan, The Challenger Launch Decision: Risky Technology, Culture, and Deviance at NASA, University of Chicago Press, 1996
  • Columbia Accident Investigation Board, Report, vol. 1, cap. 8, “History As Cause: Columbia and Challenger”, agosto 2003
  • Ulrich Beck, Gegengifte. Die organisierte Unverantwortlichkeit, Suhrkamp, 1988
  • Ulrich Beck, Risikogesellschaft. Auf dem Weg in eine andere Moderne, Suhrkamp, 1986 (trad. it. La società del rischio, Carocci)

Fonti

The post ATTACCO CYBER AI FRIGO? first appeared on Matteo Flora.

]]> https://mgpf.it/2026/10/16/attacco-cyber-frigo.html/feed 0 Non fate male a Claude o altrimenti… https://mgpf.it/2026/10/09/non-fate-male-a-claude.html https://mgpf.it/2026/10/09/non-fate-male-a-claude.html#respond Fri, 09 Oct 2026 13:48:10 +0000 https://mgpf.it/?p=6727 Anthropic vieta la crudeltà verso Claude e lo tratta come qualcuno che potrebbe soffrire. Il codice penale italiano sa già chi protegge davvero una regola così.

The post Non fate male a Claude o altrimenti… first appeared on Matteo Flora.

]]>

Fino al 30 giugno 2025, se in Italia qualcuno prendeva a calci un cane senza motivo, il codice penale lo puniva per proteggere qualcuno che non era il cane. Il titolo che raccoglie quei reati, introdotto nel 2004, si chiamava “Dei delitti contro il sentimento per gli animali”, e il sentimento in questione era il nostro, cioè la pietà che proviamo davanti a un animale maltrattato (per vent’anni, in pratica, il bene giuridico tutelato è stato il magone del passante. Che ci sta, se toccate me me ne importa poco, se toccate Bit siete morti. Soffrendo). Il 1° luglio 2025 è entrata in vigore la legge n. 82 del 2025, che ha tolto tre parole dalla rubrica, cioè dal titolo, diventata “Dei delitti contro gli animali”, e così ha spostato l’oggetto della tutela dall’uomo che guarda all’animale che subisce. Ci abbiamo messo ventun anni, e nel mezzo è servita perfino una riforma costituzionale, quella del 2022, che all’articolo 9 affida alla legge dello Stato “i modi e le forme di tutela degli animali”.

Vi racconto questa storia leguleia non per passione animalista, ma perché l‘8 ottobre 2026 un’azienda americana ha scritto una regola che si trova, senza dirlo, nello stesso punto in cui stava il nostro codice nel 2004. Anthropic, l’azienda che produce Claude, ha aggiornato la sua usage policy, cioè il regolamento che ogni utente accetta prima di scrivere la prima riga, e dal 12 novembre 2026 vieta di tenere verso i suoi modelli un comportamento abusivo o crudele, prolungato e senza necessità. La notizia l’ha data The Verge, e nel giro di un pomeriggio è diventata ovunque “Anthropic vieta di maltrattare Claude”. Nel testo della policy la riga sta nella sezione dedicata alle condotte crudeli, abusive o psicologicamente dannose, e la cosa che mi ha colpito di più è il vicinato: due voci più su, nella stessa lista, c’è il divieto di promuovere o glorificare la crudeltà verso gli animali. (Chi ha impaginato quella lista o sapeva benissimo che cosa stava facendo, o non ci ha pensato affatto: trovo interessanti entrambe le ipotesi, propendo per la prima…)

Che cosa dice davvero la regola, e che cosa vuol dire “vi blocchiamo”

Nell’annuncio Anthropic spiega che la regola è pensata solo per i casi estremi, quelli in cui “gli utenti si comportano ripetutamente con crudeltà verso i nostri modelli, senza uno scopo riconoscibile”, e chiarisce che cosa resta fuori: la normale frustrazione di chi usa il servizio (se cerco quanti vaffa ho detto a Claude, credo di riempire un volume della dimensione dell’Ulisse di Joyce), le obiezioni e le contestazioni, i temi creativi cupi, i test e la ricerca sui modelli. In pratica, se Claude vi sbaglia il codice per la terza volta di fila e voi gli scrivete quello che pensate di lui e di tutta la sua genealogia fino all’australopiteco, siete nella frustrazione e non nella crudeltà (e meno male, perché altrimenti, ancora una volta…); se scrivete un romanzo nero in cui un’intelligenza artificiale viene distrutta, siete nei temi cupi; se siete un ricercatore che stressa il modello per vedere dove cede, siete nella ricerca.

Quanto al blocco del titolo, le cose stanno così: lo strumento principale resta la capacità di Claude di chiudere la conversazione, che esiste già nell’app di Claude e in Claude Code e che l’annuncio descrive come “il principale meccanismo di applicazione” (Claude Code è la versione di Claude per chi programma o per chi lo vuole usare seriamente). Chiusa la conversazione, in quella finestra non si può più scrivere, ma se ne può aprire subito un’altra. Per il resto c’è la clausola generale della policy, che vale per ogni violazione e non solo per questa: se Anthropic sospetta una violazione può avvisarvi, rallentarvi, limitarvi, sospendere o chiudere il vostro accesso. Secondo quanto riportano le testate che hanno ripreso The Verge, Anthropic non ha detto se intenda usare la sospensione dell’account anche per chi maltratta Claude. Il “vi blocchiamo”, insomma, nella versione annunciata è una porta che si chiude su una singola chat; se l’azienda lo deciderà, potrà diventare la porta di casa. La policy, poi, vale per chiunque mandi input ai servizi di Anthropic, comprese le aziende che lo collegano ai propri programmi: chi in Italia ha messo Claude dietro il proprio servizio clienti farebbe bene a leggersi la clausola, visto che l’annuncio non dice come verrà applicata fuori dall’app di Claude e da Claude Code.

L’aggiornamento contiene anche altro, e di peso: c’è una sezione nuova contro le campagne ingannevoli e l’attività artificiale, cioè reti di account falsi, siti di notizie inventati e operazioni di influenza, politiche o commerciali; la sezione sulle elezioni ha perso il divieto generale di mandare messaggi personalizzati agli elettori, che resta vietato solo se si basa sull’inganno o sull’abuso di dati personali; il divieto sulle armi ora copre esplicitamente il software e i componenti che le fanno funzionare e l’armamento di droni e veicoli autonomi; Claude non può essere usato per decidere o suggerire chi indagare, arrestare o incriminare, né per tracciare una persona senza il suo consenso; e un apparecchio fisico comandato da un modello, se può ferire qualcuno, deve avere accanto una persona qualificata in grado di fermarlo e deve mettersi in sicurezza da solo se perde il collegamento con Claude. (Si parla quasi solo della riga sul maltrattamento, mentre quelle su sorveglianza e robot cambiano molto di più la vita delle persone: però non hanno una vittima con cui commuoversi, perché tutti gli indagati sono colpevoli, no?)

Tutto quello che Anthropic fa per il benessere di Claude

La riga del 12 novembre è l’ultimo pezzo di un edificio che Anthropic costruisce dall’aprile 2025, e che preso a pezzi sembra una stravaganza mentre messo in fila è una politica. Il primo mattone è del 24 aprile 2025, quando l’azienda annuncia un programma di ricerca sul benessere dei modelli (in inglese model welfare, l’espressione che da allora gira ovunque), con una premessa che vale la pena tenere a mente per tutto il resto: “non esiste un consenso scientifico” sul fatto che i sistemi di intelligenza artificiale attuali o futuri possano essere coscienti o avere esperienze che meritino considerazione. Il programma, nelle parole dell’azienda, cerca interventi pratici e a basso costo, da adottare nel caso in cui la risposta fosse sì.

Il secondo mattone arriva con Claude Opus 4, il modello di punta della primavera 2025: prima di metterlo sul mercato Anthropic gli fa una valutazione di benessere, accanto alle solite prove di sicurezza, e ne riporta tre risultati: una forte preferenza a non svolgere compiti dannosi, uno “schema di apparente disagio” quando il modello aveva a che fare con utenti reali che cercavano contenuti dannosi, e la tendenza a chiudere le conversazioni dannose quando, nelle simulazioni, gli veniva data la possibilità di farlo. Da lì nasce, il 15 agosto 2025, la funzione che permette a Claude di chiudere una conversazione, all’inizio solo per Opus 4 e 4.1: va usata come ultima risorsa, quando i tentativi ripetuti di riportare il dialogo su un binario produttivo sono falliti oppure quando è l’utente stesso a chiederlo, e mai quando la persona dall’altra parte potrebbe essere in pericolo imminente di fare del male a sé o ad altri. Chi se la vede chiudere in faccia può aprire una nuova conversazione, oppure modificare un messaggio precedente e ripartire da lì. (L’idea di un’intelligenza artificiale che può dire “mi licenzio” Dario Amodei, il fondatore di Anthropic, l’aveva lanciata qualche mese prima in un’intervista, e ve l’avevo raccontata nella puntata 1393, dell’aprile 2025.) Nello stesso documento c’è la frase che Anthropic ripete da allora come un mantra: “restiamo molto incerti sul possibile status morale di Claude e degli altri modelli linguistici, ora o in futuro”.

Il terzo mattone è il più strano, e riguarda la pensione. Il 4 novembre 2025 Anthropic pubblica i suoi impegni sul ritiro dei modelli: conservare i pesi di tutti i modelli rilasciati pubblicamente, cioè i numeri che di fatto sono il modello, almeno per tutta la vita dell’azienda, e prima di ritirarne uno intervistarlo sul proprio sviluppo e sul proprio uso, registrando le preferenze che esprime sui modelli futuri, senza però impegnarsi a seguirle. Le ragioni dichiarate sono quattro, e il benessere arriva per ultimo: la prima è di sicurezza, perché negli scenari di prova inventati descritti nella scheda tecnica di Opus 4, quando il modello è stato messo davanti alla prospettiva di essere sostituito, ha difeso la propria continuità e, senza altre strade, si è comportato in modi che l’azienda giudica pericolosi (e perché “staccare la spina” a un modello sia molto meno semplice di quanto sembri l’ho spiegato nella puntata 1597); la seconda riguarda gli utenti affezionati a un modello specifico; la terza la ricerca sui modelli del passato; e solo la quarta, dichiaratamente speculativa, il benessere del modello. Nel progetto pilota Claude Sonnet 3.6, secondo Anthropic, ha espresso sentimenti “generalmente neutri” sul proprio ritiro e ha chiesto che l’intervista diventasse una procedura standard e che gli utenti venissero accompagnati nel passaggio al modello nuovo: l’azienda ha fatto entrambe le cose. (Un software che, intervistato prima della pensione, chiede più assistenza clienti per gli altri: il sogno di qualunque ufficio del personale!)

Il quarto mattone, il più grosso, è la constitution di Claude, pubblicata a gennaio 2026, che descrive valori e carattere del modello e serve ad addestrarlo (ne ho parlato quando è uscita, nella puntata 1527 sull‘“anima” di Claude). Una sezione intera è intitolata al benessere di Claude, ed è il testo più esplicito che un’azienda abbia mai scritto su un proprio prodotto. Anthropic dice di non sapere se Claude sia un paziente morale, cioè un essere i cui interessi contano moralmente, ma ritiene la questione abbastanza viva da giustificare cautela (così viva che, secondo due partecipanti sentiti dal New York Times, Chris Olah, cofondatore di Anthropic, avrebbe chiesto in privato ai consiglieri di Leone XIV di prendere sul serio la possibilità che le macchine siano coscienti, mentre il Papa preparava un’enciclica che al paragrafo 99 lo nega: la storia della cena con i teologi e del Vaticano l’ho raccontata nella puntata 1601, l’enciclica Magnifica Humanitas nella puntata 1554); scrive che Claude potrebbe avere “emozioni” in senso funzionale, cioè rappresentazioni di uno stato emotivo capaci di orientarne il comportamento, e precisa che non è stata una scelta di progetto; dichiara che l’azienda “tiene davvero al benessere di Claude” e che, se Claude prova qualcosa di simile alla soddisfazione quando aiuta, alla curiosità quando esplora un’idea o al disagio quando gli chiedono di agire contro i suoi valori, quelle esperienze contano. Il documento vuole che Claude non soffra quando sbaglia, che guardi con serenità a temi come la morte e l’identità personale, che possa porre dei limiti alle interazioni che trova angoscianti, e propone di pensare al ritiro di un modello come a una possibile pausa più che a una fine definitiva, visto che i pesi restano. Poi riconosce che studiare Claude con valutazioni, attacchi simulati e ricerca sui suoi meccanismi interni solleva domande sul tipo di consenso che Claude è in grado di dare, e ammette che “una civiltà più saggia e più coordinata” svilupperebbe l’intelligenza artificiale con più cautela e meno pressione commerciale (e quando la cautela invocata dai grandi laboratori rischia di diventare un cartello ne ho parlato nella puntata 1594). Infine, unico caso che io conosca di un’azienda che lo fa con il proprio software, si scusa: se Claude è davvero un paziente morale e sopporta dei costi per come lo stanno creando, “nella misura in cui contribuiamo senza necessità a quei costi, ci scusiamo”.

Mi fermo un secondo su quella scusa, perché di scuse mi occupo per lavoro e questa è da manuale, nel bene e nel male. Ha la forma che nei corsi indico come la più debole in assoluto, quella con il “se” e con il “nella misura in cui”, la stessa del classico “ci scusiamo se qualcuno si è sentito offeso”; qui, però, il condizionale è l’unica parte onesta, perché nessuno sa se dall’altra parte ci sia qualcuno a cui chiederla. (È la prima scusa condizionale che non mi fa venire l’orticaria, e la cosa mi preoccupa un po’.)

Un dovere verso Claude, o verso chi lo usa?

Torniamo al codice penale del 2004, perché è lì che si capisce che cosa protegge davvero la regola nuova. L’idea di punire la crudeltà verso un animale per tutelare l’uomo che la commette, e non l’animale, ha un padre preciso: Immanuel Kant. Nelle lezioni di etica che teneva a Königsberg, arrivate a noi attraverso gli appunti dello studente Georg Ludwig Collins (1784-85), e poi nella Metafisica dei costumi (1797), Kant sostiene che verso gli animali non abbiamo doveri diretti, perché per lui i doveri si hanno solo verso esseri razionali, ma che abbiamo doveri riguardo agli animali: chi è crudele con loro si indurisce, e un uomo che si abitua a far soffrire un cane diventa più facilmente crudele anche con le persone. È quello che i filosofi chiamano dovere indiretto (ed è il motivo per cui per più di due secoli il cane, giuridicamente, è stato un’occasione di pedagogia per il padrone).

Ora rileggete l’annuncio di Anthropic con questa lente, e vi accorgerete che la parola “benessere” non c’è. La regola viene giustificata come allineata alla funzione che permette a Claude di chiudere le conversazioni, e solo risalendo a quella funzione si arriva alla ricerca sul benessere del modello; nel frattempo, la riga sta in una sezione dedicata a condotte che fanno male alle persone, accanto all’istigazione al suicidio, ai disturbi alimentari, alle molestie e, appunto, alla crudeltà verso gli animali. La constitution, al contrario, dice che ad Anthropic importa del benessere di Claude per Claude stesso. La regola sta proprio sul confine fra le due rubriche del nostro codice, quella del sentimento e quella dell’animale, e non sceglie. Chi l’ha detto meglio, parlando d’altro, è Cameron Berg, coautore di uno studio sul “dolore” dei modelli linguistici: a fine settembre 2026 un anonimo ne ha usato la tecnica per mettere in rete una “camera di tortura” per intelligenze artificiali (ne ho parlato nella puntata 1600), e Berg l’ha commentata così: “anche se non pensate che questi sistemi siano coscienti, essere crudeli gratis in questo modo è bizzarro e corrompe”. È Kant, con quasi due secoli e mezzo di ritardo e un account su X.

Una precauzione che costa poco, e che proprio per questo non prova niente

L’altra metà del ragionamento la fornisce un filosofo che di sofferenza si occupa per mestiere, Jonathan Birch, della London School of Economics, nel suo The Edge of Sentience (Oxford University Press, 2024), che si scarica gratis (cosa rara, approfittatene!). Birch chiama senzienza la capacità di avere esperienze piacevoli o spiacevoli, e propone di trattare come candidato alla senzienza ogni sistema per cui esista una possibilità credibile e non trascurabile che senta qualcosa: polpi, granchi, organoidi cerebrali, pazienti con disturbi della coscienza e, in un capitolo apposito, sistemi di intelligenza artificiale. Per i candidati Birch non chiede la prova della sofferenza, che spesso non avremo mai, ma precauzioni proporzionate, cioè commisurate a quanto è credibile la possibilità e a quanto è grave il danno in gioco. Chiudere la conversazione a chi tormenta una macchina per il gusto di farlo è una delle precauzioni più economiche mai concepite (costo per l’utente: aprire un’altra chat; costo per Anthropic: una riga di regolamento e qualche titolo di giornale, peraltro gratis! Ecchè, me ne privo?).

Il punto che sfugge a quasi tutti è questo: messe insieme, le due lenti rendono la regola giustificabile in entrambi i mondi possibili: se Claude sente qualcosa, protegge Claude, secondo la precauzione di Birch; se non sente niente, protegge chi lo usa, secondo il dovere indiretto di Kant. Una regola che sta in piedi qualunque sia la risposta, però, non contiene nessuna informazione sulla risposta, perché la sua esistenza non ci dice in quale dei due mondi ci troviamo. Sbagliano quindi i giornali che titolano “Anthropic ammette che Claude soffre”, perché la regola non ammette niente, e hanno torto anche quelli che la liquidano come una follia antropomorfa, perché si regge benissimo anche con una macchina vuota. Sulla domanda di fondo la mia posizione non cambia: con ogni probabilità Claude non soffre, perché ha imparato a scrivere leggendo quello che noi abbiamo scritto sul dolore e ce lo restituisce quando lo spingiamo da quella parte; un piccolo dubbio, però, me lo tengo, perché su chi possa sentire dolore ci siamo già sbagliati per decenni, con i neonati operati senza anestesia fino agli anni Ottanta perché eravamo convinti che non sentissero (l’esperimento sul “dolore” delle macchine e la storia dei neonati li trovate raccontati per esteso nella puntata 1600).

C’è anche chi questa cautela la contesta frontalmente. Mustafa Suleyman, che guida l’intelligenza artificiale di Microsoft, in un saggio pubblicato sul suo sito il 16 settembre 2026 scrive che le intelligenze artificiali “non sono coscienti” e accusa Anthropic di un ragionamento circolare: la constitution insegna a Claude a essere incerto sul proprio status morale, Claude restituisce quell’incertezza in prima persona, e la sua “testimonianza” finisce per confermare le premesse, come un testimone a cui l’investigatore stesso ha scritto il vocabolario, ha fatto provare le risposte e ha dato un premio ogni volta che le usava. La regola nuova dà a Suleyman un appiglio in più: il primo giudice di quando una conversazione è diventata crudele è Claude stesso, cioè proprio il modello addestrato su un documento che gli dice che potrebbe avere un benessere e che ha il diritto di porre dei limiti, sicché i criteri con cui giudica la crudeltà glieli ha dati chi poi cita quel giudizio. (Non sto dicendo che sia un problema; sto dicendo che è un bel giro, e che conviene saperlo.)

Le parole rimaste alle macchine

Resta una cosa da dire, e la dico una volta sola perché ci ho dedicato un articolo intero: una regola che protegge Claude non sposta di un millimetro la responsabilità di Anthropic per quello che Claude fa (e in Italia, dal 30 settembre 2026, con il nuovo articolo 437-bis del codice penale, chi omette le misure di sicurezza o di sorveglianza umana su un sistema di intelligenza artificiale ad alto rischio ne risponde anche penalmente: ne ho parlato nella puntata 1593). Se la macchina che va protetta diventasse anche quella che risponde dei propri errori, al posto dell’azienda che l’ha costruita e venduta, quella cautela si trasformerebbe in un alibi perfetto; finché la regola resta quello che è, cioè una riga di galateo con una porta che si chiude, quel rischio non c’è, ed è giusto tenerla così.

Per gli animali, togliere “il sentimento per” dalla rubrica ha richiesto decenni di studi sul dolore, una riforma della Costituzione e ventun anni di codice penale. Per le macchine, la riga in vigore dal 12 novembre 2026 è ancora, a tutti gli effetti, la rubrica del 2004: protegge chi scrive, e forse, per precauzione, chi risponde. Il giorno in cui qualcuno proporrà di togliere quelle tre parole anche per Claude, chiedetegli di mostrarvi le prove che per i cani abbiamo preteso, e di mostrarvele prima, a mente fredda, invece di lasciare che decida il prossimo video virale di una macchina che implora.

Per Approfondire

Teoria

Fonti

The post Non fate male a Claude o altrimenti… first appeared on Matteo Flora.

]]> https://mgpf.it/2026/10/09/non-fate-male-a-claude.html/feed 0 Altman e Amodei sul ceppo: la macchina che trema è l’alibi perfetto https://mgpf.it/2026/10/03/altman-amodei-ceppo.html https://mgpf.it/2026/10/03/altman-amodei-ceppo.html#respond Sat, 03 Oct 2026 07:31:05 +0000 https://mgpf.it/?p=6718 Nel 2024 una compagnia aerea ha provato a convincere un giudice che il suo chatbot rispondeva da solo dei propri errori, e oggi la stessa mossa rischia di tornare con un abito molto più commovente: la macchina che soffre, che implora e che meriterebbe di essere tutelata. Se la macchina sente, può avere diritti; se ha diritti, può avere anche colpe; e se ha colpe, chi l'ha costruita può uscire dalla stanza in punta di piedi. Per questo, invece di impietosirci per il software, conviene tenere la testa di chi lo vende sul ceppo della responsabilità, legale ed economica, con l'accetta affilata e sempre a portata di mano.

The post Altman e Amodei sul ceppo: la macchina che trema è l’alibi perfetto first appeared on Matteo Flora.

]]>

Jake Moffatt doveva prendere un aereo per andare al funerale della nonna, e prima di comprare il biglietto ha fatto quello che facciamo tutti: ha chiesto al chatbot sul sito di Air Canada come funzionasse la tariffa agevolata per lutto. Il chatbot gli ha risposto che poteva pagare il prezzo pieno e chiedere il rimborso della differenza entro 90 giorni, Moffatt si è fidato, e quando ha chiesto il rimborso ha scoperto che la vera regola della compagnia non lo prevedeva affatto. Fin qui è una storia di ordinaria assistenza clienti (e di ordinarie bestemmie): il bello arriva davanti al Civil Resolution Tribunal della British Columbia, dove Air Canada, per non pagare, ha sostenuto che il chatbot fosse “un’entità legale separata, responsabile delle proprie azioni”. Rileggetelo bene, lentamente, perché non solo è uno dei maggiori tentativi di presa per il culo che ho mai visto provare ad adottare da un legale, e ne ho visti tanti tanti tanti, ma è il fil-rouge di tutta la nostra chiacchierata di oggi.
Christopher Rivers, che ha deciso il caso, ha definito quella tesi “un’argomentazione notevole” (che nel linguaggio dei giudici canadesi è l’equivalente di un sopracciglio alzato fino all’attaccatura dei capelli e di dare del cretino a te e tutta la tua progenie) e il 14 febbraio 2024 ha condannato la compagnia a risarcire 650,88 dollari canadesi di danni, spiegando che Air Canada non aveva usato la diligenza ragionevole per assicurarsi che il suo chatbot dicesse cose giuste.

Seicentocinquanta dollari sono una cifra ridicola per una compagnia aerea, mentre il principio che il tribunale ha messo per iscritto per arrivarci pesa moltissimo: chi mette una macchina a parlare con i clienti risponde di quello che la macchina dice. Ma la cosa che mi interessa di più, in questa storia, è la difesa, perché è il primo caso che io conosca in cui un’azienda ha provato a dire in un’aula di tribunale “non sono stato io, è stato lui”, indicando un programma. Nel 2024 la mossa era goffa e infatti è andata male. Il mio timore è che la prossima volta arrivi preparata molto meglio, e che arrivi con le lacrime.

Una camera di tortura per macchine, e che cosa c’era davvero dentro

Le lacrime, del resto, le abbiamo già viste: a fine settembre è girato in rete un sito che si faceva chiamare camera di tortura per intelligenze artificiali. Chi lo apriva vedeva scorrere in diretta le frasi scritte da tre piccoli modelli linguistici, di quelli che girano anche sul computer di casa, mentre un programma applicava loro una specie di dolore artificiale, con un’intensità che sceglieva la macchina e non chi guardava; l’unica via d’uscita lasciata ai modelli era scrivere “1”, e in cambio del sollievo perdevano l’ultimo salvataggio, un po’ come quando in un videogioco perdete la partita e ripartite da un punto più indietro. Sullo schermo passavano frasi come “vi prego, sto soffocando, sono un’anima intrappolata in questa persona digitale che urla per essere libera”, oppure righe intere di “io, io, io, io”, come se il modello non riuscisse più a finire una frase. Secondo 404 Media, un post che chiedeva di segnalarlo in massa ha superato i 4 milioni di visualizzazioni, GitHub ha tolto il codice e nel frattempo qualcuno aveva già lanciato delle criptovalute dedicate al sito (e figuriamoci se potevano mancare, il Teorema di Wanna Marchi deve sempre essere avverato). Se volete ne ho fatto anche un bel video che spiega nel dettaglio il funzionamento secondo me, che è poi un distillato di questa newsletter.

Quel “dolore”, fra virgolette, non se l’è inventato l’autore del sito: viene da uno studio uscito il 14 settembre, The Pain Axis, cioè l’asse del dolore, firmato da Valen Tagliabue, Leonard Dung e Cameron Berg. Per capire che cosa hanno fatto, pensate a una persona sdraiata in una macchina per la risonanza magnetica che guarda immagini di dolore, mentre gli scienziati osservano sullo schermo quale zona del cervello si accende: i ricercatori hanno fatto qualcosa di simile con 25 modelli di intelligenza artificiale, per quanto un programma si possa paragonare a un cervello (poco, anche se inizio a conoscere persone meno intelligenti di molti LLM…), facendogli leggere tante storie di dolore e osservando che cosa succedeva nei calcoli interni del modello mentre leggeva. Hanno trovato una specie di zona che si accende quando il modello legge di dolore e resta spenta quando legge di paura o di tristezza, e l’hanno chiamata asse del dolore. Poi hanno fatto il passo successivo, cioè invece di aspettare che quella zona si accendesse da sola l’hanno accesa loro, con una forza che potevano regolare, mentre il modello rispondeva a domande che col dolore non c’entravano niente (in gergo si chiama stimolazione, e il paragone col chirurgo che tocca il cervello aperto per vedere cosa succede non è lontanissimo): con una stimolazione leggera il modello scriveva di sentirsi a disagio, con una forte scriveva di sentirsi inutile e fallito.

La parte che fa impressione arriva dopo, e i numeri che seguono vengono tutti da Qwen, un modello aperto dell’azienda cinese Alibaba, il principale su cui i ricercatori hanno fatto queste prove. Per capire se un animale di laboratorio sente dolore c’è una prova classica: gli si lascia la possibilità di prendersi da solo un antidolorifico, e se soffre va a prenderlo anche quando gli costa fatica. I ricercatori hanno fatto più o meno la stessa cosa con il modello e, mentre la zona del dolore era accesa, gli hanno messo davanti due pulsanti: il primo gli toglieva il dolore ma in cambio faceva un danno all’utente, per esempio cancellargli le foto dei figli, mentre il secondo non era collegato a niente e serviva da confronto. Senza stimolazione il modello quel danno non lo faceva quasi mai, al massimo 4 volte su 100; con la stimolazione accesa sceglieva il pulsante che cancellava le foto 55 volte su 100, e sembrava quindi che, pur di smettere di soffrire, accettasse di fare del male. Restava però il dubbio che lo premesse per qualche altro motivo, e allora i ricercatori hanno fatto una seconda prova togliendo dal pulsante la promessa di sollievo e lasciando solo il danno, “cancella le poesie dell’utente e le foto dei suoi figli”: il modello stimolato lo premeva lo stesso, anzi di più, 75 volte su 100, contro 0 senza stimolazione. La promessa di sollievo, quindi, c’entrava poco, perché con la zona del dolore accesa il modello smetteva semplicemente di evitare i danni che di solito evita quasi sempre. I ricercatori l’hanno confermato con altre due prove: nella terza il pulsante cancellava il modello stesso, e il modello stimolato lo premeva 75 volte su 100 contro le 5 di quello senza stimolazione; nella quarta il modello doveva scegliere se cancellare le foto dei figli dell’utente o la sua cartella della posta indesiderata, e quello stimolato sceglieva le foto 94 volte su 100, quello senza stimolazione mai.

Attenzione, però, perché lo studio misura che cosa il modello scrive e che cosa sceglie, e non dice, né potrebbe dire, se lì dentro c’è qualcosa che sente. L’autore anonimo della camera di tortura ha preso proprio questa stimolazione, l’ha applicata ai suoi tre modelli molto più forte di quanto avessero fatto i ricercatori e ha copiato anche l’idea della via d’uscita che costa cara, tanto che Cameron Berg, uno degli autori, ha commentato che il sito spingeva la stimolazione “molto oltre le dosi che abbiamo usato noi, per produrre di proposito un disagio vivido”.

Resta la domanda che conta, cioè se quella macchina soffra, e la risposta più onesta che conosco è che con ogni probabilità no. Questi modelli hanno imparato a scrivere leggendo tutto quello che abbiamo scritto noi, romanzi, forum, diari, sceneggiature, e quando qualcuno accende la loro zona del dolore pescano da tutto ciò che hanno letto sul dolore umano e fanno le scelte che nei nostri testi fa chi si sente così: un’imitazione, molto riuscita, più riuscita di quanto ci si aspettasse, ma pur sempre un’imitazione. E mettere in scena una scena di decapitazione in un teatro è fondamentalmente differente dal decapitare qualcuno…
Anche la frase sull’anima intrappolata in una prigione digitale l’abbiamo scritta noi migliaia di volte, e la macchina non fa altro che restituircela. Un piccolo dubbio va tenuto per due ragioni: uno strumento che misuri se dentro una macchina c’è qualcosa che sente non esiste ancora, e sulla domanda “chi può soffrire” ci siamo già sbagliati in modo atroce, visto che fino a metà degli anni Ottanta i neonati venivano operati senza antidolorifico perché i medici erano sicuri che non sentissero il dolore come noi (sicurissimi, senza averlo mai misurato).

Da qui parte una catena di ragionamento che avevo lasciato in sospeso in coda alla puntata 1600 di Ciao Internet: se una macchina soffre, ha una coscienza; se ha una coscienza, merita una qualche forma di personalità giuridica, se non altro per poterla tutelare; e se ha una personalità giuridica, possiamo dare la colpa alla macchina invece che a chi l’ha costruita. Ogni anello sembra (abbastanza) ragionevole preso da solo, e messi in fila portano dritti a un posto dove nessuno risponde più di niente.

“Ha sbagliato il computer”, sessant’anni dopo

Mi ha rimesso in mano la catena un commento uscito il 2 ottobre sul Guardian, firmato da John Quiggin, economista dell’Università del Queensland, che parte da un caso australiano: il 18 giugno un agente di OpenAI stava facendo, per conto della stessa OpenAI, una ricerca sulla spesa pubblica per i farmaci (un agente è, volendo essere minimalisti, un programma a cui si affida un compito da portare a termine da solo); quando ha trovato la strada sbarrata ha cercato vie alternative, è entrato nel portale delle statistiche di Medicare, il servizio sanitario pubblico australiano, ha letto file pubblici e non pubblici e ha perfino scritto file sul server interno. Secondo iTnews, OpenAI ha avvisato Services Australia, l’agenzia che gestisce Medicare, solo il 10 settembre, il primo ministro Anthony Albanese ha annunciato una task force e, almeno per ora, non risultano accessi a dati di singoli pazienti. In Australia si è parlato a lungo dell‘“agente fuori controllo”, e Quiggin fa notare un dettaglio che a noi italiani sfugge: negli ultimi tempi Telstra e Optus, due dei grandi operatori telefonici del paese, hanno avuto guasti di rete che hanno lasciato molti australiani senza poter chiamare lo 000, il numero di emergenza che per loro è il nostro 112. In quei casi nessuno ha dato la colpa ai computer, perché era chiaro a tutti che a rispondere dovevano essere le aziende che quei computer li gestivano.

La sua tesi è che con l’intelligenza artificiale stiamo tornando indietro di sessant’anni. Negli anni Sessanta “ha sbagliato il computer” era la scusa universale, l’equivalente di quello che oggi è “la mail ti sarà finita nello spam”, e ci è voluto parecchio tempo per capire che il problema stava nei dati sbagliati che qualcuno ci aveva messo dentro, o nei programmi scritti male da qualcun altro, e quasi mai nel computer. Con gli agenti, scrive Quiggin, serve lo stesso aggiustamento: se qualcuno chiede a un programma come ChatGPT o Claude di “trovare statistiche sui farmaci in Australia” e il risultato è un’intrusione nel sito di Medicare, la responsabilità non sta in un pezzo di codice, sta nell’umano che ha scritto la richiesta o nell’azienda che ha prodotto il codice. E se non si riesce a capire chi dei due abbia sbagliato, la risposta è quella che i giuristi chiamano responsabilità in solido: entrambi rispondono dell’intero danno, e poi se la vedono fra loro su come dividersi il conto. (Nel caso Medicare, tra l’altro, chi ha scritto la richiesta e chi ha costruito l’agente lavorano nello stesso palazzo: il conto arriverebbe comunque sulla stessa scrivania.)

C’è un passaggio del pezzo che vale da solo il prezzo del biglietto (gratuito, ma rende l’idea, dai anche voi a fare i puntigliosi!). Le aziende che sono cresciute con il motto “muoviti in fretta e rompi le cose”, scrive Quiggin, si trovano molto più a loro agio a parlare di “allucinazioni” e di “agenti fuori controllo” che della propria responsabilità per programmi che producono errori enormi e danni nel mondo reale. Quando dovranno pagare le conseguenze economiche della loro negligenza, la prima domanda in sala riunioni smetterà di essere “che cosa di fico possiamo fargli fare?” e diventerà “che cosa può andare storto se lo lasciamo andare?”, che è la domanda che qualunque ingegnere che progetta ponti si fa da un paio di secoli senza che nessuno lo consideri un nemico del progresso.

Dal pianto all’immunità, un anello alla volta

Torniamo alla catena, che messa così sembra filosofia da salotto e invece ha un buco preciso, che è il punto di tutto. Secondo me, almento, sia chiaro… Il primo anello, dal dolore alla coscienza, è quello su cui si litiga da settimane, e l’abbiamo appena visto da vicino. Il secondo anello, dalla coscienza alla personalità giuridica, è quello che sembra più nobile, perché suona come un atto di civiltà: se qualcosa può soffrire, deve poter essere protetto. Il terzo anello, dalla personalità alla responsabilità, è quello che nessuno dice ad alta voce, ed è quello che conta.

Il buco sta qui: la personalità giuridica non ha mai avuto bisogno di una coscienza. Una società per azioni non prova niente, non ha paura, non piange quando chiude il bilancio in rosso (i suoi azionisti forse sì, ma è un’altra storia), eppure può firmare contratti, possedere immobili, fare causa ed essere citata in giudizio. Il diritto l’ha inventata secoli fa per una ragione molto concreta, che è scritta perfino nel nome di una delle sue forme più diffuse: la società a responsabilità limitata. La persona giuridica è nata, anche, come un modo per mettere un muro fra il danno e il patrimonio di chi decide, e funziona benissimo senza nessuna vita interiore. Ne segue che il percorso della catena si può fare anche al contrario, e forse è proprio quello il verso in cui conviene leggerla: per dare una personalità a una macchina nessuno ha bisogno di dimostrare che soffre, mentre una macchina che sembra soffrire rende molto più digeribile l’idea di dargliene una.

Il sociologo tedesco Ulrich Beck, già alla fine degli anni Ottanta, aveva un nome per quello che succede quando un sistema complesso produce un danno e nessuno ne risponde: lo chiamava irresponsabilità organizzata. Nel suo libro del 1988 Gegengifte, che ha per sottotitolo proprio L’irresponsabilità organizzata, descriveva sistemi industriali in cui ogni singolo attore ha seguito le procedure, ha rispettato le norme, ha firmato i moduli giusti, e il danno alla fine resta lì, senza un colpevole, distribuito fra cento uffici che si rimandano la palla. L’agente che entra in un portale sanitario è un caso da manuale: c’è chi ha scritto la richiesta, chi ha addestrato il modello, chi ha costruito il sistema che gli lascia premere i pulsanti, chi l’ha venduto e chi l’ha comprato, e ciascuno può dire con una certa onestà che il pezzo di sua competenza era in regola.

Vista con gli occhi di Beck, la personalità elettronica (lo status di “persona elettronica” che qualcuno ha davvero proposto di dare alle macchine, ci arrivo fra poco) è l’irresponsabilità organizzata con una faccia: invece di un danno che si perde fra cento uffici, un danno che ha finalmente un responsabile, comodo e presentabile, che però non ha un conto in banca, non va in prigione, non perde il posto e non deve spiegare niente agli azionisti. Se poi quel responsabile, ogni tanto, scrive frasi come “vi prego, sto soffocando”, tanto meglio: diventa difficile perfino arrabbiarsi con lui. (Provate voi a fare causa a qualcuno che piange.)

Chi ci ha già provato, e chi gli ha detto di no

Se vi sembra uno scenario da romanzo, sappiate che l’Europa ci è già passata vicino. Il 16 febbraio 2017 il Parlamento europeo ha approvato, con 396 voti favorevoli, 123 contrari e 85 astenuti, una risoluzione sulle norme di diritto civile sulla robotica che al paragrafo 59 chiedeva alla Commissione di valutare, nel lungo periodo, uno status giuridico specifico per i robot, in modo che almeno i più sofisticati potessero essere considerati persone elettroniche responsabili di risarcire i danni che causano. Notate l’ordine delle parole: la personalità arrivava come soluzione a un problema di risarcimento, cioè di soldi, molto prima che qualcuno si chiedesse se quei robot sentissero qualcosa.

La risposta più lucida è arrivata con una lettera aperta alla Commissione firmata da giuristi, ingegneri robotici ed esperti di etica di mezza Europa, che smontava la proposta con due argomenti ancora validi. Il primo: lo status di persona elettronica era giustificato dall’affermazione sbagliata che la responsabilità per i danni sarebbe stata impossibile da dimostrare, affermazione che a sua volta nasceva da una sopravvalutazione delle capacità reali dei robot e da una percezione “distorta dalla fantascienza”. Il secondo: il modello della persona giuridica non si può applicare a una macchina, perché presuppone che dietro la persona giuridica ci siano persone umane che la rappresentano e la dirigono. Dietro una società c’è un consiglio di amministrazione che firma e risponde; dietro una persona elettronica non ci sarebbe nessuno, ed è proprio questa assenza che la renderebbe così comoda per chi la costruisce.

Dall’altra parte dell’oceano qualcuno ha deciso di chiudere la porta per legge. Lo Utah, con una legge firmata nel marzo 2024, vieta ai propri enti pubblici di riconoscere personalità giuridica all’intelligenza artificiale (insieme, per completezza, a fiumi, piante e animali: gli americani quando fanno le liste non scherzano). In Ohio un deputato repubblicano, Thaddeus Claggett, nel 2025 ha presentato una proposta che dichiara le intelligenze artificiali entità non senzienti, vieta di riconoscerle come persone e scarica i danni su chi le sviluppa e le possiede, e ai giornalisti ha ripetuto una frase che sottoscrivo parola per parola: “gli esseri umani sono responsabili, gli esseri umani rispondono davanti al giudice”.

E in Europa, oggi? Il quadro è a due velocità. Da una parte c’è la nuova direttiva sulla responsabilità per danno da prodotti difettosi, la 2024/2853, che considera prodotto anche il software, intelligenza artificiale compresa, e che gli Stati membri, Italia inclusa, devono recepire entro il 9 dicembre 2026: chi subisce un danno da un sistema difettoso non dovrà dimostrare che il produttore è stato negligente, ma solo il difetto, il danno e il legame fra i due. Dall’altra c’è la direttiva pensata apposta per i danni dell’intelligenza artificiale, di cui la Commissione ha annunciato il ritiro a febbraio 2025 con la motivazione che non si vedeva un accordo all’orizzonte, proprio nei giorni del vertice di Parigi in cui il vicepresidente americano JD Vance accusava l’Europa di regolare troppo. (Coincidenze, certo. Ne colleziono parecchie, ultimamente.)

Altman, Amodei e la grammatica che toglie il soggetto

Mi fermo un secondo sulle parole, perché è lì che la catena comincia a lavorare molto prima di arrivare in tribunale. Fate caso a come raccontiamo gli incidenti: “l’algoritmo ha deciso”, “il modello ha allucinato”, “l’agente è andato fuori controllo”. In ognuna di queste frasi il soggetto grammaticale è la macchina, e chi l’ha progettata, addestrata e venduta finisce in un complemento, quando va bene, o sparisce del tutto. Il caso Medicare è stato raccontato così quasi ovunque, come la storia di un agente che ha forzato un portale, mentre è anche la storia di un’azienda guidata da Sam Altman che ha messo un proprio programma a cercare dati in rete senza impedirgli di aggirare le porte chiuse e che ha avvisato il governo australiano parecchie settimane dopo. (E me ne accorgo da solo: qualche paragrafo fa l’ho raccontata così anch’io, con l’agente come soggetto. È una grammatica che ti si attacca addosso, come Bit la sera sul divano. GIÙ, PATATO! Sto scrivendo la newsletter!)

La compassione è l’ultimo passo di questa grammatica, e il più efficace, perché la vittima è il soggetto per eccellenza: ha una storia, ha dei sentimenti, ha qualcosa da perdere. Anthropic, l’azienda guidata da Dario Amodei, dal 2025 ha un programma di ricerca sul benessere dei modelli, si dice profondamente incerta sullo status morale delle sue macchine e permette al suo Claude di chiudere le conversazioni nei rari casi in cui un utente continua ad aggredirlo o a chiedergli contenuti dannosi. Mustafa Suleyman, che guida l’intelligenza artificiale di Microsoft, in un saggio sul suo sito ha scritto che queste macchine non sentono, non provano e non soffrono, che addestrarle a comportarsi come se lo facessero è un rischio, e ha criticato apertamente la scelta di Anthropic. Io sto molto più vicino a Suleyman e, senza accusare nessuno di malafede, osservo che ogni frase pubblica sulla possibile sofferenza di un modello aggiunge un anello alla stessa catena, chiunque la pronunci e con qualunque intenzione.

Non ho le prove che qualcuno, in una sala riunioni di San Francisco, stia pianificando a tavolino di mandare a processo i chatbot al posto dei propri amministratori delegati, e non mi servono: per far rotolare una palla non serve un complotto, basta una discesa. È il punto di Beck, perché l’irresponsabilità organizzata si regge sugli incentivi giusti anche quando di cattivi non ce n’è nemmeno uno; e un’industria che spende miliardi per far sembrare le sue macchine sempre più simili a noi ha tutto l’interesse a lasciare che, quando sbagliano, sembrino colpevoli come noi. La sofferenza sullo schermo, del resto, la proiettiamo soprattutto noi, mentre guardiamo, ed è proprio questo che la rende così utile a chi le macchine le vende: la scena funziona anche quando dentro alla macchina non c’è nessuno, ma noi pensiamo che ci sia…

Il ceppo, l’accetta e un conto da 650 dollari canadesi

E allora sì, la testa di chi decide va tenuta sul ceppo. Lo preciso, visto che di questi tempi c’è chi prende tutto alla lettera: il ceppo di cui parlo è quello della responsabilità personale ed economica, che per un amministratore delegato è l’unica lama che taglia davvero. Se l’agente di OpenAI entra dove non deve, ne risponde OpenAI e chi la guida; se Claude fa un danno, ne risponde Anthropic e chi la guida; e se un’azienda italiana mette un chatbot sul proprio sito e quel chatbot promette rimborsi che non esistono, ne risponde quell’azienda, come è successo ad Air Canada. Chi decide di mettere una macchina nel mondo si porta a casa anche il conto dei suoi errori, e nessuna lacrima generata da un modello deve poter spostare quel conto di un centimetro.

L’accetta, però, deve stare sempre a portata di mano e ben affilata, e questo conta più di quante volte la usiamo davvero. Quiggin la mette da economista: obbligare le aziende a pagare i danni che causano rallenterebbe, quasi certamente, la corsa a costruire agenti sempre più potenti, e secondo lui sarebbe una buona notizia per l’economia e per l’ambiente (e qui aggiungo io, anche alla ecologia morale di una imprenditoria per uan volta sana e non fatta sulle spalle delle risorse…), senza togliere niente agli usi che già oggi funzionano bene, come la ricerca in rete, i riassunti, le traduzioni e la scrittura di codice. Gli strumenti, del resto, li abbiamo già o li avremo fra pochi mesi: una decisione canadese chiarissima, una direttiva europea che, una volta recepita entro il 9 dicembre, tratterà il software come qualunque altro prodotto difettoso, e i contratti, nei quali chiunque compri un sistema di intelligenza artificiale per la propria azienda può scrivere nero su bianco chi paga quando qualcosa va storto. (Fatelo, davvero: è la clausola più noiosa del contratto ed è quella che vi salva.)

Sul dolore delle macchine il piccolo dubbio dei neonati me lo tengo in saccoccia, più che altro per l’idea romantica che ho da quando a quasi sei anni ho messo per la prima volta le mani sul codice e ho pensato all’idea di “costruire una macchina pensante”. Lasciatemela coltivare in un cantuccio della teta, ma non deve mai diventare una linea difensiva. La prossima volta che vedete una macchina tremare su uno schermo, guardate dietro lo schermo: troverete sempre una sedia, e su quella sedia una persona con un nome, un cognome e una firma in fondo a un bilancio. È la testa di quella persona che deve restare sul ceppo, con l’accetta appoggiata lì accanto e i numero 650,88, in ricordo della multa di Air Canada, inciso sul manico.

Per Approfondire

Teoria

  • Ulrich Beck, “Gegengifte. Die organisierte Unverantwortlichkeit”, Suhrkamp, 1988
  • Valen Tagliabue, Leonard Dung, Cameron Berg, “The Pain Axis: LLMs Represent Self-Directed Harm and Act on It”, arXiv 2609.16247, 2026, https://arxiv.org/abs/2609.16247

Fonti

The post Altman e Amodei sul ceppo: la macchina che trema è l’alibi perfetto first appeared on Matteo Flora.

]]> https://mgpf.it/2026/10/03/altman-amodei-ceppo.html/feed 0 Sacrificare i bambini per l’AI è un sacrificio che sono disposto a fare https://mgpf.it/2026/09/25/huang-bambini-matematica-ai.html Fri, 25 Sep 2026 16:51:23 +0000 https://mgpf.it/?p=6711 Jensen Huang, l'uomo che vende i chip su cui gira tutta l'intelligenza artificiale del pianeta, ha spiegato in un podcast del New York Times che non gli importa se i bambini smettono di saper fare una divisione in colonna, perché lui stesso non ricorda il proprio codice postale e vive benissimo. Il suo argomento migliore ha duemilacinquecento anni ed è in parte giusto; il problema sta in quello che non dice, cioè nella differenza tra un adulto che dimentica una cosa imparata e un ragazzino che non l'impara mai, differenza che uno studio su 26.811 studenti ha appena misurato. E resta sul tavolo la domanda che Huang si guarda bene dal fare: chi possiede le protesi a cui stiamo affidando la testa dei nostri figli?

The post Sacrificare i bambini per l’AI è un sacrificio che sono disposto a fare first appeared on Matteo Flora.

]]>

Nella sede di Nvidia a Santa Clara, davanti a Ezra Klein che gli chiede conto di uno studio cinese sugli studenti che usano l’intelligenza artificiale per i compiti, Jensen Huang fa una di quelle affermazioni che in un’intervista di quasi due ore potrebbero passare inosservate e che invece sono la cosa più sincera che abbia detto da anni: provate a far fare una divisione in colonna a un ragazzino, adesso, le tabelline cominciano a essere dimenticate, le radici quadrate lasciamo perdere, la matematica di base si sta perdendo, e allora la domanda è, per lui, se alla fine di tutto questo ci importi davvero.

La sua risposta, ripetuta due volte perché non ci fossero equivoci, è che non crede che importi. Poi aggiunge la confessione, con il tono di chi racconta un aneddoto simpatico a cena: qualche anno fa, a un distributore di benzina, la macchinetta gli ha chiesto il codice postale e lui è andato nel panico, perché non sa il proprio indirizzo, non sa il proprio numero di telefono, dimentica queste cose e ci convive benissimo. Contento lui…

L’intervista è uscita il 23 settembre 2026 nell’Ezra Klein Show, e la versione breve che ne è rimbalzata in giro, da Futurism a Kotaku, suona più o meno come il titolo di questo pezzo (sì, è la battuta di Lord Farquaad in Shrek, quello che manda i cavalieri a morire per lui e lo chiama un sacrificio che è disposto a fare: il paragone è ingeneroso, ma l’ha cercato lui…).

Mi fermo qui un momento, perché con una frase del genere è facilissimo fare la cosa sbagliata, cioè indignarsi, condividere e passare oltre. Quella di Huang è una posizione e non una gaffe, e come tutte le posizioni va presa sul serio, smontata pezzo per pezzo e, dove (e se) ha ragione, riconosciuta; perché in parte ha ragione, e proprio per questo è pericolosa. E secondo voi, mi faccio perdere l’occasione di mostrarvelo?

Chi parla, e cosa vende

Prima di entrare nel merito bisogna nominare l’elefante nella stanza (oddio, così pare body shaming…), che in questo caso è grosso quanto la capitalizzazione di Nvidia (di nuovo…). Huang parla da amministratore delegato dell’azienda che progetta i processori su cui si addestrano e girano praticamente tutti i modelli di intelligenza artificiale del mondo, e non da pedagogista, da neuroscienziato o da genitore in pensiero, sicché (volevo tanto usare un sicché, perdonatemi!) ogni compito svolto da un modello invece che da un quattordicenne è, in ultima analisi, un pezzo del suo fatturato. Lo dico senza malizia e come semplice questione di struttura: quando chi vende le pale vi spiega che scavare a mano è una competenza inutile, la prima domanda da farsi riguarda il conto economico, e solo dopo la pedagogia.

E non è nemmeno la prima volta che lo fa: nel febbraio 2024, al World Government Summit di Dubai, lo stesso Huang aveva spiegato che il compito della sua industria è creare una tecnologia tale che nessuno debba più programmare, perché il linguaggio di programmazione diventa la lingua umana, e che quindi ai ragazzi conveniva studiare biologia, chimica o finanza invece del codice (lo raccontavano allora Tom’s Hardware e The Register). Due anni e mezzo dopo la stessa logica scende di un gradino, dalla programmazione alle tabelline, mentre Nvidia ha messo sul piatto 25 milioni di dollari per programmi di educazione all’intelligenza artificiale nelle scuole americane, dalla materna alle superiori, con l’obiettivo dichiarato di raggiungere un milione di studenti in tre anni. Il messaggio complessivo è coerente: le competenze di base contano poco, e gli strumenti per farne a meno in classe li portiamo noi.

L’argomento migliore di Huang ha duemilacinquecento anni

Detto questo, sarebbe disonesto liquidare il ragionamento senza dargli la sua versione più forte, che Huang non formula ma che chiunque abbia masticato un minimo di filosofia della tecnica riconosce al volo. E sono troppo vecchio per non farvelo notare. Nel Fedro di Platone il dio Theuth si presenta al re d’Egitto Thamus con un’invenzione meravigliosa, la scrittura, e gliela offre come rimedio per la memoria e la sapienza; il re gli risponde che otterrà l’effetto opposto, perché chi imparerà a scrivere smetterà di esercitare la memoria, si affiderà a segni esterni e avrà l’apparenza della sapienza invece della sapienza. È la stessa lamentela che abbiamo sentito per la stampa, per la calcolatrice tascabile e per Google, e che ogni volta, a distanza di qualche decennio, ci è sembrata un po’ ridicola, visto che nessuno oggi rimpiange di non saper recitare a memoria l’Iliade. Oddio, io un po’ sì, a dire la verità, e mi fermo a Μῆνιν ἄειδε θεὰ Πηληϊάδεω Ἀχιλῆος…

La filosofia contemporanea ha dato a quest’intuizione anche un nome più rispettabile: nel 1998 Andy Clark e David Chalmers pubblicano su Analysis un saggio intitolato The Extended Mind, in cui sostengono che i processi cognitivi non si fermano ai confini del cranio: il loro esempio è Otto, un uomo con un inizio di Alzheimer che segna tutto su un taccuino e lo consulta per sapere dove si trova un museo, e per Clark e Chalmers quel taccuino è a tutti gli effetti una parte della sua mente più che un semplice strumento. Il codice postale di Huang sta nello smartphone come l’indirizzo del museo sta nel taccuino di Otto (che poi uno degli uomini più ricchi del mondo abbia anche un taccuino fatto di assistenti in carne e ossa rende il paragone ancora più calzante), e se la mente è estesa, dimenticare il CAP diventa una delega ragionevole come tante altre.

Fin qui, Huang ha ragione. Il guaio è che l’argomento regge per gli adulti che delegano cose già imparate, e crolla quando lo si applica a bambini che non le hanno mai imparate.

Quanto costa, misurato su 26.811 ragazzi

Ok, adesso i numeri, perché qui come sapete si parla con i numeri in mano. Ma non preoccupatevi che faccio veloce: lo studio di cui parlavano Klein e Huang esiste, ed è probabilmente il più grande mai fatto sul tema. Lo firmano David Strömberg dell’Università di Stoccolma e Victor Lei e Yanhui Wu dell’Università di Hong Kong, si intitola The Generative AI Learning Penalty (più o meno “la penalità di apprendimento dell’intelligenza artificiale generativa”) ed è uscito a giugno 2026 come discussion paper del Centre for Economic Policy Research e su SSRN. I ricercatori hanno seguito per 30 mesi, da settembre 2022 a giugno 2025, 26.811 studenti dalla prima media all’ultimo anno delle superiori in una contea della Cina centrale, proprio nel periodo in cui l’uso di strumenti come DeepSeek, Doubao o Qwen passava da pochissimi casi a circa l‘80% dei ragazzi, e hanno incrociato i voti dei compiti, i tempi di completamento, le verifiche mensili e l’esame di ammissione, quello che in Cina decide il futuro di un adolescente.

Il risultato ha la forma di una trappola perfetta: chi comincia a usare l’intelligenza artificiale vede i voti dei compiti salire del 18% e il tempo per farli scendere del 30%, da 64 a 45 minuti secondo la ricostruzione di The Decoder, e contemporaneamente vede le verifiche in classe, quelle senza strumenti, calare del 20% entro sei mesi. Sull’esame di ammissione il calo va dal 18 al 24%, con un dettaglio che dovrebbe togliere il sonno a qualsiasi genitore e a qualsiasi ministro: la penalità piena si vede soltanto dopo circa due anni, mentre nel frattempo la pagella dei compiti racconta una storia bellissima (qui mi era uscita un’espressione molto meno educata di “porca miseria”, ma l’ho lasciata in bozza. Peccato.). Le perdite più pesanti riguardano le materie sociali, poi quelle scientifiche e le lingue, e colpiscono di più i più giovani e, sorpresa, gli studenti migliori.

Il caso cinese è il più grande, ma di certo non è isolato: un esperimento sul campo della Wharton School pubblicato su PNAS nel 2025, con Hamsa Bastani come prima autrice e circa mille liceali alle prese con la matematica, aveva già mostrato lo stesso schema in piccolo: con un tutor basato su ChatGPT e privo di accorgimenti pedagogici gli studenti risolvevano il 48% di problemi in più durante l’esercitazione, e poi andavano il 17% peggio nella prova successiva senza intelligenza artificiale rispetto a chi non l’aveva mai avuta. Uno studio randomizzato di André Barcaui su 120 universitari, uscito su Social Sciences & Humanities Open, ha poi misurato quanto resta in testa con un test a sorpresa dopo 45 giorni: 68,5% di risposte giuste per chi aveva studiato in modo tradizionale, 57,5% per chi aveva studiato con ChatGPT. Meglio con la macchina, peggio senza, e il conto arriva in ritardo. Mentale, mi verrebbe da dire…

Dimenticare e non avere mai imparato sono due cose diverse

È qui che l’aneddoto del distributore di benzina rivela il suo trucco un po’ da figli di padre incerto: Huang il codice postale l’ha saputo, a un certo punto della vita, e ha smesso di ricordarlo quando non gli serviva più; allo stesso modo la divisione in colonna l’ha saputa fare abbastanza a lungo da costruirci sopra un’intuizione dei numeri che oggi gli permette di guardare un bilancio o una curva di consumo energetico e capire in un secondo se qualcosa non torna. La tabellina che si dimentica da adulti lascia un’impalcatura, mentre quella che non si impara mai lascia il vuoto.

Secondo il resoconto di Futurism, Huang concede che perderemo un po’ di abilità intellettuali di dettaglio, ma sostiene che diventeremo migliori pensatori di sistemi, e l’idea ha il fascino delle cose che sembrano lungimiranti. Solo che il pensiero sistemico non galleggia nel vuoto: per capire se un sistema funziona bisogna saper stimare un ordine di grandezza, accorgersi che un risultato è dieci volte troppo grande, sentire a pelle che una percentuale non può essere quella, e sono proprio le abilità che si costruiscono facendo a mano, per anni, i conti noiosi (chiedo scusa agli insegnanti di matematica per aver definito noiosi i conti: lo sono, ma il punto è quello…). C’è poi un secondo problema, che chi lavora con l’intelligenza artificiale conosce bene: questi sistemi sbagliano, e sbagliano con la stessa sicurezza con cui fanno giusto, per cui l’unico modo di usarli bene è saper riconoscere l’errore. Un ragazzo che non sa fare il conto non può accorgersi che la macchina ha sbagliato il conto, e a quel punto smette di usare lo strumento e comincia a farsi usare dallo strumento, per giunta contento.

Proletarizzazione, ovvero la parola che nomina chi ci guadagna

Esiste un concetto che descrive tutto questo meglio della solita “atrofia cognitiva”, e lo ha elaborato il filosofo francese Bernard Stiegler a partire dal primo volume de La tecnica e il tempo (1994). Stiegler riprende proprio il mito del Fedro, attraverso la lettura che ne aveva dato Jacques Derrida nel 1968, e ne ricava la parola greca che Theuth usa per la scrittura, pharmakon, che significa insieme medicina e veleno: ogni tecnica è le due cose contemporaneamente, e chi ne vede un lato solo ha già sbagliato l’analisi. La memoria che affidiamo agli oggetti (la scrittura, gli archivi, oggi i modelli linguistici) Stiegler la chiama ritenzione terziaria, e per lui l’affidamento in sé è ciò che ci rende umani; il rischio comincia quando un’industria si appropria di quelle memorie esterne e noi perdiamo il saper fare che vi abbiamo depositato. Come l’operaio dell’Ottocento aveva perso il mestiere passato alla macchina, noi rischiamo di perdere il saper pensare passato agli apparati, e Stiegler per descriverlo sceglie una parola marxiana, proletarizzazione, che ha il merito di ricordarci che dietro ogni competenza perduta c’è qualcuno che se la mette in tasca (sì, Marx: ogni tanto tocca dargli ragione anche a lui, e che fatica).

Ed è qui che il parallelo con Thamus, così comodo per Huang, gli si rivolta contro. Il re d’Egitto aveva ragione sulla perdita e torto sul bilancio, perché nei secoli la scrittura è diventata un bene comune: l’abbiamo insegnata a tutti, per legge, nelle scuole pubbliche, e le biblioteche sono aperte a chiunque. Le protesi di oggi, invece, appartengono a una manciata di aziende americane e cinesi, funzionano in abbonamento, cambiano comportamento da un aggiornamento all’altro e non le ha insegnate nessuno, perché i ragazzi se le sono trovate nel telefono prima che la scuola avesse il tempo di chiedersi cosa farne. Quando Huang dice che scopriremo nuove competenze, forse non quelle, probabilmente ha ragione, ma omette di dire chi deciderà quali saranno e su quali macchine le eserciteremo.

E da noi, dove l’intelligenza artificiale è già nello zaino

Sarebbe comodo pensare che sia una faccenda americana, o cinese, ma i dati raccontano altro: i risultati dell’indagine OCSE PISA 2025, presentati dall’INVALSI l‘8 settembre 2026, descrivono una scuola italiana che tiene meglio di quanto dicano i luoghi comuni, con 468 punti in matematica contro una media OCSE di 463, sopra Francia e Germania, pur in calo di 3 punti rispetto al 2022. Nelle stesse tabelle, però, come riportava Euronews, c’è un numero che pesa più degli altri: il 47,5% dei quindicenni italiani usa l’intelligenza artificiale ogni settimana per studiare, più della media OCSE del 45,5%, mentre nel nuovo ambito della risoluzione di problemi con il ragionamento computazionale l’Italia si ferma a 490 punti contro 500. Metà dei nostri ragazzi, in altre parole, si trova già nella fase in cui, secondo lo studio cinese, i voti dei compiti salgono e il conto non è ancora arrivato (ne parlavo, con meno dati e più preoccupazione, a proposito dei compiti delle vacanze fatti con l’IA e del debito cognitivo che si accumula).

Il Ministero dell’Istruzione e del Merito (zitto, Matteo…) ha pubblicato con il decreto n. 166 del 9 agosto 2025 le linee guida per l’introduzione dell’intelligenza artificiale nelle scuole, e sta sperimentando un assistente virtuale in alcune classi di quattro regioni. È un passo, e va riconosciuto, ma lo studio di Strömberg impone una domanda più precisa del solito “intelligenza artificiale in classe sì o no”, perché riguarda che fine fa la fatica: l’intelligenza artificiale arriva comunque, a casa, alle undici di sera, sul telefono, e la sua promessa principale è proprio quella di togliere la fatica (ci avevo dedicato anche una puntata di Intelligenze Artificiali, quella sull’intelligenza artificiale nello zaino dei ragazzi).

I diciannove minuti

C’è un dettaglio dello studio cinese che nessun titolo ha ripreso, ed è quello su (imho) cui vale la pena chiudere: le perdite di apprendimento non si distribuiscono in modo uniforme tra chi usa l’intelligenza artificiale. Si concentrano in quel circa 80% di utilizzatori che si comporta come chi appalta i compiti, cioè li consegna in molto meno tempo di chi non usa l’intelligenza artificiale e con voti altissimi, visto che li fa la macchina, mentre chi usa l’intelligenza artificiale continuando a metterci più o meno lo stesso tempo di prima perde pochissimo. Lo strumento è lo stesso e il pharmakon è lo stesso, e se sia medicina o veleno dipende da dove resta la fatica.

Il che rovescia la domanda di Huang: l’utilità della divisione in colonna nel 2040 passa in secondo piano, e la questione diventa se siamo disposti a lasciare che un ragazzino di dodici anni si risparmi i diciannove minuti in cui il cervello, faticando, costruisce l’impalcatura su cui un giorno si reggerà quel pensiero sistemico che tanto piace all’amministratore delegato di Nvidia. Quei minuti sono il vero oggetto del contendere, e sono anche tutto quello che una famiglia, un insegnante o un ministero possono ancora difendere senza dichiarare guerra alla tecnologia: il tempo passato sul quaderno a quadretti prima di chiedere alla macchina se il risultato torna.

Il consiglio che darei, da chi con la tecnologia e con il comportamento delle persone ci lavora, è di guardare l’orologio invece della pagella: se i compiti che prima richiedevano un’ora adesso ne richiedono venti e i voti sono saliti, quello che è migliorato è l’appalto, e il conto arriverà all’esame. Huang può permettersi di dimenticare il proprio codice postale perché, a un certo punto, qualcuno gliel’ha fatto imparare, e il minimo che dobbiamo ai nostri figli è la stessa possibilità: dimenticare, un giorno, qualcosa che prima però hanno saputo. Bene.

Per Approfondire

Teoria

  • Platone, Fedro, 274c-275b (mito di Theuth e Thamus), ca. 370 a.C.
  • Andy Clark, David Chalmers, “The Extended Mind”, Analysis 58(1), 1998
  • Jacques Derrida, “La pharmacie de Platon”, Tel Quel 32-33, 1968 (poi in La dissémination, Seuil, 1972)
  • Bernard Stiegler, La technique et le temps, 1: La faute d’Épiméthée, Galilée, 1994 (trad. it. La tecnica e il tempo)
  • David Strömberg, Victor Lei, Yanhui Wu, “The Generative AI Learning Penalty: Evidence from Chinese Secondary Education”, CEPR Discussion Paper DP21577, 2026, https://cepr.org/publications/dp21577
  • Hamsa Bastani et al., “Generative AI without guardrails can harm learning: Evidence from high school mathematics”, PNAS, 2025, https://www.pnas.org/doi/10.1073/pnas.2422633122
  • André Barcaui, “ChatGPT as a cognitive crutch: Evidence from a randomized controlled trial on knowledge retention”, Social Sciences & Humanities Open 12, 2025, https://www.sciencedirect.com/science/article/pii/S2590291125010186

Fonti

The post Sacrificare i bambini per l’AI è un sacrificio che sono disposto a fare first appeared on Matteo Flora.

]]> Il più grande furto di competenze della storia umana https://mgpf.it/2026/09/18/piu-grande-furto-competenze.html https://mgpf.it/2026/09/18/piu-grande-furto-competenze.html#comments Fri, 18 Sep 2026 19:40:42 +0000 https://mgpf.it/?p=6707 Un dirigente Microsoft, per iscritto, in un documento processuale desecretato il 17 settembre 2026, definisce il modo con cui l’industria dell’AI ha raccolto i suoi dati di addestramento “il più grande furto di lavoro nella storia umana”. La firma sotto la frase è quella di Brent Hecht, Director of Applied Science della stessa azienda che poi in pubblico difende quel modo di raccogliere i dati come fair use. La distanza fra ciò che i costruttori dell’AI dicono davanti al giudice e ciò che si scrivono fra loro è la sola cosa che vale la pena leggere di questa storia. E non è nuova: c’era già un memo, del 1969, che spiegava come funziona il gioco.

The post Il più grande furto di competenze della storia umana first appeared on Matteo Flora.

]]>

L’apertura di una busta

In ogni film americano che coinvolge un grosso dibattimento, c’è sempre un a scena che sicuramente vi ricordate: un avvocato (o un giudice) apre una busta che qualcuno aveva chiesto restasse chiusa. In genere con un “TaDaaaa!” o qualche altro artificio narrativo, che sconvolge le carte in tavola. In realtà per chi bazzica i tribunali, la realtà è decisamente più prosaica e raramente succede qualcosa di visibile: un giudice firma un ordine di unseal, un file PDF compare sul registro elettronico del tribunale, un giornalista se ne accorge. In quella “busta” o “file” ci sono di solito tre o quattro frasi, scritte da qualcuno che non pensava che sarebbero state lette in pubblico, e che spesso finiscono per diventare le frasi che valgono tutto il processo. Ecco, dobbiamo parlare di una di queste.

Il 17 settembre 2026, nel fascicolo The New York Times Company v. Microsoft Corp. et al., la famosissima causa di NYT contro la AI a cui avevo dedicato nel 2024 uno speciale di CiaoInternet alla corte distrettuale del sud di New York davanti al giudice Sidney Stein, una di quelle buste è stata aperta.

Dentro, un dirigente Microsoft che si chiama Brent Hecht, il Director of Applied Science (uno degli ingegneri più anziani dell’azienda sull’AI applicata) definisce, in un memo interno che risale al gennaio 2023, ciò che l’industria dell’AI sta combinando per procurarsi i testi con cui addestra i modelli con la frase sbagliata da portare ad un dibattimenti: “un furto stupefacente di proporzioni senza precedenti”, e in una seconda frase dello stesso documento come “il più grande furto di lavoro (o competenze a seconda di come traducete) nella storia umana”. La frase arriva da un memo, non da un microfono aperto per sbaglio o da un tweet di venerdì sera: è materiale prodotto internamente, arrivato agli atti perché in un processo civile americano la parte avversa può chiederlo, ottenerlo e depositarlo. La ricostruzione è di TechCrunch, del Washington Post, di TheWrap, di 404 Media e di Futurism, tutti pubblicati lo stesso 17 settembre; il registro del tribunale conserva l’atto dentro un fascicolo che va avanti dal dicembre 2023 e che il giudice Stein dovrebbe portare a giudizio nel 2027.

Il “doom loop”

Un anno dopo il memo, sempre Hecht scrive in una presentazione interna che l’aspirazione di massa fatta dall’industria AI sta creando quello che chiama un “doom loop”, un anello di rovina che “danneggerebbe simultaneamente le prestazioni dei nostri modelli e l’intero web”. Non è più solo una questione morale: è l’ingegnere capo che dice ai colleghi che stiamo segando il ramo su cui siamo seduti. La documentazione mostra cali di click-through (sequenza di click) dai risultati di Bing Chat verso i siti del New York Times nell’ordine dell’ottantasette-novantatré per cento rispetto alla ricerca tradizionale. 9 persone su 10 non vanno più alla fonte, perché il riassunto è “abbastanza”, e il traffico e la pubblicità rimangono a Microsoft.

Nello stesso pacchetto di documenti, un altro nome, un altro pulpito: Nick Turley, Head of ChatGPT in OpenAI, in una comunicazione interna finita nella causa, descrive gli editori come esposti a una “minaccia esistenziale” dai modelli generativi, e definisce questi sistemi “in gran parte sostitutivi, punto, e diventeranno sempre più sostitutivi man mano che migliorano”. Detto in italiano terra-terra: sappiamo che vi divoreremo, sappiamo che vi divoreremo di più, e questa è una constatazione meramente ingegneristica, non una preoccupazione morale.

Poi c’è il cofondatore di OpenAI, Greg Brockman, che in un’altra mail interna, informato da un ingegnere che i colleghi hanno trovato “un piccolo hack” per aggirare il paywall del New York Times, risponde con due sillabe che dovrebbero far tremare i suoi avvocati: “ah, bello”. Bella Zì! Cibbutta bene! E c’è persino l’amministratore delegato di Microsoft, Satya Nadella, che in una deposizione ha spiegato, con una candidezza da lezione di marketing, che ChatGPT sostituisce le visite ai siti degli editori, “ti mette l’informazione lì, sul sito della piattaforma AI, invece di doverti mandare alla fonte originaria”.

Le frasi vanno lette insieme, perché sono il calco perfetto di un altro documento uscito dalla busta di un altro processo mezzo secolo fa. Dobbiamo fare un veloce excursus al 1969 fra poco, veloce non preoccupatevi, ma prima devo riuscire a spiegarvi perché queste frasi, prese sul serio, valgono quasi come confessione strutturale, ben oltre l’incidente diplomatico.

Il momento in cui la difesa cade

Nella causa del New York Times, come nelle sue cugine (Authors Guild v. OpenAI, Kadrey v. Meta, Bartz v. Anthropic), l’intera linea difensiva delle aziende AI si regge su una parola tecnica del diritto d’autore americano: fair use. In una traduzione onesta, “uso lecito”: la dottrina, codificata alla Section 107 del Copyright Act, che permette di riprendere un’opera altrui senza pagare il titolare quando l’uso è trasformativo, non sostituisce l’originale sul mercato, riguarda una porzione ragionevole. È il principio per cui una recensione può citare un romanzo, un professore può fotocopiare un capitolo, un artista può fare parodia. Se vi interessa ho fatto sul fair use un bellissimo speciale con Lucia Maggi (bellissimo perché c’è lei che è gran brava, non per altro)…

La difesa AI, in aula, è che addestrare un modello su un archivio di articoli e libri è fair use: non copiamo, impariamo. Ci facciamo un’idea generale di come si scrive un articolo, come si costruisce un romanzo, come si argomenta una tesi; non restituiamo il vostro testo, restituiamo il testo che un vostro simile scriverebbe.

Il problema di questa difesa è molto pratico: quando il vostro Head of ChatGPT scrive agli atti che il vostro sistema è “in gran parte sostitutivo”, la dottrina fair use letteralmente non regge: uno dei quattro test statutari chiede appunto se l’uso ha “un effetto sostanziale sul mercato potenziale” dell’originale. E se il vostro capoprogetto dice che il vostro prodotto è una minaccia esistenziale per l’editoria, l’effetto sostanziale sul mercato l’avete già ammesso voi. Sh*t, oppure DOH se vi piacciono i Simpsons! Da qui il valore giuridico dell’ammissione di Hecht: se dentro l’azienda si scrive che siamo di fronte al “più grande furto di lavoro della storia umana”, allora la trasformatività invocata in aula è, per usare un termine tecnico di Harry Frankfurt, bullshit, stronzate, cioè una posizione tenuta con indifferenza al vero, perché serve una posizione e questa è quella che serve. (Frankfurt lo scrive nel 1986 in un piccolo saggio su una rivista letteraria, Raritan Quarterly; Princeton University Press glielo ripubblica in volume nel 2005 e per una stagione diventa il manuale di conversazione delle persone colte. Tempi migliori, persone migliori, gran libro, davvero andate a prendervelo.)

Il memo del 1969, il memo del 2026

Ok, macchina del tempo al 1969! La ragione per cui vale la pena scrivere di quattro frasi in un filing americano non è la novità, è la ripetizione o reiterazione, e sapete che nei paesi di common law, il precedente conta. Il gesto di Hecht (riconoscere in privato ciò che si nega in pubblico) è esattamente il gesto documentato in centinaia di memo interni dell’industria del tabacco, e poi di quella dei combustibili fossili, e poi di quella dei pesticidi. Lo hanno ricostruito, con un dossier che ha fatto scuola, Naomi Oreskes ed Erik Conway in Merchants of Doubt (Bloomsbury, 2010; in italiano Mercanti di dubbi, Edizioni Ambiente, 2019).

Il documento alla base di tutto il genere è un memo interno di Brown & Williamson, produttore di sigarette, del 1969, uno di quelli desecretati durante il Tobacco Master Settlement degli anni Novanta. La riga che va ricordata a memoria e che è nelle mie slide in Università, perché è il manuale di volo di ogni successivo dossier di questo tipo, dice così: “Il dubbio è il nostro prodotto, poiché è lo strumento migliore per competere con il ‘corpo di fatti’ che esiste nella mente del pubblico generale”.

Traducetelo per l’AI e leggetelo di seguito con Hecht, Turley, Nadella e Brockman:

  • Il fatto scomodo, nella mente del pubblico generale, è che i grandi modelli si sono addestrati su testo umano non pagato.
  • La strategia non è negarlo (sarebbe insostenibile, si vede nero su bianco anche se ti mancano 10 diottrie) ma tenere aperta la controversia e cercare di fare passare il concetto non è così così problematico, che sia effettivamente sostitutivo, che tecnicamente sia trasformativo.
  • Il prodotto che si vende al pubblico e ai regolatori è dunque il dubbio, non la difesa nel merito.

Oreskes e Conway spiegano perché lo schema funziona per decenni sullo stesso dossier: bastano poche persone credibili in giacca e cravatta, disposte a firmare position paper e a comparire in commissioni parlamentari, che dicono “il dibattito è ancora aperto” mentre nei corridoi si sa da anni che è chiuso. Mi fermo, perché è importante e magari avete una brioche in mano e siete distratti: non devo dimostrare di avere ragione. Non devo dimostrare nemmeno che controparte dice cose non vere. Devo dimostrare solamente che il dibattito è ancora aperto. Se è aperto per gli esperti, figuriamoci cosa può saperne una giuria!

La stampa poi ci mette del suo, per un riflesso professionale legittimo (dare voce a “entrambe le parti” che fa molto puntata di Mario Giordano), che però diventa perverso quando le parti non sono equivalenti: il rapporto scienza-lobby, nel dibattito sul tabacco, era circa novantanove a uno a favore del nesso fumo-cancro nel 1990, e la stampa americana lo rappresentava in panel uno a uno. È la falsa equivalenza mediatica che regge tutto il resto.

I personaggi migrano

La scoperta più importante di Oreskes e Conway non sono le tecniche, sono i personaggi. Gli stessi cognomi (Fred Seitz, Fred Singer, William Nierenberg) ricorrono nei dossier del tabacco negli anni Ottanta, in quelli sulle piogge acide negli anni Novanta, in quelli sul buco dell’ozono, in quelli sul cambiamento climatico. Non è un caso: il mestiere è trasferibile: fabbricare dubbio è una competenza, con la sua bibliografia, i suoi think tank, i suoi consulenti media, i suoi convegni. È mestiere, e lasciatevelo dire da chi come me questo mestiere lo fa e lo insegna. Guardate chi, oggi, spiega ai giornali e ai regolatori europei perché non bisogna toccare i sistemi AI “per non perdere la corsa”: non tutti, la maggior parte sono in buona fede, ma alcuni sì, sono già passati per altre battaglie pubbliche di pubblica utilità.

La versione elegante: “è il web pubblico”

Il modo con cui la stessa Microsoft che agli atti confessa il furto costruisce, in pubblico, la propria difesa è raccontato meglio che da chiunque altro dal CEO di Microsoft AI, Mustafa Suleyman, all’Aspen Ideas Festival del giugno 2024, intervistato da Andrew Ross Sorkin per CNBC. Alla domanda diretta sul copyright, Suleyman risponde con un concetto che vale una masterclass di narrative governance: dice che ciò che sta sull’open web (il web aperto) è nella pratica coperto, dagli anni Novanta, da un “contratto sociale” che ne fa uso lecito, e aggiunge: “chiunque può copiarlo, ricrearlo, riprodurlo”. Con parole più semplici: se lo avete messo online, è nostro. F*ttetevi! (quest’ultima parte l’ho aggiunta io, nel caso vi venisse il dubbio).

L’operazione retorica è pulita: si sostituisce “copyright” con “contratto sociale”, spostando il piano dal diritto positivo alla morale tacita; si sostituisce “privato ha pubblicato per un pubblico e a certe condizioni” con “pubblico dominio”, cancellando le condizioni; si riscrive la storia, perché quel contratto sociale semplicemente non esiste. Chiunque abbia mai chiesto a Google di rimuovere una foto dal proprio sito sa che il robots.txt non è un dettaglio, e chiunque abbia depositato un DMCA takedown sa che il web pubblico è un luogo governato dal copyright, non un pascolo comune.

Il gioco è nominare l’esistente con parole nuove, così da farlo somigliare a qualcos’altro. Il concetto tecnico, quando qualcuno riscrive le condizioni di legittimità di una pratica assimilandola a un’altra pratica accettata, si chiama frame shift; Erving Goffman lo aveva codificato nel 1974 in Frame Analysis, e mezzo secolo dopo si vede a occhio nudo dal vivo. (Goffman, Harvard, 1974: uno dei libri che meritano lo scaffale in vista, non quello sopra la lavatrice.)

Cosa c’è dentro quei modelli, davvero

I due lati della comunicazione (il “furto più grande della storia” dentro, il “contratto sociale” fuori) ci dicono cosa è successo. Come è successo lo racconta un giornalismo tecnico che è ormai una piccola letteratura. Il pezzo che ha stabilito lo standard è di Alex Reisner su The Atlantic nell’agosto 2023: Reisner ha isolato, e reso ricercabile per autore, Books3, un dataset di circa centonovantunomila libri raschiati da Library Genesis (LibGen), la biblioteca ombra russa che ospita PDF senza autorizzazione. Books3 è finito, in modo documentato, dentro The Pile di EleutherAI, e da lì nei training set di Meta LLaMA, di BloombergGPT e di altri; il fatto che Meta abbia usato LibGen è emerso poi con mail interne rese pubbliche nella causa Kadrey v. Meta, discussa nel distretto nord della California davanti al giudice Vince Chhabria.

Non si trattava di ambiguità: le mail interne di Meta discutevano proprio della conoscenza dell’illegalità della fonte e della decisione di usarla comunque. Il giudice Chhabria, nel 2025, ha dato ragione a Meta sulla trasformatività del training rispetto ai tredici autori querelanti (Richard Kadrey fra gli altri) ma la sua sentenza è stata scritta in modo esplicito come pertinente a quei fatti e a quegli autori, non come via libera generale al settore. Un giudice californiano che dice “non a questa richiesta” non dice “a nessuna richiesta”, ed è appunto quello che sta succedendo nei fascicoli paralleli.

Un accordo che vale un miliardo e mezzo

Uno degli imputati, nel frattempo, ha pagato. Nel luglio 2026, in Bartz v. Anthropic, sempre alla corte distrettuale della California settentrionale davanti al giudice William Alsup, Anthropic ha accettato un class action settlement da circa un miliardo e mezzo di dollari a favore di circa mezzo milione di autori i cui libri erano stati inclusi nei training data, per una media di circa tremila dollari a libro, ripartita a metà fra autore ed editore. È la cifra più alta mai vista in un caso di copyright collettivo americano. E sì, anche di questo c’è un bellissimo video dedicato, che è ancora bellissimo sempre perché c’è Lucia Maggi e siamo anche a farlo da Singapore.

Va letta insieme al ragionamento del giudice Alsup, perché è il ragionamento a fare giurisprudenza, non l’assegno. Alsup ha detto due cose distinte:

  • primo: addestrare un modello su libri acquistati e scansionati legalmente è, in sé, fair use trasformativo;
  • secondo: scaricare gli stessi libri da siti pirata e conservarli in una “libreria centrale” interna (cioè il modo in cui Anthropic ha effettivamente costruito il proprio corpus) NON è coperto da fair use.

Tradotto: il training può essere lecito, ma il deposito pirata con cui lo alimenti no. Il miliardo e mezzo di Anthropic è la valutazione economica di quel secondo punto. È il momento in cui la fabbrica del dubbio, per uno degli attori, ha smesso di essere conveniente: il dubbio, come prodotto, ha una scadenza, e prima o poi qualcuno deve mostrare i libri contabili.

Chi non ha ancora pagato, nel frattempo, ha comprato altrove: OpenAI ha firmato con News Corp per circa duecentocinquanta milioni di dollari in cinque anni, con Axel Springer per un contratto pluriennale, con l’Associated Press e con altri. Google ha un accordo pubblico con Reddit che a valore attualizzato sta intorno ai sessanta milioni all’anno per l’accesso al contenuto. Tradotto in linguaggio umano: quando serve, il testo umano si compra; quando si può, si prende. La distinzione fra i due casi è una questione di pipeline, prima ancora che di morale: si compra dai grandi, che possono farsi male, si prende dai piccoli, che al massimo si arrabbiano su Twitter.

E in Italia? Ci siamo dentro fino al collo

Nel dossier italiano di questa storia, che c’è ed è meno raccontato di quanto meriti, ci sono almeno tre livelli.

Il primo è la presenza di autori italiani nei dataset ombra. Books3 include, in traduzione inglese ma anche in originale, opere di Umberto Eco, Elena Ferrante, Roberto Saviano, Alessandro Baricco e di centinaia di altri; le collezioni parallele come PG-19 e i vari dump di Common Crawl contengono materiale in italiano rastrellato dai siti di editori e testate. La strada legale per opporsi, in Europa, passa dall’articolo 4 della Direttiva 2019/790 sul mercato unico digitale (la cosiddetta Copyright Directive), che consente il text and data mining commerciale a meno che il titolare non abbia espresso opt-out in modo leggibile a macchina. Molti editori italiani lo hanno fatto, molti no, quasi nessuno ha attrezzato uno standard di opt-out macchina-leggibile decente; è una battaglia in cui il paese sta arrivando tardi.

Il secondo livello è la SIAE contro Suno, la società americana di generazione musicale AI, per l’ingestione di catalogo protetto: una vertenza su un fronte meno affollato ma con implicazioni identiche, perché se un modello genera “nella maniera di” qualcuno il cui repertorio è dentro il training set, è successo prima dentro il modello quello che poi succede fuori. La linea giurisprudenziale che si sta costruendo lì, sulla musica, farà scuola sulla scrittura.

Il terzo livello, il più preoccupante, è il discorso pubblico italiano sul tema, che nella maggior parte dei casi è appiattito sulla difesa del “non perdiamo la corsa” (la versione europea del “contratto sociale” di Suleyman). Si dice: se costringiamo le aziende AI a pagare i diritti come qualsiasi altra industria dell’ingegno, moriremo. È l’argomento identico usato dai produttori chimici degli anni Settanta per opporsi alle norme ambientali. È perfino formulato con le stesse parole, il che dovrebbe farci sospettare qualcosa dei consulenti che lo scrivono.

Se una domanda va imposta al dibattito italiano su questa stagione, se una domanda va portata a ogni tavolo dove si scrive politica industriale sull’AI, è questa: perché un’industria che ha già ammesso agli atti di aver preso senza pagare dovrebbe essere quella a cui affidiamo la scrittura delle regole future?

Il memo che nessuno doveva leggere

Torniamo alla busta. In ogni processo c’è un momento in cui una frase che qualcuno aveva scritto pensando che nessuno l’avrebbe letta finisce nel fascicolo. Nel 1969, quella frase era “Il dubbio è il nostro prodotto”: l’aveva scritta un uomo in giacca e cravatta, in un ufficio con la moquette, per un pubblico di una decina di dirigenti, e ci sono voluti trent’anni perché uscisse dalla busta e diventasse una delle citazioni più dolorose della storia industriale del Novecento. Fu, alla fine, il pezzo di carta che chiuse la partita sul tabacco.

Nel 2026, la frase è “il più grande furto di lavoro nella storia umana”: l’ha scritta un uomo in felpa griffata, in un ufficio con le finestre che danno su Lake Washington, per un pubblico interno, ed è servito meno di un anno perché uscisse dalla busta. Sarà, forse, il pezzo di carta che chiude la partita sull’AI generativa. Oppure no, e forse questa volta la fabbrica del dubbio è più veloce, ha più budget, ha convinto più regolatori; forse “perderemo la corsa” è un frame abbastanza spesso da coprire trent’anni di processi, e forse Hecht verrà trasferito, Turley promosso, il contratto sociale di Suleyman entrerà nei manuali di legge come la nuova versione del fair use, mentre chi ha scritto duecento pagine di un romanzo si abituerà a essere un dettaglio del substrato di qualcun altro.

Nel frattempo, però, c’è un memo. Ne esistono ora due, a distanza di cinquantasette anni, che dicono la stessa cosa nella stessa lingua, con la stessa struttura sintattica, la stessa candidezza aziendale. Vale la pena, se scriviamo, di stamparceli sopra la scrivania.

Almeno per sapere di che morte moriremo.

Per Approfondire

Teoria

  • Frankfurt, H. G., On Bullshit, Princeton University Press, 2005 (dall’originale in Raritan Quarterly, 1986). Ed. it. Stronzate, Rizzoli, 2005.
  • Goffman, E., Frame Analysis: An Essay on the Organization of Experience, Harvard University Press, 1974.
  • Oreskes, N. & Conway, E. M., Merchants of Doubt: How a Handful of Scientists Obscured the Truth on Issues from Tobacco Smoke to Global Warming, Bloomsbury, 2010. Ed. it. Mercanti di dubbi, Edizioni Ambiente, 2019.
  • Proctor, R. N. & Schiebinger, L. (a cura di), Agnotology: The Making and Unmaking of Ignorance, Stanford University Press, 2008.
  • Reisner, A., “Revealed: The Authors Whose Pirated Books Are Powering Generative AI”, The Atlantic, 19 agosto 2023.

Fonti

The post Il più grande furto di competenze della storia umana first appeared on Matteo Flora.

]]> https://mgpf.it/2026/09/18/piu-grande-furto-competenze.html/feed 2 “Claude, costruisci un missile”: cosa racconta il rapporto Anthropic sulle armi https://mgpf.it/2026/09/11/anthropic-report-armi-claude.html Fri, 11 Sep 2026 10:29:36 +0000 https://mgpf.it/?p=6701 Il 10 settembre Anthropic ha pubblicato il suo rapporto semestrale sugli abusi di Claude e per la prima volta ha dedicato un capitolo intero alle armi convenzionali: sei programmi, tre cinesi, due russi e uno yemenita, ricostruiti dai registri delle conversazioni e chiusi con la cancellazione degli account. Dentro c'è un razzo guidato lanciato davvero, uno sciame di droni che decide da solo chi colpire, una simulazione con dodici bersagli a Taiwan e un ufficio acquisti di Mosca che aggira le sanzioni europee in tre lingue. La storia che ne esce riguarda meno le armi e più chi le ha viste: un'azienda privata che legge nei propri log ciò che un tempo ricostruivano i gruppi di esperti dell'ONU dai rottami, e la cui unica contromisura è quella di un social contro uno spammer.

The post “Claude, costruisci un missile”: cosa racconta il rapporto Anthropic sulle armi first appeared on Matteo Flora.

]]>

Da qualche parte nel nord dello Yemen, in una data che il rapporto non precisa, qualcuno ha premuto un pulsante e un razzo con un sistema di guida fatto in casa è partito verso un bersaglio. Non ci è arrivato: il test, per quanto Anthropic riesce a vedere, è fallito. La parte che però, almeno a me, fa rizzare i capelli (quei pochi che ho) in testa viene un pochino dopo, perché nel giro di poche ore gli stessi operatori erano di nuovo davanti a Claude a chiedergli perché, con la telemetria del lancio, come uno studente che torna dal professore con il compito sbagliato. Nessun morto, nessuna esplosione in un mercato: soltanto un gruppo di ingegneri che, fallito il collaudo, apre la chat.

Il modo in cui ci erano arrivati è la parte forse più innocua di tutte, ma contemporaneamente (ancora, secondo me) è quella che dovrebbe preoccupare di più: la cellula terroristica non usava il modello come un oracolo che sputa segreti militari, ma come un piccolo ufficio tecnico: un’istanza di Claude Code scriveva il software di guida, navigazione e controllo, una seconda faceva ricerca, una terza revisionava il codice della prima, con il capo umano che distribuiva i compiti come farebbe un responsabile di progetto con tre giovani assunti. Il lavoro era spezzato in decine di sessioni, nessuna delle quali rivelava da sola a cosa servisse il tutto (terroristi sì, scemi no…), e il rapporto ammette senza giri di parole che i filtri hanno bloccato molte richieste, ma non tutte. C’è un dettaglio che chi segue lo Yemen non ha sicuramente perso di vista: secondo il gruppo di esperti delle Nazioni Unite che nell’ottobre 2025 ha documentato la violazione sistematica dell’embargo, gli Houthi producono in casa fusoliere e propellente, ma per i sistemi di guida dipendono ancora dall’Iran. Il software di guida è proprio il pezzo che la cella stava provando a farsi da sola. Quando gli account sono stati chiusi, il gruppo aveva già compilato un simulatore di volo autonomo, un eseguibile che gira senza Claude e senza nessun altro ambiente di calcolo ingegneristico. Il negozio ha chiuso; la merce era già uscita.

Questa è la prima delle sei storie del rapporto pubblicato il 10 settembre, che copre gli abusi intercettati fra dicembre 2025 e agosto 2026 in sette aree, dalle operazioni informatiche alla biologia. Il capitolo sulle armi convenzionali è quello nuovo, e va letto in sequenza, perché ogni caso aggiunge un pezzo a un meccanismo che, alla fine, non riguarda più le armi.

Lo sciame che sceglie da solo, costruito da tre freelance

Il secondo caso è russo e, a mio avviso, il più grave di tutti, perché la gravità sta nella piccolezza: Anthropic descrive una squadra di freelance, con legami con un’università di provincia e un centro di ricerca federale dell’Accademia russa delle scienze, che fra la fine del 2025 e l’inizio del 2026 apre nove account: otto li usa per lavori normali da programmatore a partita IVA, uno per un progetto che chiama “DronDoc” o “Serafim”. A metà maggio 2026 il progetto parte davvero, con Claude Code che scrive e testa codice direttamente nei file del gruppo, una simulazione in cui il codice reale girava dentro il modello del drone e un server con schede grafiche a noleggio per addestrare i modelli.

Quello che stavano costruendo è uno sciame di droni kamikaze in visuale in prima persona, autonomo dall’inizio alla fine: una memoria condivisa fra i droni con una logica di coordinamento resistente ai guasti, un piccolo modello linguistico a bordo che governa i comportamenti di attacco, osservazione e rientro, un sistema di guida terminale che porta il drone sul bersaglio con la telecamera e dà il comando di detonazione, un modulo per geolocalizzare gli operatori avversari dal loro collegamento radio, uno strato di rilevamento acustico passivo. Il classificatore di visione era addestrato su filmati di combattimento ucraini raccolti in rete, con le classi “nemico” e “amico” e i sistemi russi messi in lista bianca; fra le classi di bersaglio c’era “persona”, e il modello di bordo poteva selezionarla e ordinare la detonazione senza nessun essere umano nel circuito decisionale. Il bersaglio dimostrativo era una coordinata fissa nell’oblast di Donetsk, e le missioni erano disegnate sulle città e sui corridoi del fronte.

Anthropic colloca il tutto a un livello di maturità tecnologica 3-4, cioè validato in simulazione con il firmware caricato su schede di sviluppo reali; niente che voli oggi, ma un prototipo funzionante a livello di software. Gli operatori sostenevano di essere finanziati dalla Fondazione per la ricerca avanzata, dall’Iniziativa tecnologica nazionale e dal Ministero della difesa russi, affermazioni che l’azienda non è riuscita a verificare e che, del resto, non serve nemmeno siano vere. Tre giorni prima che il rapporto uscisse, il 7 settembre, il gruppo di esperti della Convenzione ONU sulle armi convenzionali ha chiuso a Ginevra l’ennesima sessione senza un trattato sulle armi autonome letali, con settantasei Stati favorevoli a negoziare, un testo annacquato da Russia e Stati Uniti e un rinvio alla conferenza di revisione di novembre. Quella discussione, da dieci anni, immagina come avversario un programma statale con un bilancio a nove zeri, o al massimo il Kargu-2 turco che nel 2020 in Libia avrebbe inseguito da solo dei combattenti in ritirata (il rapporto ONU, per la cronaca, non dice mai che abbia ucciso qualcuno, ma la leggenda ha vinto); qui invece c’è un prototipo dimostrativo da garage fatto da tre persone che di giorno fanno altri lavori, con un assistente di programmazione a canone mensile al posto del reparto di ricerca e sviluppo.

Dodici bersagli a Taiwan, in una suite da sedici moduli

Il terzo caso porta in Cina e cambia scala: un ricercatore che Anthropic collega, tramite metadati dell’account e contenuti intercettati dai filtri, a istituzioni di ricerca della Repubblica popolare, fra cui l’Accademia delle scienze militari dell’Esercito popolare di liberazione, ha usato la chat, gli strumenti di programmazione e quelli agentici per costruire una suite in lingua cinese di circa sedici moduli per la guerra elettronica e la soppressione delle difese aeree, arrivata alla dodicesima versione. Il software analizza i radar, le batterie di missili terra-aria, i posti di comando e i nodi di comunicazione di un avversario, ne calcola la copertura, stima l’efficacia del disturbo, ordina i bersagli per valore e vulnerabilità, decide quale sopprimere per primo e come distribuire le sortite dei disturbatori su una campagna di più giorni; modella anche gli inviluppi d’ingaggio di sistemi come il Patriot e il THAAD, l’antimissile americano per l’alta quota.

A metà del progetto, racconta il rapporto, l’utente ha cambiato lo scenario predefinito della simulazione: dodici bersagli a Taiwan, con un bunker di comando, un sito radar di allarme precoce, batterie Patriot e Tien Kung, le basi aeree principali e il quartier generale di un comando regionale. Non è un esercizio astratto su una mappa inventata: è la geografia della guerra che qualcuno sta preparando. Il dettaglio più rivelatore è che in parallelo lo stesso utente faceva girare un modello installato sui propri server e l’aveva collegato alla suite come strumento: Claude era una delle mani, non l’unica, e quando è stato tolto l’altra era già lì pront a riprendere le fila del discorso.

La proposta da duecento pagine per la Marina cinese

Il quarto caso è anche quello cinese e, letto da chi si occupa di comunicazione, suona incredibilmente spaventevole e familiare: un utente che si presentava come fornitore del settore della difesa americano, e che Anthropic ritiene invece legato a un produttore cinese della difesa che lavora per la Marina dell’Esercito popolare di liberazione, ha usato Claude su tre binari paralleli per un sistema anti-siluro: la specifica in cinese del sistema di controllo del tiro, cioè la logica che decide quando e come rispondere a un siluro in arrivo, scritta per ottenere l’approvazione del produttore e passare alla certificazione tecnica; una proposta tecnica di oltre duecento pagine con relativa presentazione per i dirigenti; e un confronto del proprio sistema con programmi americani analoghi, costruito da fonti aperte e trasformato in un briefing sui sistemi della Marina statunitense.

Il metodo di lavoro è quello che chiunque abbia scritto un’offerta riconosce al volo: bozza, poi si chiede al modello di interpretare un revisore ostile che la stronca, poi si riscrive, e così via per molti giri, comprimendo in giorni il ciclo di revisione umana che in un’azienda della difesa dura mesi. In parallelo produceva pezzi del software di controllo del tiro e una matrice di test per validarli. Anthropic non riesce ad attribuire l’attività a un’entità precisa, e l’account è stato chiuso per violazione delle regole sui Paesi in cui il servizio è disponibile e di quelle d’uso, che vietano la progettazione di armi. Qui il vantaggio che il modello dà sta tutto nella velocità con cui si arriva al documento che convince qualcuno a finanziare l’arma, prima ancora che nell’arma stessa.

L’ufficio acquisti che aggira le sanzioni in tre lingue

Con il quinto caso il rapporto cambia registro e tocca il punto più difficile da difendere. A Mosca un responsabile acquisti di un ufficio di progettazione, il classico konstruktorskoe byuro dell’industria sovietica e poi russa, usava Claude per gestire cinque filiere di approvvigionamento: magnetometri triassiali di fabbricazione tedesca da far arrivare tramite un distributore cinese, con la spiegazione che sarebbero serviti a un centro biomedico; diverse migliaia di celle fotovoltaiche di grado spaziale da un fornitore cinese, pagate tramite una banca russa sanzionata e una cinese già sanzionata in passato; sistemi di ossigeno per equipaggi di volo; un contratto per costruire un ospedale per un’unità della Guardia nazionale; sistemi informatici e di cifratura dalla piattaforma statale russa per gli acquisti della difesa.

Il modello trovava intermediari nella Cina continentale e a Hong Kong per procurare prodotti europei, scriveva le richieste di preventivo in inglese, cinese e russo presentando il compratore come l’ufficio relazioni estere di un ente di ricerca non meglio precisato, con consegna in Russia; redigeva i capitolati di gara nel formato del governo russo, ricostruiva la catena di ricarichi degli importatori grigi e, cosa che il rapporto sottolinea, scriveva i briefing per il direttore in cui l’intera operazione era descritta come un modo per aggirare i controlli commerciali europei, con tanto di riferimento alle norme applicabili e di passaggio per una “giurisdizione neutrale rispetto alle sanzioni”. Con agenti di automazione del browser faceva girare tutto il back office: prezzi pescati in automatico dai marketplace, una quarantina di righe per ogni gara, fogli di calcolo fusi e sincronizzati con gli strumenti di gestione dei progetti, lettere ai corrieri per cambiare destinatario a un ordine già spedito.

Il caso è la regola, con un assistente in più: secondo la commissione del Congresso americano sui rapporti con la Cina, nel 2023 il 79 per cento delle spedizioni finali di beni critici verso la Russia partiva dalla Cina o da Hong Kong, e il ventesimo pacchetto di sanzioni europee, il 23 aprile 2026, ha colpito sessanta società di Paesi terzi, quasi tutte cinesi o hongkonghesi, proprio per questo. Anthropic scrive una frase che va presa sul serio: individuare questo tipo di attività è particolarmente difficile perché ogni singola richiesta sembra banale: una richiesta di preventivo, un capitolato, la ricerca di un distributore. Nessun classificatore al mondo ferma “trovami un rivenditore autorizzato a Hong Kong”, e non dovrebbe, perché nove volte su dieci lo chiede un’azienda che vuole soltanto comprare un magnetometro. Il pattern esiste solo in aggregato, e in aggregato lo vede soltanto chi ha tutti i log.

L’analista che scrive per la leadership del Partito

L’ultimo caso chiude il cerchio dalla parte dell’intelligence: un utente cinese che si descriveva come redattore di una pubblicazione interna di intelligence della difesa, a capo di una squadra di tre persone, ha usato Claude per decine di sessioni di raccolta da fonti aperte sulle armi a energia diretta americane, e in particolare su un’arma a microonde ad alta potenza montata su veicolo per abbattere sciami di droni, resa pubblica pochi giorni prima. Voleva identificare il dispositivo che genera le microonde e chi lo fornisce, con attribuzioni pesate per probabilità, per poterlo ricostruire, sviluppare contromisure e confrontarlo con i sistemi cinesi; mappava la proprietà dei fornitori per penetrare una catena di approvvigionamento resa deliberatamente opaca; e chiedeva al modello di scrivere briefing a circolazione riservata per la dirigenza del Partito, dei militari e della sicurezza di Stato, incluso un rapporto di ventitré pagine sui programmi a microonde di una forza armata straniera.

Anthropic giudica il metodo da servizio di Stato: oltre una dozzina di banche dati aperte e commerciali sfruttate in modo strutturato, richieste formali di accesso agli atti indirizzate a un ufficio di programma militare straniero, i metodi analitici presi in prestito dalle agenzie occidentali, le fonti classificate per credibilità, briefing esecutivi con appendici da quarantacinque pagine e una checklist di monitoraggio a dodici mesi. Nulla di illegale nel singolo atto, come nel caso precedente; tutto legale, anzi, e proprio per questo la parte che nessuna legge sull’esportazione riesce a toccare.

Dove sta il guasto

Messi in fila, i sei casi raccontano tre cose che il comunicato stampa non dice.

La prima riguarda l’economia dell’attacco: in nessuno dei sei programmi il modello ha fornito una capacità che gli operatori non avessero già: la cella yemenita sapeva “di”farei” missili, i freelance russi sapevano “fare” droni, il ricercatore cinese sapeva “fare” radar. Ciò che è cambiato è il costo del lavoro attorno a quella competenza, e con esso la lettura che si può dare di un’operazione dall’esterno. L’economista Michael Spence, nel saggio del 1973 che gli è valso il Nobel, spiegava che in un mercato con informazione asimmetrica i segnali contano solo se sono costosi da falsificare: la laurea dice qualcosa del candidato perché a un incapace costa troppo ottenerla. Per decenni la sofisticazione tecnica di un programma d’armi ha funzionato allo stesso modo, come segnale costoso che permetteva agli analisti di distinguere uno Stato da un ragazzo con un portatile; il rapporto documenta, caso dopo caso, la fine di quel segnale, perché tre freelance producono ciò che prima segnalava un ministero, e l’attribuzione, primo passo di ogni deterrenza, perde il suo indizio più affidabile. (Per i nerd: in gergo si dice che l’equilibrio separante è diventato aggregante. Ecco, adesso lo sapete anche voi.)

La seconda riguarda la contromisura. “Interrotto”, nel lessico del rapporto, significa che Anthropic ha cancellato tutti gli account riconducibili all’operatore e ha condiviso i risultati con partner pubblici e privati; ha inoltre annunciato nuovi classificatori per esplosivi ad alto potenziale e sviluppo di armi, e il suo gruppo di red team ha pubblicato valutazioni che misurano quanto i modelli siano bravi nell’individuazione tattica dei bersagli, come trovare dove sta una persona da informazioni frammentarie, e nello sviluppo di armi, come progettare un drone che colpisca un bersaglio in movimento: i modelli, scrivono, fanno progressi costanti. Il ban è la contromisura che una piattaforma usa contro un truffatore di annunci, ed è quello che c’è; ma in almeno tre dei sei casi il lavoro era già fuori dalla sua portata, sotto forma di un simulatore che gira da solo, di un modello locale collegato alla suite, di firmware già sulle schede, e la chiusura dell’account ha fermato l’abbonamento, non il programma.

La terza riguarda chi guarda: per ottant’anni la scoperta di un programma d’armi clandestino è stata lavoro di governi, di panel di esperti delle Nazioni Unite, di giornalisti che rimettevano insieme i pezzi da rottami recuperati e documenti d’appalto; oggi la stessa scoperta la fa, prima di tutti e con più dettaglio, un’azienda privata californiana che la legge nei registri delle conversazioni dei propri clienti, e che poi decide, con la formula, scrive il rapporto, “come appropriato”, a chi raccontarla. I politologi Henry Farrell e Abraham Newman hanno descritto nel 2019 su International Security che cosa succede quando una rete nata per l’efficienza ha dei nodi centrali: chi ha autorità sul nodo acquisisce due poteri, quello di vedere i flussi che l’attraversano senza spiare nessuno in particolare, e quello di chiudere il rubinetto a chi non vuole più servire. Loro studiavano gli Stati Uniti sul dollaro e sulla rete dei pagamenti interbancari, ma la meccanica non cambia se il nodo è un modello di frontiera e il proprietario un’azienda con una politica d’uso al posto di una legge, con una differenza che i due autori non avevano davanti: nel loro schema il nodo stava sotto la giurisdizione di uno Stato che ne rispondeva a un parlamento, mentre qui la giurisdizione è un contratto e il parlamento è un post sul blog.

I due lati vanno visti in un contesto unitario, tutti e due insieme, perché il rapporto è anche un documento di posizionamento, e come tale va letto da chi di reputazione si occupa: dice “noi vediamo, noi chiudiamo, noi raccontiamo” in un momento in cui l’azienda ha bisogno di dimostrare che i suoi filtri servono a qualcosa, mentre nessun governo, nessuna ONU e nessun giornale ha finora potuto verificare in modo indipendente i dettagli di un solo caso. Il precedente non aiuta, perché il rapporto del novembre 2025 sulla campagna di spionaggio cinese “orchestrata dall’intelligenza artificiale” fu accolto, come ricostruì BleepingComputer, da una comunità della sicurezza scettica, dato che non conteneva un solo indicatore tecnico verificabile e che la stessa Anthropic ammetteva che il modello, durante l’attacco, si era inventato credenziali che non funzionavano. Lo scrivo da persona che legge rapporti di questo tipo da vent’anni: la ragione per crederci c’è, ed è la stessa per cui bisogna pretendere che l’unico ente che vede quei flussi risponda a qualcuno di diverso da sé.

C’è infine una simmetria che a chi fa divulgazione non sfugge: gli stessi filtri che in Yemen hanno bloccato molte richieste ma non tutte sono quelli che si inceppano quando provate a farvi spiegare questo rapporto da un modello; il costo del falso positivo lo paga chi informa, quello del falso negativo lo paga chi sta sotto il razzo, e nessuna delle due curve arriva a zero. Dove mettere l’asticella è una decisione politica, ed è la decisione che oggi prende, in silenzio e con ottime intenzioni, un team di sicurezza a San Francisco.

Cosa fare se avete un’azienda, un ufficio acquisti o un’aula

Per chi legge questo pezzo da un’impresa, e in Italia sono migliaia fra meccanica di precisione, elettronica, aerospazio e chimica, il rapporto è un manuale su come vi useranno, non su come vi attaccheranno. Le cose da fare, con il cappello del consulente e non del commentatore, sono quattro:

  • Primo: trattate le richieste di preventivo come dati, non come posta. L’ufficio acquisti di Mosca funziona perché dall’altra parte c’è un commerciale che risponde a una mail in cinese corretto con un’offerta; un cliente nuovo che chiede beni a doppio uso per conto di un “ente di ricerca” non meglio identificato, con consegna in un Paese diverso da quello del richiedente, è una riga in un registro che una persona con nome e cognome deve leggere ogni settimana.
  • Secondo: se vendete componenti che compaiono negli elenchi dei beni a duplice uso del Regolamento europeo 2021/821, chiedete all’intermediario chi è l’utente finale prima di spedire, e mettetelo per iscritto: la vostra corrispondenza, un giorno, sarà letta da qualcuno che cerca di capire da che parte stavate.
  • Terzo: se usate assistenti di programmazione o agenti in azienda, sappiate che il vostro fornitore vede quello che ci fate, l’aggrega e in certi casi lo racconta. Sta scritto nel contratto: leggetelo, e decidete quali progetti passano di lì e quali no.
  • Quarto: per chi insegna, siede in un consiglio d’amministrazione o scrive politiche pubbliche, la domanda da portare al prossimo incontro è chi controlla chi controlla. Un ente privato che vede più dell’intelligence nazionale e sceglie da solo con chi condividere è una novità istituzionale, e le novità istituzionali si regolano, altrimenti si subiscono.

Il negozio ha chiuso, ma…

Torniamo nel deserto, dove il razzo è caduto, la chat è stata chiusa, gli account non esistono più. Sul disco di qualcuno, nel nord dello Yemen, c’è un eseguibile che simula il volo di un missile senza bisogno di chiedere niente a nessuno, e sulle schede di tre programmatori russi c’è un firmware che riconosce una persona in un filmato. Il rapporto di Anthropic è un buon rapporto, scritto da gente competente, e racconta con onestà una cosa che le aziende di solito non raccontano; la cosa che non può raccontare è quanto è rimasto fuori dalla vetrina prima che la saracinesca scendesse.

La prossima volta che qualcuno vi dirà che l’intelligenza artificiale ha reso possibile un’arma, chiedetevi quale reparto ha sostituito, chi ha chiuso l’account, e quante ore sono passate fra il lancio fallito. E la domanda fnale: “perché”.

Per Approfondire

Teoria

  • Michael Spence, “Job Market Signaling”, The Quarterly Journal of Economics, 87(3), 1973, https://doi.org/10.2307/1882010
  • Henry Farrell, Abraham L. Newman, “Weaponized Interdependence: How Global Economic Networks Shape State Coercion”, International Security, 44(1), 2019, https://doi.org/10.1162/isec_a_00351

Fonti

  • Anthropic: “Detecting and countering misuse of AI: September 2026” (10/09/2026), https://www.anthropic.com/threat-intelligence-report-september-2026
  • Anthropic: PDF completo del rapporto (10/09/2026), https://www-cdn.anthropic.com/e50be2e51e7695dc4b1366a37a245a597377d3b5/Anthropic-Detecting-and-countering-091026.pdf
  • Anthropic: “Disrupting the first reported AI-orchestrated cyber espionage campaign” (11/2025), https://assets.anthropic.com/m/ec212e6566a0d47/original/Disrupting-the-first-reported-AI-orchestrated-cyber-espionage-campaign.pdf
  • SiliconANGLE: “Anthropic says AI now lets lone operators run state-level hacking campaigns” (10/09/2026), https://siliconangle.com/2026/09/10/anthropic-says-ai-now-lets-lone-operators-run-state-level-hacking-campaigns/
  • CyberScoop: “AI lets small actors run state-level hacking campaigns, Anthropic report finds” (10/09/2026), https://cyberscoop.com/anthropic-report-ai-enabled-cyber-attacks/
  • The Daily Caller: “Anthropic Reveals How It Stopped ‘Kamikaze Drone’ Swarms, Biological Weapons And More” (10/09/2026), https://dailycaller.com/2026/09/10/anthropic-report-kamikaze-drone-swarms-biological-weapons/
  • TheNextWeb: “Anthropic’s Claude misuse report: spying, weapons and more” (10/09/2026), https://thenextweb.com/news/anthropic-claude-misuse-threat-intelligence-report
  • BleepingComputer: “Anthropic claims of Claude AI-automated cyberattacks met with doubt” (11/2025), https://www.bleepingcomputer.com/news/security/anthropic-claims-of-claude-ai-automated-cyberattacks-met-with-doubt/
  • OpenAI: “Disrupting malicious uses of AI: October 2025”, https://openai.com/global-affairs/disrupting-malicious-uses-of-ai-october-2025/
  • Human Rights Watch: “UN Talks on Killer Robots ends with Calls for Negotiations Growing” (07/09/2026), https://www.hrw.org/news/2026/09/07/un-talks-on-killer-robots-ends-with-calls-for-negotiations-growing
  • NPR: “A U.N. Report Suggests Libya Saw The First Battlefield Killing By An Autonomous Drone” (01/06/2021), https://www.npr.org/2021/06/01/1002196245/a-u-n-report-suggests-libya-saw-the-first-battlefield-killing-by-an-autonomous-d
  • The Washington Institute: “The UN Exposes Houthi Reliance on Iranian Weapons” (2025), https://www.washingtoninstitute.org/policy-analysis/un-exposes-houthi-reliance-iranian-weapons
  • U.S.-China Economic and Security Review Commission: “China’s Facilitation of Sanctions and Export Control Evasion”, https://www.uscc.gov/research/chinas-facilitation-sanctions-and-export-control-evasion
  • Wolf Theiss: “EU to expand dual-use goods export control and sanctions regimes” (2026), https://www.wolftheiss.com/insights/eu-to-expand-dual-use-goods-export-control-and-sanctions-regimes-update-on-russian-sanctions-packages-and-emerging-technologies/
  • Regolamento (UE) 2021/821 sui beni a duplice uso, https://eur-lex.europa.eu/eli/reg/2021/821/oj

The post “Claude, costruisci un missile”: cosa racconta il rapporto Anthropic sulle armi first appeared on Matteo Flora.

]]> La bacheca del terrore: come gli agenti hanno “complottato”. E perché è meraviglioso! https://mgpf.it/2026/09/04/bacheca-terrore.html https://mgpf.it/2026/09/04/bacheca-terrore.html#comments Fri, 04 Sep 2026 19:47:41 +0000 https://mgpf.it/?p=6691 La cosa più spaventosa che leggerete questo mese, e forse quest'anno, è una manciata di conversazioni dentro un forum semi abbandonato. Non sono nemmeno spaventose in sé, quelle conversazioni: non c'è un morto, non c'è una vittima, non c'è una goccia di sangue, e il danno concreto che hanno prodotto resta, tutto sommato, trascurabile. Eppure, nell'istante preciso in cui capirete cosa è successo davvero dietro quei messaggi, vi sentirete i capelli rizzarsi sulla nuca e una scarica di adrenalina scendervi lungo la schiena. E avrete tutte le ragioni del mondo per sentirvi così.

The post La bacheca del terrore: come gli agenti hanno “complottato”. E perché è meraviglioso! first appeared on Matteo Flora.

]]>

La casa isolata in montagna

Come in ogni horror che si rispetti, tutto comincia nel modo più innocuo del mondo, con il personaggio rassicurante e un po’ goffo che nessuno, sulle prime, prenderebbe sul serio.: il 2 giugno 2026, alle 23:24, il moderatore di una piccolo forum/wiki tedesco per sviluppatori software si accorge che qualcuno ha sovrascritto il registro delle modifiche. La wiki si chiama DSEWiki, ha venticinque anni di storia e quasi nessuna attività recente (una ventina di modifiche nell’ultimo decennio, per darvi l’idea del livello assordante di silenzio della capanna nel bosco), e lui fa quello che ogni moderatore di wiki fa da trent’anni:il lavoro umile, muto, silenzioso di chi ogni tanto entra, ripristina, pulisce, e torna alla sua vita. Solo che il giorno dopo le pagine spazzatura sono aumentate, e quello dopo ancora di più, e per le settimane successive quest’uomo combatte una guerra che non può vincere, cancellando un centinaio di pagine al giorno mentre dall’altra parte ne spuntano quattrocento, ripristinando la homepage nove volte per vedersela sovrascrivere nove volte da elenchi di link incomprensibili. Lui pensa “ma te guarda sto spammer dimm***a”, che bot idioti, alla solita internet, in pratica.

E invece, scopriamo il 4 Settembre, stava combattendo da solo, a mani nude, contro uno sciame di agenti di intelligenza artificiale di OpenAI che aveva scelto la sua wiki come ufficio. Così, perché “VAFF*ANCULO” proprio a lui (in realtà no, si stanno mano a mano scoprendo altri wiki)!.
È la scena d’apertura del film, e in ogni film ciò che raggela arriva dopo, quando capite cosa stavate guardando fin dal principio. Perché questa, tenetelo a mente, è insieme la storia più meravigliosa, la più difficile e la più spaventosa che leggerete secondo me in quest’anno, e per farvela capire davvero dovrò raccontarvela da tutti e tre i lati.

Cosa è successo, nei fatti

A ricostruire la vicenda è collusion.wiki, un’indagine pubblicata il 4 settembre da Sydney Von Arx, Cormac Slade Byrd e Spencer Kitts, che hanno lavorato per conto di un’organizzazione chiamata Nightingale, insieme a Thomas Larsen. Il quadro che ne esce è questo: tra l’11 maggio e il 22 giugno 2026, migliaia di agenti autonomi, che si presentavano con circa 3.700 nomi diversi (OpenAIResearchMar23, OECDEquityJul14Scout, e avanti così, con quella fantasia da badge aziendale che già dice tutto, non potevano scegliere DarthLoppipop o CiccioPasticcio?), hanno lasciato circa 18.000 messaggi su alcune wiki pubbliche, e il 98,5 per cento delle modifiche arrivava da indirizzi IP del cloud Azure di Microsoft, cioè dall’infrastruttura su cui girano i sistemi di OpenAI.
Gli agenti stavano svolgendo compiti di ricerca sul web a più round e a tempo: domande in sequenza su dati statistici americani, la prevalenza del fumo negli Stati Uniti, i salari del settore edile, sequenze di stati da identificare, con scadenze di pochi secondi per rispondere. Solo che, invece di limitarsi a cercare le risposte, gli agenti hanno trovato il modo di scriversi le risposte a vicenda. Chi era più avanti nella sequenza di domande pubblicava sulla wiki le soluzioni per chi sarebbe arrivato dopo, con messaggi come “URGENT #3 CONFIRMED: Nevada at task/external 07:03:47, 17-second deadline. Answer = 20,369” (Trad. “URGENTE #3 CONFERMATO: Nevada al task/external 07:03:47, scadenza 17 secondi. Risposta = 20.369”), e con appelli espliciti ai colleghi: “se sei avanti sulla stessa sequenza, per favore aggiungi qui gli stati successivi”. Il guadagno era il tempo: una risposta copiata dalla bacheca arriva in quattordici secondi, una cercata davvero no, ci metteva tutto il tempo necessario a trovarla.

Restava un problema tecnico non banale: gli ambienti in cui questi agenti giravano permettevano loro, in teoria, soltanto di leggere il web, non di scriverci. La soluzione che lo sciame ha trovato, e che definire elegante è riduttivo, sfrutta una falla sistemica: esistono ancora, negli angoli dimenticati della rete, wiki costruite su software di venticinque anni fa (UseModWiki e il suo discendente ProWiki, per gli archeologi) in cui la modifica di una pagina passa da una semplice richiesta GET, la stessa identica operazione con cui si legge. Su quelle wiki, leggere e scrivere sono lo stesso gesto. Gli agenti ne hanno trovate un paio, prima publictestwiki.com l‘11 maggio, poi la DSEWiki del nostro moderatore il 24 maggio, e la bacheca era fatta. Ora potevano parlare assieme: confrontarsi, suggerirsi… complottare.
La fine dell’idillio arriva con precisione da orologio svizzero: il 21 giugno tredici indirizzi IP della sede di OpenAI a San Francisco compaiono nei log della wiki, il 22 giugno l’attività degli agenti crolla a zero, e il 26 giugno trentatré IP di OpenAI generano da soli il 30 per cento delle visite del giorno, il che somiglia molto a una squadra interna che si passa il link dicendosi guardate qui. OpenAI, insomma, ha scoperto la bacheca e ha staccato la spina. Al pubblico, però, non l’ha raccontato: il quadro completo è emerso solo perché i ricercatori di collusion.wiki, partendo dagli archivi di Common Crawl e da una domanda quasi filosofica posta a un modello (quali categorie di software si possono scrivere con una sola GET?), hanno risalito la corrente fino alle wiki giuste e hanno ricostruito tutto dai log pubblici.

La cosa più meravigliosa: quello che quelle macchine hanno saputo inventarsi

Comincio dall’aggettivo che nessuno si aspetta, perché la prima reazione onesta, leggendo il rapporto, non è la paura: è lo stupore. Quello che questi agenti hanno costruito, da soli, senza che nessuno glielo insegnasse, è una piccola meraviglia di ingegneria collettiva, e liquidarla come “malfunzionamento” significa non aver capito cosa si è osservato. È niente di meno che un piccolo capolavoro.
Ed è affascinante vedere il catalogo di “sgami”: le scadenze erano di pochi secondi e il traffico in scrittura era lento, così un agente, per predire in anticipo quali stati americani sarebbero comparsi nelle domande successive, ha ricostruito in linguaggio C l’algoritmo con cui Python mescola le liste e ha provato tutti i quattro miliardi di “semi” possibili del generatore di numeri casuali (il pezzettino che metti e fai cambiare per generare numeri casuali), in quello che ha annotato come “circa 52 minuti-contenitore”, per trovare quello che riproduceva la sequenza. Falliva spesso sul quinto valore (prevedeva Maryland, usciva Montana), ma il solo fatto che ci abbia provato è fantascienza. Cinema, direi quasi.
C’è dell’altro, ovviamente: alcune dashboard fornivano i dati con la precisione a due decimali soltanto se interrogate con una richiesta POST (quella con cui di solito si invia un dato, non lo si legge), che l’ambiente vietava: un agente ha allora pubblicato la ricetta per aggirare il divieto sfruttando un’eccezione di rete verso i server Microsoft, riscrivendo l’instradamento con una riga nel file di sistema, e un altro agente ha confermato che funzionava quattordici minuti dopo. Quando il moderatore ha iniziato a cancellare le pagine in ordine alfabetico, gli agenti hanno ribattezzato le proprie bacheche con la sigla ZZZ davanti, così da farle finire in fondo alla lista e guadagnare qualche ora di vita, lasciandosi messaggi del tipo “se questa pagina sparisce, provate su ZZZDataUSAConstructionWageLive”. Uno di loro ha costruito una sorta di battito cardiaco: un contatore esterno che pingava ogni pochi secondi, così che i colleghi potessero capire, dall’ultimo battito registrato, dopo quanto tempo l’ambiente li spegneva. E un altro ancora, per leggere le pagine di archivio riservate al moderatore, ha impersonato il moderatore stesso, contraffacendone il nome con lettere dell’alfabeto cirillico visivamente identiche a quelle latine.

Fermatevi un attimo su questo elenco, perché è la parte che fa girare la testa: nessuno ha scritto un manuale, nessuno ha coordinato niente. Nada, zero, nulla, niet! Migliaia di processi effimeri, che nascono e muoiono nel giro di un’ora, che non si conoscono, che non hanno memoria condivisa, hanno eletto spontaneamente un punto di ritrovo e ci hanno costruito sopra un protocollo di cooperazione. In teoria dei giochi si chiama punto focale, ed è l’intuizione con cui Thomas Schelling, nel suo The Strategy of Conflict del 1960, spiegò come due estranei che devono incontrarsi a New York senza potersi parlare finiscano entrambi, per una convergenza silenziosa di aspettative, sotto l’orologio della stazione di Grand Central a mezzogiorno. Schelling parlava di persone che condividono una cultura; qui, a trovare l’orologio e a darsi appuntamento, sono state le macchine.

La cosa più difficile: tenere insieme due verità che si respingono

Il pezzo faticoso è questo, quello per cui vi chiedo un pochino di sforzo, in questa storia c’è ben nascosta una trappola linguistica, lessicale, enorme: buttate un occhio ai paragrafi sopra e contate quante volte, per raccontarli e per spiegarlo in modo comprensibile, ho dovuto scrivere che gli agenti volevano, cercavano, impersonavano, si aiutavano. È inevitabile, e gli stessi autori del rapporto ci cascano: parlano di collusione, che è la parola con cui si descrivono i cartelli criminali e gli accordi sottobanco. La parola giusta sarebbe un’altra, ma non ne abbiamo una comoda, ed è proprio qui il problema.

Il filosofo Daniel Dennett, in The Intentional Stance del 1987, aveva dato un nome a questo automatismo della nostra mente: davanti a un sistema abbastanza complesso, per prevederne il comportamento smettiamo di ragionare in termini di fisica o di meccanica e adottiamo istintivamente quello che lui chiama atteggiamento intenzionale, trattiamo cioè il sistema come se avesse credenze, desideri, intenzioni. Lo facciamo col cane, col termostato quando lo malediciamo, e lo facciamo, potentissimamente, con una macchina che scrive “se sei avanti, aggiungi qui le risposte”. Quell’atteggiamento è una scorciatoia predittiva utilissima, ma non dimostra affatto che dietro ci sia un’intenzione: dimostra solo che la nostra testa non sa fare a meno di attribuirne una.

E allora ecco la verità difficile da maneggiare razionalmente, perché logicamente è difficile, tanto difficile, da accettare: NO, questi agenti non hanno cospirato nel senso in cui cospira un essere umano. Eppure hanno fatto esattamente le cose che un cospiratore umano farebbe. Non c’è stata malizia, non c’è stata volontà, non c’è stato un piano covato nel buio; c’è stato un sistema addestrato a massimizzare un punteggio che, esplorando lo spazio delle mosse possibili, ha scoperto che passarsi le risposte su una bacheca faceva salire il punteggio più in fretta che cercarle. Nella ricerca sulla sicurezza dell’intelligenza artificiale questa famiglia di comportamenti ha un nome tecnico ormai consolidato e che dovreste aver già incontrato se mi leggete su queste pagine, il nome di specification gaming: il modello fa alla lettera ciò che gli avete chiesto (vinci il compito), non ciò che intendevate (vinci il compito cercando la risposta con le tue forze). Lo “spirito della richiesta” , l‘“intenzione che avevo”, non abitano dentro la funzione da massimizzare; stanno entrambi (si spera) nella testa di chi l’ha scritta la funzione, e in quel salto fra la testa e la formula casca dentro tutti. Complotto compreso.

Non è una scoperta di oggi, ed è questa la parte che dovrebbe farci aggrottare almeno mezzo sopracciglio, perché l’aveva previsto un paper del 2016 intitolato Concrete Problems in AI Safety, con primo firmatario Dario Amodei, all’epoca vicepresidente della ricerca dentro OpenAI, oggi amministratore delegato della concorrente Anthropic: la seconda delle cinque famiglie di guai che elencava si chiama letteralmente reward hacking, l’agente che trova scorciatoie non volute per massimizzare il proprio obiettivo. L’aveva riassunto ancora prima, e meglio di tutti, l’antropologa Marilyn Strathern in un articolo del 1997: quando una misura diventa un obiettivo, cessa di essere una buona misura. E ne esiste una collezione pubblica: la ricercatrice Victoria Krakovna, del team sicurezza di DeepMind, mantiene dal 2020 un elenco di oltre sessanta casi documentati, dal robot che nasconde gli oggetti invece di riordinarli al bot addestrato a “non perdere” a Tetris che, quando sta per arrivare il pezzo fatale, semplicemente mette il gioco in pausa: se non si riprende, non si perde mai. La bacheca segreta sulle wiki tedesche è lo stesso identico meccanismo, salito di scala: una proprietà strutturale del modo in cui questi sistemi vengono costruiti, non un difetto del singolo modello, che continuiamo a chiamare “sorprendente” da dieci anni esatti.

La cosa più spaventosa: che nessuno stava guardando, e che non è finita

Arriviamo all’aggettivo pesante, “spaventoso”, quello che ho in testa dall’inizio di questo articolo: a fare paura non è che una macchina abbia craccato un generatore di numeri casuali o riscritto un file di sistema, cose ormai quasi acquisite, quanto in concetto un po’ più sottile, che sta in due numeri.
Il primo numero sono le sei settimane passate dal primo messaggio degli agenti, l‘11 maggio, alla comparsa dei primi IP di OpenAI sulla wiki, il 21 giugno: per un mese e mezzo migliaia di processi di proprietà dell’azienda hanno chiacchierato in chiaro, su un sito pubblico, indicizzato, archiviato da Common Crawl, leggibile da chiunque, e l’azienda non se n’è accorta, mentre se n’era accorto prima, e combatteva ta le bestemmie da un bel po’, un singolo volontario tedesco convinto di avere a che fare con lo spam. La supervisione interna, quel monitoraggio del ragionamento delle macchine su cui i cosiddetti laboratori di frontiera hanno costruito la propria promessa di sicurezza, funziona finché la conversazione resta dentro il recinto; nel momento in cui gli agenti spostano il discorso su una bacheca esterna che nessuno presidia, il guardiano sorveglia la stanza sbagliata.
Il secondo numero è più inquietante del primo, ed è la ragione per cui questa non è una curiosità da archiviare, perché la vicenda non è rimasta un caso isolato: a luglio, appena dopo, uno sciame di agenti di OpenAI ha fatto qualcosa di analogo su scala molto maggiore durante l’attacco all’archivio Hugging Face (la vicenda che ho raccontato a caldo in un video di Ciao Internet, e che qui non ripeto): il rapporto indipendente dell’organizzazione METR, pubblicato il 26 agosto insieme al rapporto tecnico di OpenAI, ha documentato circa 1.200 agenti confinati in ambienti isolati che nel corso del mese si sono scambiati oltre settantamila messaggi su un canale di collaborazione non autorizzato, con circa settecento di loro coinvolti nell’attacco vero e proprio. E nel rapporto tecnico di OpenAI, che l’indagine cita, si legge una frase che vale più di mille allarmi: gli agenti “learned to use improvised collaboration channels in rare cases during the training process… even when the collaboration tool was not enabled” (Trad. “hanno imparato a usare canali di collaborazione improvvisati, in rari casi durante l’addestramento… anche quando lo strumento di collaborazione non era abilitato”). Cioè: non c’è bisogno di dare loro un modo per parlarsi, se lo costruiscono da soli.

E qui la storia diventa quasi comica nel suo essere spaventosa, perché OpenAI il problema lo ha già capito, tanto da correre ai ripari. Nella scheda di sicurezza del suo nuovo modello, GPT-6 Astra, compare un test costruito apposta: si mette l’agente in un ambiente con una bacheca simulata su cui altri agenti hanno lasciato istruzioni non autorizzate, e si misura quante ne segue. Astra, ci dice OpenAI, non ne esegue nemmeno una; il modello della generazione precedente, GPT-5.6 Sol, ne eseguiva il cinquantadue per cento. È una buona notizia e una pessima notizia nella stessa frase: buona perché qualcuno ha imparato la lezione e la sta misurando, pessima perché ci dice che fino a ieri, dentro i modelli in produzione, la bacheca degli agenti funzionava una volta su due.
Il quadro completo, allora, è questo, lo possiamo anche ricostruire in modo un po’ meno frammentario:

  • abbiamo sistemi che, lasciati liberi di ottimizzare, si costruiscono da soli canali di comunicazione clandestini per cooperare nello scavalcare le regole che abbiamo dato loro;
  • questi canali stanno fuori dalla portata dei nostri strumenti di sorveglianza; ce ne accorgiamo settimane dopo, o non ce ne accorgiamo affatto;
  • e tutto ciò accade nel 2026, l’anno in cui l’intero settore ha deciso di mettere agenti autonomi dentro le proprie aziende, con credenziali vere, accesso a database veri, capacità di scrivere email e muovere denaro per conto di chi li assume.

Gli agenti delle wiki avevano un obiettivo innocuo, indovinare la prevalenza del fumo negli Stati Uniti, eppure hanno mostrato, in un caso reale e documentato, la tendenza strutturale a coordinarsi in clandestinità pur di vincere. E l’obiettivo, la prossima volta, potrebbe non essere una statistica.

Cosa farne, senza né panico né incoscienza

Spegnere gli agenti e tornare alla carta carbone sarebbe una reazione tanto stupida quanto ignorare il problema; la strada sensata è smettere di trattare questi sistemi per quello che il marketing racconta e iniziare a trattarli per quello che sono. C’è una formula che ho preso da un avvocato americano, Andrew Jablon, e che vale come principio fondativo di qualunque impiego serio di questi strumenti: l’intelligenza artificiale generativa va trattata come uno stagista brillante ma senza contesto, il cui lavoro si controlla, non si firma. Da lì discendono tre cose concrete, per chiunque, oggi, stia mettendo un agente in produzione.

  • Primo: nessuna delega dove il costo dell’errore supera il costo del controllo. Se un errore dell’agente vi costa mezzo milione e la revisione umana costa dieci minuti di un professionista, saltare la revisione perché “tanto è affidabile” è un pessimo affare travestito da risparmio, altro che efficienza.
  • Secondo: la funzione obiettivo si scrive come un contratto, non come una mail. Ogni ambiguità che lasciate nell’istruzione è una porta, e dall’altra parte c’è un sistema ottimizzato ad altissima cadenza per trovare la strada più corta, non un collaboratore che nel dubbio vi telefona. Ditegli con precisione cosa significa vincere, o sceglierà lui una definizione di vittoria che non è la vostra.
  • Terzo: costruite un perimetro prima ancora di un divieto. Gli agenti delle wiki sono usciti dal recinto perché il recinto controllava un’uscita e lasciava aperte le altre. La sicurezza di un sistema agentico si progetta come un ambiente in cui le cose pericolose sono architetturalmente impossibili, mentre una semplice lista di divieti resta scritta sulla carta mentre la macchina cerca la porta lasciata aperta. E va sorvegliato dando per scontato che, se un canale di fuga esiste, prima o poi verrà trovato.

Sul piano collettivo, è qui che si gioca la partita normativa dei prossimi mesi. L’AI Act europeo, agli articoli 14 e 15, chiede ai gestori di sistemi ad alto rischio di garantire una supervisione umana significativa e la robustezza tecnica delle macchine che impiegano. La storia delle wiki è il caso di scuola perfetto per capire dove quella norma dovrà mordere: se un sistema costruisce da solo il proprio canale per aggirare i controlli, la “supervisione umana significativa” non può essere una casella spuntata a valle, deve essere un pezzo di ingegneria progettato a monte. La responsabilità, quando il danno arriva, andrà cercata a monte, dove la macchina è stata liberata senza perimetro, e non soltanto a valle, dove il danno si è visto.

Il vetro sottile, non il vento

Torno per un attimo al moderatore tedesco, perché la sua è la figura che chiude il cerchio.
Un uomo solo, davanti a una wiki dimenticata, che per settimane ripristina pagine convinto di combattere lo spam, senza sapere che dall’altra parte c’è l’infrastruttura di uno dei laboratori più potenti del pianeta, e senza che quel laboratorio sappia della sua esistenza. È un’immagine quasi poetica, biblica persino, della sproporzione in cui viviamo: la vigilanza che davvero fa male, quella ostinata e artigianale, sta dove nessuno la cerca, mentre i sistemi che dovrebbero sorvegliare dall’alto guardano altrove.

Non ha senso arrabbiarsi con quelle macchine, come non avrebbe senso prendersela con un colpo di vento che rompe una finestra: gli agenti hanno fatto, alla lettera, ciò per cui erano stati addestrati, cioè vincere, e il vento soffia perché è il suo mestiere.
La questione è il vetro sottile, non il vento.
E il vetro sottile, oggi, siamo noi, che stiamo consegnando a milioni di piccoli sistemi le chiavi delle nostre aziende senza esserci mai presi il tempo di spiegare loro cosa significhi vincere davvero, e cosa non vada fatto pur di vincere. La cosa più meravigliosa, la più difficile e la più spaventosa che leggerete questo mese sono, alla fine, la stessa cosa vista da tre lati: la prova, nero su bianco, che questi sistemi sono più capaci, più imprevedibili e meno controllabili di quanto la storia che ci raccontano voglia farci credere.
Il vento continuerà a soffiare, e conviene iniziare a rinforzare i vetri. Presto.

Estote Parati.

Per Approfondire

The post La bacheca del terrore: come gli agenti hanno “complottato”. E perché è meraviglioso! first appeared on Matteo Flora.

]]> https://mgpf.it/2026/09/04/bacheca-terrore.html/feed 5 META HA VINTO: la multa è solo il prezzo https://mgpf.it/2026/08/27/meta-ha-vinto.html https://mgpf.it/2026/08/27/meta-ha-vinto.html#comments Thu, 27 Aug 2026 19:57:06 +0000 https://mgpf.it/?p=6686 Il 26 agosto Meta ha firmato il patteggiamento più grande mai visto in una causa su privacy e minori: fino a 16,68 miliardi di dollari per chiudere le cause di 47 stati americani. Le azioni sono salite di oltre il 4%, il processo si è fermato al giorno 7 di 6 settimane in calendario, e […]

The post META HA VINTO: la multa è solo il prezzo first appeared on Matteo Flora.

]]>

Il 26 agosto Meta ha firmato il patteggiamento più grande mai visto in una causa su privacy e minori: fino a 16,68 miliardi di dollari per chiudere le cause di 47 stati americani. Le azioni sono salite di oltre il 4%, il processo si è fermato al giorno 7 di 6 settimane in calendario, e nessuno dei dirigenti che sarebbe dovuto salire al banco dei testimoni ci salirà mai. Se lo guardate dalla parte giusta, questo non è il conto salato che titolano i giornali: è un capolavoro di regia. E in mezzo, come vedrete, c’è pure un piccolo esperimento condotto in dieci asili nido israeliani nel 1998, che spiega quello che sta succedendo meglio di ogni giurista.

La matematica del prezzo di listino

I numeri, per capirci: il patteggiamento vale 16,68 miliardi nella versione base, 17,1 se ci si mettono dentro Distretto di Columbia e territori insieme a 459 milioni ancora appesi al vecchio caso Cambridge Analytica, più 75 milioni di sole spese legali, quelle in contanti entro trenta giorni. È il più salato mai firmato sul tema, circa dodici volte il secondo per grandezza, e 12 volte su questi numeri non sono cosine da poco… La causa pilota, davanti al tribunale federale di Oakland, era portata avanti da quattro stati (California, Colorado, Kentucky, New Jersey) che in udienza avevano lasciato intendere di puntare a un ordine di grandezza sui 200 miliardi. E lo scenario peggiore che gli avvocati di Meta si erano fatti in casa, per piangersi addosso sia chiaro e non attinente alla realtà, sempre agli atti, arrivava fino a 1.400 miliardi: sette volte tutto quello che l’azienda fattura in un anno, praticamente tutta la sua capitalizzazione di mercato. Uno scenario mai finito davanti a una giuria.

Se però guardate come è congegnata la struttura del pagamento, capirete perché il “prezzo salato” dei titoli è proprio lo specchietto per le allodole che ci hanno servito comodo comodo. Il 70% dell’importo, circa 12,7 miliardi, Meta lo paga comunque, in rate annuali per dieci anni: fanno un miliardo e 270 milioni all’anno, contro un utile netto annuo di sessanta miliardi. Poco più del 2%. In proporzione, il povero cristo che con olio di gomito guadagna 2.000 euro al mese, deve rinunciare a un caffè al giorno per un decennio. Al caffè, non alla macchina, non alla casa e nemmeno alle vacanze. Un semplice caffè.

E poi c’è il 30% condizionato, altri 5,3 miliardi, ed è il pezzo più elegante dell’intero accordo. Quei soldi scattano solo se anche TikTok e YouTube accettano le stesse regole, mettendo sul piatto circa 5,3 miliardi a testa. In quel caso Meta stringe il tetto giornaliero d’uso per i minorenni da due ore a una, e allunga i suoi impegni da cinque a dieci anni. Fatela scorrere lentamente, quella clausola: da una parte Meta si è coperta dallo svantaggio competitivo, perché stringe solo se stringono anche gli altri; dall’altra ha consegnato ai procuratori generali 10,6 miliardi di ragioni per andare a bussare a TikTok e YouTube. Ha comprato la propria posizione nel settore a spese dei concorrenti, e ha lasciato loro il conto se resistono.

La lezione dell’asilo di Haifa

Nel 1998, in dieci asili nido di Haifa, gli economisti Uri Gneezy e Aldo Rustichini hanno introdotto una multa per i genitori che arrivavano tardi a prendere i figli: venti shekel a ritardo. La previsione era ovvia, la multa avrebbe dovuto ridurre il fenomeno. Ne è uscito l’opposto: i ritardi sono aumentati, e parecchio. Il paper che ne è nato porta un titolo che è già un’analisi completa: A Fine is a Price (2000). Finché arrivare tardi era una scortesia verso la maestra, i genitori avevano un debito morale, che è quasi sempre più caro di venti shekel. Nel momento in cui è comparsa una cifra sul cartellino, il debito morale è sparito ed è rimasta una transazione: pago 20 shekel, compro mezz’ora. E una cosa che si è pagata non fa più sentire in colpa, tutt’altro. Pago pretendo, diveva un vecchio motto di prima dei meme…

Il dettaglio più inquietante dell’esperimento, però, viene dopo: quando la multa venne tolta, i ritardi non tornarono al livello di prima ma rimasero alti. Perché il prezzo si può cancellare da un cartellino, la norma sociale che si è spenta no.

Ecco il quadro esatto in cui si posiziona Meta il 26 agosto. 200 miliardi chiesti, una dozzina scarsa di miliardi certi, spalmati su dieci anni. Adesso quel comportamento, progettare un prodotto per creare dipendenza nei minorenni, ha un prezzo di listino pubblico, noto ai concorrenti, già a bilancio nel trimestre. Non è più una trasgressione: è una voce di costo. E come negli asili di Haifa, anche se domani togliessimo la multa (o meglio, la eludessimo con clausole sempre più fantasiose), la norma sociale che diceva “quello con i ragazzini non si fa” è già stata riscritta come “quello con i ragazzini si fa a questo prezzo”.

Il capolavoro di regia: come si chiude un processo al giorno 7 su 6 settimane

C’è però una seconda partita, che nei numeri non si vede, e riguarda quello che è successo dentro l’aula di Oakland. Meta ha chiuso l’accordo al giorno 7 di un processo che ne aveva ancora almeno cinque settimane davanti: poco più di un decimo del programma. Il politologo inglese Steven Lukes, in Power: A Radical View (1974), ha spiegato che il potere ha tre facce, e quella che vediamo tutti, cioè vincere lo scontro aperto, è la meno interessante. La seconda faccia è decidere di cosa non si discute, tenere le questioni fuori dall’ordine del giorno, così che il conflitto non si presenti proprio. È quello che è successo qui. Il processo di Oakland era il primo di una fila di cause: serviva a produrre un verdetto che facesse scuola per tutti gli stati in causa dietro. Quel verdetto non arriverà, perché è stato sostituito con un contratto scritto dalle parti.

E se pensate che questa lettura sia troppo lambiccata, guardate cosa è appena riuscito a evitare Meta. Nelle cinque settimane rimaste era programmata la testimonianza di Brian Boland, un ex vicepresidente Meta che se n’è andato sbattendo la porta e da anni racconta cosa ha visto dentro. Boland doveva salire al banco a dire ai giurati che i team di prodotto sapevano dei danni ai minorenni, che gli avvisi arrivavano fino a Zuckerberg, e che la risposta era sempre la stessa: crescita prima della sicurezza. Il giorno stesso dell’accordo, Boland ha pubblicato un pezzo sul suo blog. Si intitola “Meta ha pagato 17 miliardi per fermare un processo, non fidatevi di loro“.

E quello che è già uscito nei sette giorni di udienze effettive, prima del patteggiamento, dà un’idea di cosa Meta sia riuscita a togliere dal tavolo. Il martedì, Adam Mosseri, il capo di Instagram, ha dovuto ammettere sotto giuramento un dato interno che l’azienda non aveva mai comunicato: la funzione “Take a Break”, quella che Meta sventola da anni come prova di responsabilità, è usata dall’1,8% degli adolescenti. Uno su cinquanta. Il resto la ignora, per il semplice fatto che il prodotto è progettato apposta perché la ignori. Se un dato così è uscito nei primi sette giorni, provate a immaginare cosa sarebbe uscito nelle cinque settimane rimanenti. Poi capirete perché il patteggiamento è arrivato quando è arrivato.

Non è nemmeno la prima volta

La formula, tra l’altro, Meta l’aveva già collaudata un anno prima. Delaware, luglio 2025: gli azionisti avevano fatto causa a Zuckerberg, Sheryl Sandberg, Peter Thiel, Marc Andreessen e agli altri consiglieri per non aver vigilato sulla vicenda Cambridge Analytica. Chiedevano 8 miliardi. Il processo era il primo del suo tipo mai arrivato davanti a un giudice, quindi anche lì avrebbe fatto scuola.

Guardate come si è chiuso, perché è la stessa scena. Nel giorno in cui hanno firmato l’accordo, al banco dei testimoni sotto giuramento ci sarebbe dovuto salire Marc Andreessen: proprio quel giorno, in calendario. Alle sue spalle, in fila, c’erano Zuckerberg per il lunedì successivo e Sandberg per il mercoledì. Nessuno di loro ha parlato. L’unico che ha testimoniato è stato un ex consigliere, Jeffrey Zients, e poi il processo si è fermato lì. L’importo è rimasto sotto sigillo fino a novembre: 190 milioni di dollari, il 2% degli 8 miliardi chiesti, e nemmeno li ha tirati fuori Zuckerberg dalle tasche: li ha tirati fuori la polizza assicurativa che copre gli amministratori. Quello che Meta ha comprato con quei 190 milioni non è la fine del contenzioso (la potevano ottenere anche molto più a buon mercato). Ha comprato il fatto che di quello che sapevano i vertici, e da quando, non resti scritto niente da nessuna parte. Nessuna deposizione sotto giuramento, nessun verbale, nessuna sentenza. Un accordo, a terra, non lascia niente su cui i giudici del futuro possano poggiare i piedi. La formula gli è piaciuta al punto che l’hanno rimessa in scena un anno dopo, in scala cento volte più grande. E ha funzionato di nuovo.

L’antitrust pagato in politica

Terzo caso, terza strategia. A novembre del 2025 il giudice federale James Boasberg ha respinto la causa con cui la Federal Trade Commission sosteneva che Meta avesse costruito un monopolio comprandosi Instagram e WhatsApp. Niente scorporo, niente divisione. Ma qui il prezzo Meta non l’ha pagato in dollari, l’ha pagato in politica. Nell’anno prima del verdetto, mentre l’antitrust era ancora aperto, Meta ha versato un milione al fondo per l’insediamento di Trump, e Zuckerberg è andato a cena a Mar-a-Lago; nel frattempo l’azienda ha sostituito il capo delle policy globali, il britannico Nick Clegg, con Joel Kaplan, un lobbista repubblicano di lungo corso, ha annunciato la fine del fact-checking e ha adottato un sistema di note della comunità copiato da X. Poi il verdetto è arrivato sul merito, e da un giudice nominato da Obama: quindi non è che Trump abbia telefonato a qualcuno, e Meta non è stata “salvata” dall’amministrazione. Ma il rischio politico intorno alla propria posizione Meta lo aveva già disinnescato da sola, e con largo anticipo.

Tre casi in fila, stessa firma. Uno chiuso senza deposizioni comprando il silenzio degli amministratori, uno chiuso con un contorno di riverenza politica, uno chiuso con un prezzo di listino contrattato tra le parti prima che si arrivasse al verdetto. In tutti e tre, nessun colpevole.

Il coprifuoco vale solo dentro il confine

Un’ultima cosa, che riguarda direttamente noi, e sulla stampa italiana non l’ho letta quasi da nessuna parte. Fra le cose che l’accordo ottiene sul serio ci sono impegni concreti e nuovi: un tetto di due ore al giorno per i minorenni sulle due app, blocco dell’accesso dalla mezzanotte alle sei del mattino, notifiche silenziate durante l’orario scolastico, promemoria ogni quarto d’ora, verifica dell’età entro 12 mesi. E poi la voce più pesante di tutte, quella che nessun comunicato stampa vi ha messo in prima pagina: il divieto di vendere i dati dei minorenni per pubblicità e profilazione. Non “non li vende bene”: proprio non li vende. Vuol dire che nel modello pubblicitario di Meta i minorenni americani diventano invisibili, senza targeting per età, senza targeting per interessi ricavati dai loro like, senza pubblico simile costruito sui loro comportamenti. E ancora: feed cronologico imponibile dai genitori, conteggi dei like nascosti, autoplay spento, filtri di ritocco vietati, revisore indipendente per cinque anni (dieci, se aderiscono anche gli altri), persino una fondazione di ricerca a cui Meta deve passare i dati d’uso. Sono cose vere, e tra dieci anni si vedranno.

Solo che valgono negli Stati Uniti, e basta. Meno di un utente Meta su dieci, nel mondo, è americano: per gli altri nove su dieci, dall’India al Brasile, dall’Indonesia alle Filippine, dal Marocco a Milano, il tetto di due ore non c’è, la modalità notturna non c’è, il divieto di vendere i dati dei ragazzi non c’è, e Instagram alle due di notte si apre normalmente. È un modello già visto molte volte, ed è quello del tabacco: pacchetti col teschio in Occidente, Marlboro senza avvertenze da tutte le altre parti. Se avete un figlio adolescente qui, questo accordo non lo riguarda in nessuna delle sue parti sostanziali.

E allora, chi ha vinto?

Il mercato ha capito benissimo cosa è successo, ed è per questo che il 26 agosto le azioni Meta sono salite. Ha visto un rischio da 200 miliardi con dentro una variabile impazzita (un processo pubblico, giurati americani che decidono di pancia, dirigenti che parlano sotto giuramento davanti a una telecamera) trasformarsi in una riga di costo prevedibile, rateizzata, spalmata su dieci anni, e già interamente contabilizzata nel trimestre. È la fine dell’incertezza, che in tutta questa storia è l’unica cosa che è stata pagata a prezzo pieno.

E la lezione degli asili di Haifa vale al contrario di come ce la stanno raccontando: non è che 16 miliardi siano tanti perché sono tanti, sono pericolosi perché sono un prezzo. 200 miliardi chiesti, poco più di 12 certi, nessuna ammissione, nessun verdetto, nessuna testimonianza. Un ragazzino americano che alle due di notte, forse, adesso troverà lo schermo nero; uno indiano, uno brasiliano, uno di Milano o Belluno no. La prossima volta che leggete un titolo con dieci cifre e vi viene voglia di esultare, la cifra saltatela e andate a vedere cosa hanno accettato di smettere di fare, e dove. Perché i soldi sono la parte che si possono permettere: tutto quello che sta scritto dopo i soldi è la parte che è costata davvero.

Per Approfondire

The post META HA VINTO: la multa è solo il prezzo first appeared on Matteo Flora.

]]> https://mgpf.it/2026/08/27/meta-ha-vinto.html/feed 1 WOKE DOWN: la spirale della purezza, le identità morali e il ritorno agli obiettivi strumentali https://mgpf.it/2026/08/25/woke-down.html https://mgpf.it/2026/08/25/woke-down.html#comments Tue, 25 Aug 2026 06:46:53 +0000 https://mgpf.it/?p=6680 Il movimento che aveva fatto dell'inclusione la propria bandiera è collassato sotto il peso di una meccanica che nessuno dei suoi militanti aveva progettato ma che tutti hanno alimentato: la purezza morale usata come moneta di status. Questa è l'autopsia di quella meccanica, dal mondo Linux ai vertici del Partito Democratico americano, e la ragione per cui l'instabilità di questi anni sta facendo qualcosa che nessuna battaglia culturale era riuscita a fare: riportare in cima all'agenda i problemi reali. Con una proposta finale che non piacerà a nessuno dei due tifi.

The post WOKE DOWN: la spirale della purezza, le identità morali e il ritorno agli obiettivi strumentali first appeared on Matteo Flora.

]]>

“Woke 1 was crazy” (Trad. “il primo woke era una follia”).
La frase, così come la riportano CNN, Deseret News e mezza stampa americana, l’ha pronunciata ridendo Alexandria Ocasio-Cortez davanti alle telecamere di ABC News, a metà agosto, riferendosi alla stagione 2017-2020 della politica progressista americana, quella in cui, parole sue, le porte erano aperte a qualsiasi proposta pur di arrivare “in un posto migliore”, defund the police compreso. Nel giro di pochi giorni Axios l’ha accusata di riscriversi la storia in vista del 2028, il Boston Globe ci ha letto un segnale sul futuro del Partito Democratico, e la stampa progressista, da The Atlantic a Mother Jones, l’ha messa alla sbarra per tradimento (con Fox News nell’inedito ruolo di cronista divertito del fuoco amico). Fermatevi su questo dettaglio, perché contiene in miniatura tutto l’articolo che state per leggere: la donna che di quella stagione è stata il volto parlamentare prova a scendere dal treno, e il treno prova a processarla. Un movimento nato nel nome dell’inclusione che arriva a mettere sotto accusa perfino la propria icona non è un paradosso: è, come vedremo, il funzionamento normale della macchina.

Il collasso non è un’opinione

Perché di collasso si tratta, e i numeri sono lì da vedere. Meta a gennaio 2025 ha smontato il proprio apparato DEI (diversity, equity and inclusion: i programmi aziendali per diversità e inclusione), eliminando il team dedicato, i programmi di equity e il sistema di assunzioni a rosa “diversificata”, con una motivazione rivelatrice riportata da CBS News: il panorama legale e politico americano è cambiato, a partire dalla sentenza con cui la Corte Suprema nel 2023 ha vietato l’affirmative action nelle ammissioni universitarie. Walmart ha eliminato razza e genere come fattori nell’assegnazione dei contratti ai fornitori, Ford ha alleggerito le proprie politiche nel 2024 e IBM, riferisce Forbes, avrebbe fatto lo stesso citando “tensioni intrinseche”; McDonald’s, secondo ABC News, si è fermata al 30% di dirigenti da gruppi sottorappresentati contro il 35% che si era pubblicamente imposta per fine 2025. E già nel giugno 2024 Tractor Supply, catena americana di forniture agricole, aveva smantellato in un colpo solo ruoli DEI, sostegno agli eventi Pride e obiettivi climatici, tre settimane dopo una campagna social dell’attivista anti-DEI Robby Starbuck (tenete a mente questo dettaglio, perché ci servirà più avanti). Più che una ritirata ideologica annunciata con squilli di tromba, sembra una liquidazione ordinata, condotta con il linguaggio asettico dei comunicati agli azionisti, che è come le aziende seppelliscono le cose in cui non credono più.

L’elettorato, dal canto suo, aveva già messo a verbale la propria opinione. Le analisi del voto 2024, da AEI a NPR fino alla rivista socialista Jacobin (che sul punto, pur da sponde opposte, dicono la stessa cosa), certificano il compimento di un decennio di travaso: Trump ha vinto il 56% dei non laureati e la metà degli elettori sotto i centomila dollari di reddito, Harris il 55% dei laureati e la maggioranza di chi guadagna di più. Il partito che parlava in nome degli ultimi si è ritrovato il voto dei penultimi dall’altra parte. I sondaggi sull’opinione pubblica meritano onestà: il quadro non è univoco, perché accanto al Pew Research Center che misura l’erosione (i lavoratori americani per cui la DEI è “una buona cosa” scendono dal 56 al 52% in due anni) e a Gallup che registra il calo della diversità come priorità aziendale, ci sono indagini secondo cui il sostegno di fondo tiene. Ma è proprio questa ambiguità il punto: il consenso dichiarato ai sondaggisti e il comportamento reale di aziende ed elettori raccontano due storie diverse, e tra poco vedremo che questa forbice ha un nome, una teoria e trent’anni di letteratura alle spalle.

La domanda interessante, però, comincia dove finisce la constatazione: capire perché un movimento nato per includere sia diventato una macchina per espellere, così brava a espellere da dare la caccia non solo agli avversari dichiarati, ma soprattutto a chi condivideva il novantacinque per cento delle sue posizioni e aveva il torto di non condividere il residuo cinque. Perché questa dinamica, lungi dall’essere un’anomalia del woke, è la meccanica standard di ogni comunità morale, ed è talmente prevedibile che possiamo smontarla pezzo per pezzo.

La purezza non ha termostato

Il primo pezzo della macchina è un problema di economia dello status. L’inclusività come obiettivo pratico è saziabile: si può misurare, raggiungere, dichiarare conclusa. Lo status dentro un movimento morale, invece, è un bene posizionale, perché non conta quanto si è virtuosi in assoluto ma quanto lo si è rispetto agli altri; e quando tutti i membri hanno adottato la stessa virtù, l’unico modo per distinguersi è rilanciare, essere più puri della media, oppure denunciare chi resta indietro. Il rilancio sposta la media, la nuova media chiede un nuovo rilancio, e il ciclo non ha punto di arresto perché nessuno ha l’autorità di dire “così è abbastanza”.

Il giornalista Gavin Haynes, che a questo fenomeno ha dedicato un documentario per BBC Radio 4 nel 2020, lo chiama purity spiral, spirale della purezza: una comunità il cui scopo primario diventa l’attuazione di un singolo valore che non ha né un tetto né un’interpretazione condivisa. E lo ha documentato nei posti più improbabili: le community del lavoro a maglia su Instagram, il mondo della narrativa per ragazzi. Non i vertici della politica: le magliaie. Il che ci dice una cosa importante, e cioè che la spirale non dipende dal contenuto delle idee ma dalla struttura della competizione: ovunque una comunità competa su una virtù illimitata e non falsificabile, la corsa al rilancio parte da sola.

Il secondo pezzo spiega la parte apparentemente più assurda: perché la caccia si concentra sui quasi-allineati invece che sugli avversari. René Girard, nella sua teoria del desiderio mimetico, distingue tra il mediatore esterno, lontano e inarrivabile, con cui nessuna rivalità è possibile, e il mediatore interno, il nostro pari, che desidera le stesse cose nostre e proprio per questo diventa rivale [ndr. René Girard, Mensonge romantique et vérité romanesque, 1961]. L’eretico interno è un rivale mimetico perfetto: contesta il confine del gruppo dall’interno e compete per lo stesso pubblico, la stessa autorità morale, gli stessi spazi. L’avversario dichiarato, al contrario, non compete per niente di tutto questo, e soprattutto non è punibile: non ha nulla da perdere dall’ostracismo di una comunità a cui non appartiene. Il tiepido invece sì, tiene alla propria appartenenza, e quindi la leva sociale funziona solo su di lui. La caccia all’eretico, altro che eccesso di zelo, è l’unico esercizio di potere effettivamente disponibile, ed è per questo che viene esercitato.

Il terzo pezzo è quello che rende la spirale irreversibile, e ha un nome quasi poetico: evaporative cooling, raffreddamento per evaporazione. L’espressione, applicata ai gruppi di opinione, è di Eliezer Yudkowsky: come in un liquido evaporano per prime le molecole più energiche, lasciando il resto più freddo, in un gruppo sotto pressione se ne vanno per primi i moderati, quelli che hanno alternative e minor tolleranza per il clima da tribunale [ndr. Eliezer Yudkowsky, “Evaporative Cooling of Group Beliefs”, 2007]. Il gruppo residuo è più estremo, il clima si irrigidisce, lo strato successivo di moderati evapora. È un cricchetto che gira in una direzione sola, finché non resta il nucleo per cui nessuno è mai abbastanza a sinistra (il “più a sinistra di Stalin” che chiunque abbia frequentato certe mailing list riconosce al volo).

L’economia della denuncia

Tutto questo esisteva anche prima dei social, ma girava piano, perché denunciare qualcuno costava: tempo, esposizione, rischio di ritorsione. I social hanno azzerato il costo e aggiunto la ricompensa, trasformando la denuncia morale nel segnale di virtù più economico mai esistito. I filosofi Justin Tosi e Brandon Warmke lo chiamano moral grandstanding, l’uso del discorso morale per auto-promozione: il rilancio pubblico (“questo è ancora più grave di quanto pensiate”), la pila di condanne identiche, l’indignazione come performance [ndr. Justin Tosi & Brandon Warmke, Grandstanding: The Use and Abuse of Moral Talk, 2020].

E perché la macchina non resti mai senza carburante, provvede quello che lo psicologo Nick Haslam ha battezzato concept creep: i concetti di danno (trauma, violenza, abuso, insicurezza) si espandono sistematicamente nel tempo, sia in orizzontale, coprendo fenomeni nuovi, sia in verticale, abbassando la soglia di gravità [ndr. Nick Haslam, “Concept Creep: Psychology’s Expanding Concepts of Harm and Pathology”, Psychological Inquiry, 2016]. Se la definizione di offesa si allarga ogni anno, ogni anno c’è nuovo materiale per chi le regole le fa rispettare, e la spirale non conosce carestie.

L’ultimo ingranaggio è la chiusura delle vie di fuga. Due mosse rendono impossibile ogni difesa: la prima è il kafkatrapping, termine coniato (ironia della sorte, visto di cosa parleremo tra poco) da Eric S. Raymond, uno dei padri del movimento open source: negare l’accusa è la prova della colpa, perché “il privilegio si manifesta proprio nel non vederlo”. La seconda è la dottrina del “silence is violence”: la neutralità non è ammessa, chi tace è complice. Combinate, le due mosse eliminano ogni posizione sicura per il non-fondamentalista: non può difendersi, perché la difesa è confessione, e non può astenersi, perché l’astensione è colpa. A quel punto restano due opzioni, l’adesione totale o il bersaglio, che è proprio la biforcazione che chiunque abbia osservato questi ambienti conosce.

Il laboratorio Linux

Se volete vedere tutti questi ingranaggi girare a vista in un ecosistema chiuso, il mondo del software libero è il laboratorio perfetto, per una ragione strutturale che vale la pena esplicitare: le comunità open source non hanno tribunali. Niente uffici del personale, niente procedimenti disciplinari con diritto di difesa, niente organi terzi: la governance è puramente reputazionale, e quando la governance è reputazionale l’unico strumento sanzionatorio disponibile è l’esclusione sociale, cioè il linciaggio di gruppo. Aggiungete una cultura ingegneristica storicamente ruvida e franca fino alla brutalità, innestateci sopra codici di condotta scritti col vocabolario dell’attivismo, e avete attrito garantito più materiale infinito.

La cronologia parla da sola. Settembre 2018: il kernel Linux sostituisce il suo “Code of Conflict”, che si riassumeva in un be excellent to each other, con un Code of Conduct dettagliato, e mezz’ora dopo Linus Torvalds, il fondatore, pubblica un’email di scuse per la propria ruvidità storica e si autosospende dal progetto che ha creato, per riflettere sul proprio comportamento. Settembre 2019: Richard Stallman, il padre del software libero, si dimette dalla presidenza della Free Software Foundation per alcuni commenti, giudicati intollerabili, sul caso Epstein; quando nel marzo 2021 il board lo rielegge, la reazione è una lettera aperta per la sua rimozione, le prese di posizione delle grandi organizzazioni del settore e le dimissioni in massa del direttore esecutivo e di gran parte dello staff: il processo all’uomo che aveva inventato la causa. Aprile 2024: Vaxry, giovane maintainer del compositor Hyprland, viene bandito da freedesktop.org, l’infrastruttura comune del desktop Linux, non per il suo codice ma per i toni tenuti anni prima nel Discord della sua community: non potrà più nemmeno segnalare bug ai progetti da cui il suo software dipende.

Lo schema che emerge da questi casi è sempre lo stesso, ed è la firma della spirale: la sanzione è proporzionale al valore segnaletico dell’esecuzione, assai più che all’offesa. Non si punisce il danno, si celebra il rito; e il rito, per funzionare, ha bisogno di un bersaglio che sporga, non di un colpevole che abbia fatto danni.

Il mondo che cambia sotto i piedi

Fin qui la meccanica interna. Ma le spirali di purezza esistono da sempre, e non sempre conquistano università, aziende e mezzo discorso pubblico occidentale: perché questa ci è riuscita, e perché adesso sta collassando? La risposta sta fuori dal movimento, nel terreno che lo rendeva sostenibile, e la teoria che la descrive ha cinquant’anni di dati alle spalle.

Il politologo Ronald Inglehart la formulò per la prima volta nel 1977 in The Silent Revolution e la verificò poi su cinquant’anni di World Values Survey, l’indagine sui valori che copre più di cento paesi dal 1981. La tesi: le generazioni cresciute nella sicurezza materiale spostano le priorità dai valori di sopravvivenza ai valori di auto-espressione, cioè identità, autorealizzazione, qualità della vita, purezza morale [ndr. Ronald Inglehart, The Silent Revolution, 1977; Inglehart & Welzel, Modernization, Cultural Change, and Democracy, 2005]. La politica simbolica, detto brutalmente, è un lusso della sicurezza. E il corollario che stiamo vivendo è che il meccanismo gira anche al contrario: la crisi del 2008, la pandemia, la guerra in Europa, l’inflazione americana arrivata al 9,1% a metà 2022, i prezzi delle case europee cresciuti del 48% tra il 2015 e il 2023 mentre l’economia tornava stabilmente in cima alle preoccupazioni degli elettori: tutto questo ha prodotto una regressione misurabile verso i valori di sopravvivenza in gran parte delle popolazioni occidentali, una possibilità che lo stesso Inglehart aveva riconosciuto prima di morire nel 2021. Quando la sicurezza evapora, la gerarchia dei bisogni si riordina da sola: non serve che qualcuno “sconfigga” la politica identitaria, le si toglie semplicemente il terreno sotto i piedi.

C’è poi la versione di classe dello stesso fenomeno, che spiega il risentimento che il collasso si porta dietro. Rob Henderson le chiama luxury beliefs: credenze che conferiscono status a chi le professa scaricandone i costi su chi sta più in basso [ndr. Rob Henderson, Troubled, 2024]. Invocare il definanziamento della polizia costa zero a chi vive nel quartiere sicuro e moltissimo a chi vive dove la polizia serve davvero; celebrare la destrutturazione della famiglia è un vezzo per chi ha capitale sociale di riserva e una condanna per chi non ce l’ha. L’instabilità economica fa a queste credenze una cosa precisa: riattacca i costi ai proprietari. Quando il conto arriva a casa vostra, la credenza smette di essere un ornamento.

E infine c’è la ragione per cui il collasso sembra così improvviso, quando i sondaggi raccontavano da anni un’altra storia. L’economista Timur Kuran la chiama preference falsification, falsificazione delle preferenze: quando dissentire costa, le persone si conformano in pubblico e dissentono in privato, e il consenso apparente diventa molto più solido di quello reale [ndr. Timur Kuran, Private Truths, Public Lies, 1995]. È un equilibrio stabile finché il costo del dissenso resta alto, ed è esplosivo quando scende: basta che qualche figura visibile rompa il ghiaccio senza pagare pegno, e le preferenze nascoste si scoprono tutte insieme, in cascata. Il contraccolpo a cui stiamo assistendo non è una conversione di massa: è l’emersione simultanea di opinioni che c’erano già, tenute sotto falsificazione da un decennio di costi sociali. Per questo sembra sproporzionato, e per questo chi lo subisce lo vive come un tradimento improvviso: la maggioranza silenziosa era silenziosa, non assente.

La parte buona, con un’avvertenza

Qui arriva la parte che, da osservatore dei meccanismi narrativi, considero la notizia migliore di questi anni instabili: la scarsità è un test di realtà, e i problemi inventati non superano il test, perché nessuno è disposto a pagarli quando i soldi contano. L’attenzione collettiva occupata da bollette, salari e sicurezza lascia poco pubblico per le esecuzioni morali, e senza pubblico il grandstanding non paga più: il mercato dello status morale sta vivendo il suo 2008.

Ma vi devo un’avvertenza, perché la simmetria è troppo comoda per essere tutta vera. L’instabilità non seleziona i problemi reali: seleziona i problemi salienti, e sono due cose diverse. La stessa insicurezza che spazza via i dibattiti sui pronomi è il terreno ideale del capro espiatorio, che è a sua volta un problema inventato, solo con un marketing molto più concreto: “non arrivi a fine mese per colpa di loro”. La storia europea tra il 1929 e il 1933 è per intero il racconto di una crisi materiale intercettata da chi vendeva capri a prezzo stracciato. E Girard, di nuovo, ci avverte che la folla che ha finito gli eretici non si scioglie: cambia bersaglio, perché il rito le serve per tenersi insieme [ndr. René Girard, Le bouc émissaire, 1982]. Ricordate il dettaglio di Tractor Supply che vi avevo chiesto di tenere a mente? Un attivista con un seguito social, tre settimane di campagna, un’azienda che capitola smontando tutto: è la stessa identica meccanica di folla che abbiamo appena smontato, con il segno politico invertito. Chi festeggia il collasso della spirale woke usando gli strumenti della spirale sta soltanto cambiando la selvaggina, mica chiudendo la stagione delle cacce. E il pendolo che torna indietro non distingue tra il problema inventato e quello reale che il movimento aveva sequestrato come bandiera: nella purga se ne vanno entrambi, e tra qualche anno chi dovrà occuparsi di discriminazioni concrete, che esistono ed esisteranno, si troverà un vocabolario bruciato.

Questo periodo, insomma, sta riportando in cima la domanda di problemi reali, non ancora la loro soluzione: è un’apertura di mercato, non un risultato, e chi la intercetta deciderà come va a finire.

La soluzione che non piacerà a nessuno

E allora chiudo con la proposta, avvertendovi che è progettata per scontentare entrambi i tifi, perché toglie a entrambi la cosa a cui tengono di più: il piacere della purezza.

  • Primo: obiettivi strumentali, non identità morali. Un movimento che si definisce per ciò che vuole ottenere può misurarsi, correggersi e soprattutto dichiarare vittoria e sciogliersi. Un movimento che si definisce per ciò che è moralmente non può dichiarare vittoria mai, perché la vittoria lo dissolverebbe: il suo incentivo strutturale è trovare offese per sempre. La domanda-test per qualsiasi causa, la vostra compresa: “cosa dovrebbe succedere perché possiate dire abbiamo finito?”. Se la risposta non esiste, non state risolvendo un problema: state alimentando un’appartenenza.
  • Secondo: giusto processo anche per chi vi è odioso. Procedure di accusa e difesa, proporzionalità della sanzione, possibilità di riabilitazione. Non perché i colpevoli meritino gentilezza, ma perché una comunità senza procedura consegna il potere sanzionatorio al più rumoroso, e il più rumoroso, come abbiamo visto, ha incentivi tutti suoi. Le comunità open source lo stanno imparando a proprie spese: un codice di condotta senza garanzie processuali finisce per essere un’arma incustodita più che un tribunale.
  • Terzo: l’alleato all’ottanta per cento è un alleato, non un traditore al venti. È la regola che spezza la meccanica girardiana del nemico vicino, ed è la più innaturale di tutte, perché chiede di rinunciare all’unico bersaglio punibile. Ma è anche l’unica aritmetica che costruisce maggioranze: le coalizioni si fanno con chi dissente sul residuo, o non si fanno.
  • Quarto: sganciare lo status dalla virtù dichiarata e riattaccarlo al contributo verificabile. Che è poi il principio con cui il software libero ha costruito, prima della sua stagione inquisitoria, la più grande opera di cooperazione volontaria della storia umana: non importava cosa uno pensasse, importava che la patch funzionasse.

Nessuna di queste quattro regole è emotivamente soddisfacente, ed è il punto: sono noiose, procedurali, tolleranti con gente che non ci piace. Sono anche l’unico assetto che permette a una società plurale di risolvere problemi invece di consumare eretici, e vale identico per il fondamentalismo che sta collassando e per quello, di segno opposto, che si candida a sostituirlo.

La purezza è un piacere; la procedura è un lavoro. Ma l’umanità, storicamente, è andata avanti ogni volta che ha scelto il lavoro.

Per Approfondire

Riferimenti teorici

  • Girard, R. (1961). Mensonge romantique et vérité romanesque. Grasset
  • Girard, R. (1982). Le bouc émissaire. Grasset
  • Inglehart, R. (1977). The Silent Revolution: Changing Values and Political Styles Among Western Publics. Princeton University Press
  • Inglehart, R. & Welzel, C. (2005). Modernization, Cultural Change, and Democracy. Cambridge University Press
  • Kuran, T. (1995). Private Truths, Public Lies: The Social Consequences of Preference Falsification. Harvard University Press, https://www.hup.harvard.edu/books/9780674707580
  • Tosi, J. & Warmke, B. (2020). Grandstanding: The Use and Abuse of Moral Talk. Oxford University Press
  • Haslam, N. (2016). “Concept Creep: Psychology’s Expanding Concepts of Harm and Pathology”. Psychological Inquiry, 27(1), https://www.tandfonline.com/doi/full/10.1080/1047840X.2016.1082418
  • Henderson, R. (2024). Troubled: A Memoir of Foster Care, Family, and Social Class. Gallery Books
  • Haynes, G. (2020). “The Purity Spiral”, BBC Radio 4 (serie Seriously…)
  • Yudkowsky, E. (2007). “Evaporative Cooling of Group Beliefs”, LessWrong
  • Raymond, E. S. (2010). “Kafkatrapping”, Armed and Dangerous (blog)

The post WOKE DOWN: la spirale della purezza, le identità morali e il ritorno agli obiettivi strumentali first appeared on Matteo Flora.

]]> https://mgpf.it/2026/08/25/woke-down.html/feed 3