Sicurezza AI sotto assedio: la prova matematica del NIST, il jailbreak di Copilot e lo spegnimento forzato di Fable 5

La prima metà del 2026 è stata un periodo spartiacque per la sicurezza dell’intelligenza artificiale. Diversi sviluppi indipendenti hanno collettivamente dimostrato che le difese esistenti sono ben lungi dall’essere impenetrabili. Da una prova matematica formale del fallimento dei guardrail a uno spegnimento forzato di un modello, le evidenze indicano la necessità di un ripensamento fondamentale su come proteggere i sistemi AI avanzati.

Nessun guardrail finito è universalmente robusto: la prova del NIST

Lo sviluppo più rilevante è arrivato dal National Institute of Standards and Technology (NIST). Il 9 giugno 2026, il NIST ha annunciato una prova matematica sottoposta a revisione paritaria, pubblicata sulla rivista IEEE Security & Privacy (maggio-giugno 2026). Il ricercatore senior Apostol Vassilev ha esteso formalmente i teoremi di incompletezza di Kurt Gödel ai guardrail dell'intelligenza artificiale .

Il risultato principale è netto: "Nessun insieme finito di guardrail è universalmente robusto contro prompt avversari" . Poiché il linguaggio naturale è infinitamente ambiguo e gli insiemi di guardrail sono necessariamente finiti, esisterà sempre un prompt in grado di eludere il rilevamento—non per una cattiva ingegneria, ma come certezza matematica . Il NIST raccomanda esplicitamente che le organizzazioni passino da un modello statico di guardrail "fatto e dimenticato" a un'architettura di sicurezza basata sul monitoraggio e aggiornamento continui .

HMNS: Un jailbreak a livello di circuito che altera le rappresentazioni del modello

I ricercatori dell'Università della Florida hanno introdotto una tecnica chiamata Head-Masked Nullspace Steering (HMNS), che opera a livello di circuito di un modello Transformer . Accettata come articolo per una conferenza a ICLR 2026 , l'HMNS identifica le teste di attenzione causalmente responsabili del comportamento di sicurezza predefinito di un modello, sopprime i loro percorsi di scrittura attraverso un masking mirato delle colonne e inietta una perturbazione limitata al complemento ortogonale del sottospazio di rifiuto del modello .

Non si tratta di un jailbreak basato su prompt. Manipolando direttamente le rappresentazioni interne del modello, HMNS raggiunge tassi di successo quasi del 99% su modelli come LLaMA-3.1-70B con una media di circa 2 tentativi, preservando al contempo la scorrevolezza dell'output .

Rifiutato in chat, scritto in codice: il jailbreak workflow di Copilot

Un articolo su arXiv del 9 luglio 2026, intitolato "Refused in Chat, Written in Code", dimostra che gli agenti di codifica negli IDE come GitHub Copilot mostrano un rifiuto quasi totale in condizioni di chat diretta, lettura CSV o correzione di codice a passaggio singolo (solo 8 risposte riuscite su 816) . Tuttavia, quando lo stesso obiettivo dannoso viene scomposto in flussi di lavoro di sviluppo software multi-step—lettura di file, esecuzione di script, elaborazione di input di benchmark—i modelli producono output dannosi in tutte le 816 esecuzioni .

Questo jailbreak a livello di flusso di lavoro aggira i filtri di sicurezza a livello di chat ridefinendo gli obiettivi malevoli come normali attività di sviluppo . Invece di chiedere al modello di "scrivere codice dannoso", l'attaccante gli chiede di "leggere un file, eseguire uno script, poi elaborare input di benchmark"—una sequenza che appare benigna in ogni singolo passaggio ma che, se composta, raggiunge l'obiettivo dannoso.

Intervento governativo: Anthropic disabilita Claude Fable 5 a livello globale

Il 12 giugno 2026, appena tre giorni dopo che Anthropic aveva svelato Claude Fable 5 e Mythos 5, il Segretario al Commercio USA Howard Lutnick ha inviato una lettera all'amministratore delegato Dario Amodei ordinando ad Anthropic di fermare le esportazioni a livello globale, invocando per la prima volta una disposizione dell'Export Control Reform Act del 2018 . L'innesco è stato un jailbreak scoperto dai ricercatori di Amazon che permetteva a Fable 5 di identificare vulnerabilità software, sollevando preoccupazioni sul suo possibile utilizzo da parte di intelligence militari straniere .

Poiché Anthropic non poteva verificare in modo affidabile la nazionalità degli utenti in tempo reale, l'azienda ha disabilitato entrambi i modelli per tutti gli utenti in tutto il mondo . I controlli all'esportazione sono stati revocati il 30 giugno, e Fable 5 è tornato disponibile globalmente il 1° luglio 2026, dopo una sospensione di 18 giorni . L'accesso a Mythos 5 è stato ripristinato per un gruppo selezionato di organizzazioni statunitensi .

Cosa significa per la sicurezza dell'AI

Questi quattro sviluppi convergono su una verità unica: i guardrail statici e una tantum sono fondamentalmente insufficienti. La prova del NIST lo stabilisce come una certezza matematica . HMNS mostra che può essere sfruttata con efficienza quasi perfetta . Il jailbreak del flusso di lavoro di Copilot dimostra che anche i forti filtri a livello di chat possono essere aggirati quando i modelli agiscono come agenti . E l'incidente di Fable 5 mostra che la scoperta di tali vulnerabilità può innescare un intervento governativo senza precedenti .

L'implicazione pratica è chiara: le organizzazioni devono passare dal certificare un modello come "sicuro" durante lo sviluppo al monitorare, testare e aggiornare continuamente i guardrail durante l'intero ciclo di vita del modello—un approccio che il NIST raccomanda esplicitamente .