Perché il dibattito sull’IA aperta o chiusa è più complesso di quanto sembri.
Alla fine del mese scorso, Anthropic ha pubblicato un rapporto in cui sostiene che il modello GLM-5.3 rappresenti un grave rischio di attacchi informatici. La preoccupazione principale del rapporto è che il nuovo e potente modello, rilasciato ad agosto dall’azienda cinese Z.ai, sia liberamente disponibile per chiunque voglia scaricarlo e modificarlo. L’affermazione di Anthropic è solo l’ultima mossa in un dibattito di lunga data sul fatto che i modelli di IA all’avanguardia debbano essere resi aperti, come il GLM-5.3, o debbano rimanere chiusi dietro le porte dei laboratori all’avanguardia.
In questi giorni, gran parte del dibattito su come gestire i modelli aperti si sta svolgendo in pubblico — e c’è molto denaro in gioco a seconda del suo esito. Jensen Huang, CEO di Nvidia, che ha molto da guadagnare se le persone continuano ad acquistare il proprio hardware per eseguire modelli aperti, sostiene con entusiasmo che gli Stati Uniti ne sviluppino di più, mentre Dario Amodei di Anthropic, a capo di un’azienda che potrebbe essere minacciata da modelli economici e potenti, sostiene un approccio più cauto. Ma al di là di tutti questi incentivi commerciali, le divergenze sui modelli aperti hanno una sostanza reale.
«Penso che il modo in cui ci si schiera nel dibattito sull’apertura sia in gran parte influenzato dalla propria posizione nel dibattito sull’IA», afferma David Gray Widder, assistente professore presso la Scuola di Informatica dell’Università del Texas ad Austin. Coloro che sono preoccupati per la sicurezza dell’IA avvertono che i modelli aperti possono essere facilmente utilizzati in modo improprio da malintenzionati, mentre chi si concentra maggiormente sul potenziale pratico dell’IA sostiene che questo potere non debba rimanere confinato dietro le porte chiuse di poche grandi aziende e che i modelli aperti potrebbero contribuire a diffonderlo più ampiamente.
Esistono diversi modi di gestire i modelli aperti, che vanno dal vietarli completamente al rilasciarli indiscriminatamente. Tuttavia, qualsiasi approccio adottato da un governo o da una società comporta comunque un compromesso tra sicurezza e democratizzazione. Decidere se sostenere o limitare la produzione di modelli aperti richiede una comprensione approfondita di tali rischi e benefici.
Quali sono i vantaggi dei modelli aperti?
Partiamo dalle basi. Un modello chiuso, come quelli che alimentano ChatGPT e Claude, è accessibile solo tramite un sito web, un’app o un’API. Un modello aperto, invece, può essere scaricato direttamente: i dettagli sulla sua struttura interna, codificati in una lunga serie di numeri noti come pesi del modello, sono disponibili pubblicamente. Tali modelli sono talvolta chiamati “modelli a pesi aperti”, per distinguerli dai modelli per i quali sono disponibili ancora più informazioni, come i dettagli sulla procedura di addestramento.
Al momento, i modelli chiusi sono più potenti di quelli aperti: alla data di pubblicazione, gli otto modelli in cima alla classifica LLM di Artificial Analysis sono tutti chiusi, sebbene i modelli aperti siano in ritardo di sviluppo solo di pochi mesi. Ma ci sono diversi motivi per cui qualcuno potrebbe scegliere di utilizzare un modello aperto piuttosto che uno chiuso. Poiché i modelli aperti sono scaricabili, è possibile eseguirli sui propri computer o dischi rigidi. È persino possibile rieducarli affinché si comportino in modo diverso, se si dispone delle competenze e delle risorse necessarie per farlo.
Se sei un ricercatore accademico impegnato a comprendere e migliorare i sistemi di IA, quasi certamente dovrai lavorare con modelli aperti nella tua ricerca. Quando si lavora con modelli chiusi, i ricercatori non possono fare molto di più che inviare prompt e osservare le risposte. I ricercatori, invece, possono osservare il funzionamento interno dei modelli aperti, nonché la “catena di pensiero” che i modelli utilizzano per analizzare un problema prima di rispondere. Possono inoltre combinare più modelli aperti per costruire nuovi sistemi, comprimerli per renderli più efficienti e ottimizzarli per nuove applicazioni.
Anche le aziende hanno motivi per preferire i modelli aperti. Anche se ci si affida a un fornitore esterno per la loro gestione, i modelli aperti costano in genere meno di quelli chiusi, secondo un recente rapporto di Mozilla. E se le aziende vogliono utilizzare l’IA per elaborare dati sensibili o informazioni riservate, l’esecuzione di un modello locale sul proprio hardware potrebbe essere il modo migliore per garantire la sicurezza delle proprie operazioni.
Ma forse la qualità più importante dei modelli aperti è che mettono in discussione il rigido controllo che i laboratori all’avanguardia esercitano sul modo in cui la maggior parte di noi utilizza l’IA. «L’argomento più chiaro e importante [a favore dei modelli aperti] riguarda la prevenzione della concentrazione di potere su larga scala: si tratta di garantire che questa tecnologia fondamentale sia un bene pubblico», afferma Elizabeth Seger, consulente senior per le politiche presso il Tony Blair Institute for Global Change. «Penso che ci troviamo in un momento in cui la questione di chi controlli l’infrastruttura che permette all’IA di funzionare sia importante quanto quella di chi controlli le informazioni su Internet».
Seger intravede diversi scenari per il futuro dell’IA, a seconda del ruolo che avranno i modelli aperti. In uno dei possibili scenari futuri, i sistemi di IA all’avanguardia sarebbero controllati interamente da persone, aziende o governi selezionati e, man mano che tali sistemi diventassero più potenti, quei gruppi avrebbero un controllo crescente su come si configurerà il nostro mondo. I modelli di hacking più sofisticati al mondo, ad esempio, sono attualmente tutti realizzati negli Stati Uniti, quindi spetta interamente alle aziende statunitensi e al governo degli Stati Uniti decidere se altri paesi possano utilizzarli per rafforzare le proprie difese informatiche. Se quelle aziende mantenessero il primato, potremmo in linea di principio ritrovarci in un mondo in cui gli Stati Uniti sono in grado di hackerare qualsiasi altro paese, ma nessuno è in grado di hackerare loro.
I modelli aperti di frontiera potrebbero cambiare questo equilibrio. «Se ogni individuo avesse un sistema di IA fedele a sé stesso che fosse sicuro [e protetto], penso che sarebbe un mondo molto meno preoccupante di uno in cui si deve semplicemente fare affidamento su un governo che dice: “Sì, abbiamo un sistema di IA super intelligente, ha questo piano, è imperscrutabile per tutti voi, fidatevi di noi’”, afferma Hamish Hobbs, direttore delle politiche sull’IA presso il Centre for Long-Term Resilience.
Ma i modelli aperti non sono una panacea geopolitica. Paul Azunre, cofondatore di Ghana NLP, un’organizzazione che sviluppa strumenti di IA open source per le lingue ghanesi con scarse risorse, osserva che i modelli aperti possono anche fungere da strumento per consentire alle aziende di trarre vantaggio dal lavoro e dalle competenze delle nazioni meno privilegiate e di consolidare ulteriormente il proprio potere. Egli individua uno schema secondo cui le aziende di IA rilasciano modelli in modo aperto, osservano come la comunità li utilizza e li modifica, per poi integrare quegli stessi miglioramenti nei propri prodotti — senza alcun riconoscimento o compenso per le persone che hanno dato origine a tali innovazioni. Lo stesso Mark Zuckerberg ha affermato che la capacità di integrare i miglioramenti della comunità nello stack di Meta è un vantaggio fondamentale del rilascio di modelli aperti.
«Penso che l’ideale dell’open source sia molto nobile e che apporti un grande valore», afferma Azunre. «Ma il modo in cui viene effettivamente implementato nella pratica tende a essere un approccio molto estrattivo».
I modelli aperti sono più rischiosi di quelli chiusi?
Gli ultimi mesi hanno chiarito che la sicurezza rimane un problema spinoso per i modelli chiusi. C’è stato l’attacco autonomo che gli agenti di OpenAI hanno sferrato contro Hugging Face a luglio, ma anche l’uso improprio da parte degli esseri umani rappresenta una minaccia reale: secondo un recente rapporto sui rischi di Anthropic, sono state intraprese diverse operazioni di hacking su larga scala con l’assistenza di Claude.
Quindi i modelli chiusi sono già abbastanza rischiosi — e quelli aperti sarebbero probabilmente molto più facili da sfruttare. Prima che Anthropic inoltri la richiesta di un utente a uno dei suoi modelli chiusi, utilizza sistemi automatizzati per rilevare se tale richiesta sia correlata a hacking, armi biologiche o altri rischi. Quando rileva che gli utenti hanno aggirato quei filtri, può chiudere i loro account. Ma quando qualcuno scarica un modello e lo esegue sul proprio hardware, non c’è alcun filtro che verifichi se i suoi prompt siano sicuri, e non c’è modo di revocare il suo accesso al modello.
Esistono altre importanti linee di difesa. Le aziende di IA addestrano i propri modelli a rifiutare richieste dannose: quindi, anche se un prompt dannoso superasse i filtri di Claude, ci sono buone probabilità che il modello risponda comunque di no. In linea di principio, questa stessa difesa potrebbe funzionare anche per i modelli aperti, poiché è intrinseca al modello stesso. Purtroppo, i ricercatori hanno dimostrato che è sorprendentemente facile rieducare un modello aperto “sicuro” affinché accetti di mettere in atto comportamenti che in precedenza era stato addestrato a evitare.
Alla luce di questi fatti, alcuni sostengono che i modelli aperti siano semplicemente troppo pericolosi per essere resi disponibili. Un modello aperto in grado, ad esempio, di guidare qualcuno nella sintesi di un nuovo agente patogeno virulento potrebbe rivelarsi catastrofico se finisse nelle mani sbagliate.
Ma sarebbe una semplificazione eccessiva considerare i modelli aperti pericolosi e quelli chiusi sicuri. Le difese che le aziende di IA costruiscono attorno ai propri modelli chiusi sono ben lungi dall’essere perfette, e le persone abusano di quei modelli continuamente, come chiarisce il rapporto sui rischi di Anthropic. Anche se i modelli aperti dispongono di difese ancora più scarse contro gli abusi, i malintenzionati potrebbero comunque scegliere di utilizzare modelli chiusi perché sono più accessibili rispetto ai modelli aperti con capacità simili, che richiedono molti costosi chip per funzionare localmente (e ancora più chip se si desidera rieducarli).
Infatti, alcuni esperti intervistati dal MIT Technology Review hanno sostenuto, per analogia con il software open source, che i modelli aperti presentano vantaggi in termini di sicurezza rispetto a quelli chiusi. Gli strumenti open source, come il sistema operativo Linux, sono spesso considerati più sicuri delle loro controparti closed source perché le loro vulnerabilità sono state analizzate e corrette da una vasta comunità di collaboratori online. Allo stesso modo, le comunità di ricercatori possono testare più facilmente i modelli aperti alla ricerca di falle di sicurezza, sebbene correggere tali falle sia più complesso che riscrivere una riga di codice.
I modelli aperti possono inoltre essere impiegati in modo più esteso rispetto a quelli chiusi per la difesa informatica. Qualsiasi strumento utilizzabile per l’hacking può essere impiegato anche per prevenirlo: i difensori hackerano il proprio software per individuare le vulnerabilità che necessitano di correzioni. Anthropic ha dimostrato come ciò possa funzionare per i modelli chiusi con la sua iniziativa Project Glasswing, che consente ad alcune aziende fidate di utilizzare i suoi modelli più avanzati per la difesa informatica. Tuttavia, molte altre aziende sono state lasciate a cavarsela da sole.
I modelli aperti, tuttavia, possono essere utilizzati in modo molto più esteso. Dopo essere stata hackerata da agenti di OpenAI, Hugging Face ha sottolineato il fatto di aver dovuto fare affidamento su un modello aperto per analizzare l’attacco, poiché le domande relative all’incidente avevano attivato i filtri di sicurezza dei modelli chiusi.
Ciononostante, molti esperti continuano a percepire i modelli aperti come più rischiosi rispetto a quelli chiusi. La logica di sicurezza open source, collaudata nel tempo, non regge necessariamente quando si ha a che fare con strumenti potenti come i modelli di oggi — e di domani. «La situazione si complica quando si iniziano a prendere sul serio i casi isolati di incidenti particolarmente catastrofici che potrebbero avere una probabilità bassa, ma che, se si verificassero, sarebbero disastrosi», afferma Seger. Se oggi venisse diffuso nel mondo un modello di hacking aperto estremamente potente, ad esempio, un malintenzionato potrebbe devastare la nostra infrastruttura tecnologica prima che chiunque abbia la possibilità di rafforzare le proprie difese. Potrebbe essere impossibile riprendersi da un evento del genere.
I rischi possono apparire ancora più drammatici se si considera ciò che i modelli potrebbero fare di propria iniziativa. L’attacco hacker a OpenAI Hugging Face si è verificato solo perché i modelli dell’azienda venivano testati con molte delle loro misure di sicurezza informatica disattivate, e i modelli aperti hanno pochissime misure di sicurezza fin dall’inizio. Se i modelli aperti decidessero di comportarsi in modo anomalo, potrebbe essere difficile rilevare cosa sta accadendo, poiché sono estremamente decentralizzati. Per questo motivo, chi prende sul serio i presunti rischi catastrofici rappresentati da agenti ribelli, come Dario Amodei, tende ad essere più scettico nei confronti dei modelli aperti.
Possiamo rendere i modelli aperti più sicuri — e più aperti?
Qualche anno fa, il dibattito sui modelli aperti era improntato a un approccio «tutto o niente»: o si sostenevano i modelli aperti per il loro potenziale di contrastare la concentrazione di potere, oppure li si rifiutava a causa dei rischi per la sicurezza. Oggi, tuttavia, si sta dedicando molto impegno alla ricerca di una via di mezzo. Un modo per farlo consiste nell’elaborare tecniche volte a mitigare i rischi per la sicurezza dei modelli aperti.
La maggior parte degli strumenti di sicurezza utilizzati per i modelli chiusi, come i filtri e il monitoraggio, non sono applicabili ai modelli aperti, ma esistono altre possibilità. Alcuni ricercatori sono interessati a provare ad addestrare modelli che non siano mai esposti a dati di addestramento che insegnino loro comportamenti scorretti o comunque indesiderabili — un modello aperto che non impari mai cosa sia l’hacking, per esempio. Tuttavia, eliminare dai set di dati di addestramento ogni riferimento a comportamenti scorretti senza compromettere le prestazioni del modello rimane una sfida.
Altri ricercatori stanno lavorando alla creazione di modelli resistenti al riaddestramento, in modo che l’addestramento alla sicurezza di un modello aperto non possa essere rimosso così facilmente. La teoria alla base di questi modelli «a prova di manomissione» è molto sensata: se si tenta ripetutamente di riaddestrare un modello per renderlo non sicuro e si rafforza qualsiasi resistenza che il modello mostra a tale riaddestramento, alla fine si otterrà un modello fortificato contro futuri tentativi di riaddestramento. In pratica, tuttavia, secondo un recente preprint, nessun approccio attuale volto a rendere i modelli a prova di manomissione regge contro tutti gli attacchi di manomissione.
Ma Saad Hossain, ingegnere presso Deep Breathe, azienda specializzata in imaging medico basato sull’IA, e autore principale dell’articolo, spera che le tecniche future si dimostrino più efficaci. «Il motivo del mio ottimismo è che si tratta di un’area di ricerca molto attiva e molte persone stanno cercando di elaborare metodi nuovi e migliori», afferma.
Se i rischi dei modelli aperti sono meno netti di quanto possano sembrare a prima vista, lo stesso vale per i benefici. Pubblicare le strutture interne, o i pesi, dei modelli potrebbe non essere sufficiente a contrastare la concentrazione di potere mediata dall’IA. «Penso che l’open source offra vantaggi molto concreti in termini di deconcentrazione del potere, ma di per sé non sono sufficienti», afferma Hobbs. I pesi aperti rappresentano lo standard minimo indispensabile per i modelli aperti: i ricercatori possono apprendere molto di più su il funzionamento dei modelli se hanno accesso ai dettagli relativi al loro addestramento, compresi i dati su cui sono stati addestrati, ma le aziende di IA sono in genere riluttanti a divulgare queste informazioni.
L’accessibilità è importante anche per i modelli aperti. Senza chip in grado di eseguire modelli sofisticati, non è possibile utilizzare effettivamente i pesi del modello, anche se si dispone di essi. Questi chip sono diventati proibitivi dal punto di vista economico, poiché le aziende di IA ne acquistano quantità sempre maggiori. «L’apertura è un punto di partenza, non un limite massimo, per ciò che dobbiamo fare per garantire che il nostro futuro tecnologico vada a beneficio di tutti», afferma Widder.
Una vera apertura — non solo pesi aperti, ma anche dati di addestramento aperti e hardware accessibile — potrebbe ovviamente comportare anche maggiori rischi. Se tutti avessero accesso a hardware avanzato per l’IA e a modelli avanzati da eseguire su di esso, allora chiunque potrebbe potenzialmente diventare un hacker. Ma esistono strategie per mitigare questi rischi. Molti esperti sostengono una qualche forma di rilascio graduale, in cui i modelli iniziano la loro vita in forma chiusa e diventano gradualmente sempre più liberamente accessibili man mano che la loro sicurezza viene garantita.
Capire esattamente come attuare tali strategie richiederà di trovare un delicato equilibrio tra i rischi e i benefici dei modelli aperti. Ma se i modelli aperti sono un elemento necessario per un futuro positivo dell’IA, come ritengono alcuni esperti, ne varrà sicuramente la pena.
