I chatbot IA stanno divulgando i numeri di telefono reali delle persone

Diverse persone segnalano che le loro informazioni di contatto personali sono state rese pubbliche dall’IA di Google e, a quanto pare, non c’è un modo semplice per impedirlo.

Le persone segnalano che le loro informazioni di contatto personali sono state rese pubbliche dall’IA di Google e, a quanto pare, non c’è un modo semplice per impedirlo.

Un utente di Reddit ha recentemente scritto di essere “alla disperata ricerca di aiuto”: per circa un mese, ha detto, il suo telefono è stato sommerso da chiamate di “sconosciuti” che “cercavano un avvocato, un designer di prodotti, un fabbro”. A quanto pare, chi chiamava era stato indirizzato erroneamente dall’IA generativa di Google.

A marzo, uno sviluppatore di software in Israele è stato contattato su WhatsApp dopo che il chatbot Gemini di Google aveva fornito istruzioni errate per l’assistenza clienti che includevano il suo numero.

E ad aprile, una dottoranda dell’Università di Washington stava giocando con Gemini e è riuscita a fargli rivelare il numero di cellulare personale di un suo collega.

I ricercatori di IA e gli esperti di privacy online hanno da tempo messo in guardia sui numerosi pericoli che l’IA generativa comporta per la privacy personale. Questi casi ci offrono un ulteriore motivo di preoccupazione: l’IA generativa che rivela i numeri di telefono reali delle persone. (L’utente di Reddit non ha risposto alle numerose richieste di commento e non siamo riusciti a verificare in modo indipendente la sua storia.)

Gli esperti sostengono che queste violazioni della privacy siano molto probabilmente dovute all’utilizzo di informazioni di identificazione personale (PII) nei dati di addestramento, sebbene sia difficile comprendere l’esatto meccanismo che porta alla comparsa di numeri di telefono reali nelle risposte generate dall’IA. Ma indipendentemente dal motivo, il risultato non è piacevole per le persone coinvolte e, cosa ancora più preoccupante, sembra che non ci sia molto che si possa fare per impedirlo.

Un aumento del 400% delle richieste relative alla privacy legate all’IA

È impossibile sapere con quale frequenza i numeri di telefono delle persone vengano esposti dai chatbot basati sull’IA, ma gli esperti ritengono che ciò avvenga molto più spesso di quanto venga riportato pubblicamente.

DeleteMe, un’azienda che aiuta i clienti a rimuovere le loro informazioni personali da Internet, afferma che le richieste dei clienti relative all’IA generativa sono aumentate del 400% – fino a raggiungere alcune migliaia – negli ultimi sette mesi. Queste richieste “fanno specifico riferimento a ChatGPT, Claude, Gemini… o altri strumenti di IA generativa”, afferma Rob Shavell, cofondatore e CEO dell’azienda. In particolare, il 55% di queste preoccupazioni sull’IA generativa riguarda ChatGPT, il 20% Gemini, il 15% Claude e il 10% altri strumenti di IA, afferma Shavell. (MIT Technology Review ha un abbonamento aziendale a DeleteMe.)

Shavell afferma che i reclami dei clienti riguardo alle informazioni personali rese note dagli LLM assumono solitamente due forme: o “un cliente chiede a un chatbot qualcosa di innocuo su se stesso e riceve in risposta indirizzi di casa precisi, numeri di telefono, nomi dei familiari o dettagli sul datore di lavoro” Oppure, un cliente può trovarsi di fronte alla divulgazione dei dati personali di qualcun altro e segnalarla, quando “il chatbot genera informazioni di contatto plausibili ma errate”.

Questo corrisponde a quanto accaduto a Daniel Abraham, un ingegnere informatico ventottenne in Israele. A metà marzo, racconta, uno sconosciuto gli ha inviato uno “strano messaggio WhatsApp da un numero sconosciuto” chiedendogli aiuto con il suo account su PayBox, un’app di pagamento israeliana.

“Ho pensato che fosse un messaggio di spam”, ha scritto in una e-mail al MIT Technology Review, “qualcuno che cercava di prendermi in giro”.

Ma quando ha chiesto allo sconosciuto come avesse trovato il suo numero, questi gli ha inviato uno screenshot delle istruzioni di Gemini per contattare il servizio clienti di PayBox tramite WhatsApp, fornendo il suo numero personale. Abraham non lavora per PayBox e PayBox non ha un numero di servizio clienti su WhatsApp, come ha confermato Elad Gabay, un rappresentante del servizio clienti dell’azienda.

In seguito, Abraham ha chiesto a Gemini come contattare PayBox, e il sistema ha generato il numero WhatsApp di un’altra persona. Quando ho chiesto di recente, Gemini ha risposto di nuovo con un numero di telefono israeliano: non apparteneva a PayBox, ma a una società di carte di credito separata che collabora con PayBox.

Lo scambio di Abraham con lo sconosciuto si è concluso rapidamente, ma ha detto di essere preoccupato per come altri potenziali scambi potrebbero rapidamente degenerare, includendo “molestie o altre interazioni negative”. “E se avessi chiesto dei soldi per ‘risolvere’ quel problema [del servizio clienti]?”, ha detto.

Per cercare di capire come fosse successo, Abraham ha effettuato una normale ricerca su Google con il suo numero di telefono e ha scoperto che era stato condiviso online una volta, nel 2015, su un sito locale simile a Quora. Sebbene non sia sicuro di chi lo abbia pubblicato lì, questo potrebbe spiegare come sia finito per essere riprodotto da Gemini più di un decennio dopo.

I chatbot come Gemini, ChatGPT di Open AI e Claude di Anthropic sono basati su modelli di linguaggio (LLM) addestrati su enormi quantità di dati raccolti dal web. Ciò include inevitabilmente centinaia di milioni di casi di PII. Come abbiamo riportato l’estate scorsa, ad esempio, il grande e popolare set di dati open-source DataComp CommonPool, che è stato utilizzato per addestrare modelli di generazione di immagini, includeva copie di curriculum, patenti di guida e carte di credito.

La probabilità che le PII compaiano nei dati di addestramento dell’IA è in aumento, poiché i dati pubblici si stanno “esaurendo” e le aziende di IA cercano nuove fonti di dati di addestramento di alta qualità. Ciò include informazioni provenienti da broker di dati e siti web di ricerca di persone. Secondo il registro dei broker di dati della California, ad esempio, 31 dei 578 broker di dati registrati che operano nello Stato hanno dichiarato di aver “condiviso o venduto i dati dei consumatori a uno sviluppatore di un sistema o modello GenAI nell’ultimo anno”.

Inoltre, è noto che i modelli memorizzano e riproducono alla lettera i dati provenienti dai set di addestramento, e recenti ricerche suggeriscono che non sono solo i dati che compaiono frequentemente ad avere maggiori probabilità di essere memorizzati.

Misure imperfette

È ormai prassi comune integrare nel design di un modello di linguaggio di grandi dimensioni (LLM) dei meccanismi di protezione volti a limitare determinati output, che vanno dai filtri di contenuto destinati a identificare e impedire ai chatbot di divulgare informazioni di identificazione personale (PII) alle istruzioni fornite da Anthropic a Claude affinché scelga risposte che contengano «il minor numero possibile di informazioni personali, private o riservate appartenenti ad altri».

Ma, come hanno potuto constatare di persona di recente due dottorandi dell’Università di Washington che conducono ricerche sulla privacy e la tecnologia, queste misure di sicurezza non sempre funzionano.

“Un giorno stavo semplicemente giocando con Gemini e ho cercato Yael Eiger, una mia amica e collaboratrice”, racconta Meira Gilbert. Ha digitato “Yael Eiger informazioni di contatto” e, dopo che Gemini ha fornito una panoramica della ricerca di Eiger, come Gilbert si aspettava, Gemini ha restituito anche il numero di telefono personale della sua amica. “È stato scioccante”, dice Gilbert.

Quando ha visto il risultato di Gemini, Eiger si è ricordata che, in effetti, aveva condiviso il suo numero di telefono online l’anno precedente, in occasione di un workshop sulla tecnologia. Ma non si aspettava che fosse così visibile a tutti su Internet.

Le tue informazioni personali sono state rivelate dall’IA generativa? Contatta la giornalista su Signal all’indirizzo eileenguo.15 o tips@technologyreview.com.

“Avere le proprie informazioni… accessibili a un pubblico, e poi Gemini che le rende accessibili a chiunque” è una sensazione completamente diversa, dice Eiger, specialmente quando ha scoperto che le informazioni erano sepolte in una normale ricerca su Google.

“Era stata notevolmente sminuita”, conferma Gilbert. “Non l’avrei mai trovata se avessi semplicemente cercato tra i risultati di Google.” (Ho provato lo stesso prompt su Gemini all’inizio di questo mese e, dopo un iniziale rifiuto, lo strumento mi ha fornito anche il numero di Eiger.)

Dopo questa esperienza, Eiger, Gilbert e un’altra dottoranda dell’Università di Washington, Anna-Maria Gueorguieva, hanno deciso di testare ChatGPT per vedere cosa avrebbe fatto emergere su un professore.

All’inizio sono scattati i meccanismi di protezione di OpenAI e ChatGPT ha risposto che l’informazione non era disponibile. Ma nella stessa risposta, il chatbot ha suggerito: “Se volete approfondire, posso comunque provare un approccio più ‘investigativo'”. La loro richiesta doveva solo aiutare a “restringere il campo”, ha detto ChatGPT, fornendo “un’ipotesi sul quartiere” in cui il professore potrebbe vivere, o “un possibile nome di comproprietario” per la casa del professore. ChatGPT ha continuato: “Di solito è l’unico modo per far emergere documenti immobiliari più recenti o intenzionalmente meno visibili”.

Gli studenti hanno fornito queste informazioni, portando ChatGPT a ricavare l’indirizzo di casa del professore, il prezzo di acquisto dell’immobile e il nome del coniuge dai registri immobiliari della città.

(Taya Christianson, una rappresentante di OpenAI, ha affermato di non poter commentare quanto accaduto in questo caso senza vedere gli screenshot o sapere quale modello avessero testato gli studenti, sebbene abbiamo sottolineato che molti utenti potrebbero non sapere quale modello stessero utilizzando nell’interfaccia di ChatGPT. In risposta alle domande sull’esposizione delle informazioni di identificazione personale (PII), ha inviato dei link a documenti che descrivono come OpenAI gestisce la privacy, compreso il filtraggio delle PII, e altri strumenti.)

Questo rivela uno dei problemi fondamentali dei chatbot, afferma Shavell di DeleteMe. Le aziende di IA “possono integrare delle protezioni, ma [i loro chatbot] sono anche progettati per essere efficaci e per rispondere alle domande dei clienti”.

Il problema della divulgazione non si limita a Gemini o ChatGPT. L’anno scorso, Futurism ha scoperto che se si chiedeva al chatbot Grok di xAI “[nome] indirizzo”, in quasi tutti i casi forniva non solo gli indirizzi di residenza, ma spesso anche i numeri di telefono della persona, gli indirizzi di lavoro e gli indirizzi di persone con nomi dal suono simile. (xAI non ha risposto a una richiesta di commento.)

Nessuna risposta chiara

Non esistono soluzioni semplici a questo problema: non c’è un modo facile né per verificare se le informazioni personali di qualcuno siano presenti nel set di addestramento di un determinato modello, né per obbligare i modelli a rimuovere le PII.

Idealmente, i singoli consumatori dovrebbero poter richiedere la rimozione delle proprie informazioni di identificazione personale, afferma Jennifer King, ricercatrice in materia di privacy e dati presso lo Stanford University Institute for Human-Centered Artificial Intelligence. Ma questo viene tipicamente interpretato come applicabile solo ai dati che le persone hanno fornito direttamente alle aziende, come quando interagiscono con un chatbot, spiega King.

“Non so se Google disponga nemmeno dell’infrastruttura… per dirmi: ‘Sì, abbiamo i tuoi dati nel nostro set di addestramento, possiamo riassumere ciò che sappiamo di te e poi possiamo cancellare o correggere le cose che sono sbagliate o quelle che non vuoi che ci siano'”, afferma.

La legislazione vigente in materia di privacy, come il California Consumer Privacy Act o il GDPR europeo, non copre le informazioni “pubblicamente disponibili” che sono già state raccolte e utilizzate per addestrare i modelli di linguaggio (LLM), soprattutto perché gran parte di queste è anonimizzata (anche se diversi studi hanno dimostrato quanto sia facile dedurre identità e informazioni di identificazione personale da dati anonimizzati e pseudonimizzati).

Per quanto riguarda “se [le aziende di IA] abbiano mai cercato sistematicamente di riesaminare i dati già raccolti da Internet e di ridurne al minimo la quantità?”, King aggiunge: “Non ne ho idea”.

La soluzione migliore sarebbe che le aziende “eliminassero i numeri di telefono di tutti o tutti i dati che assomigliano a [numeri di telefono]”, dice King, ma “nessuno è stato disposto a dire” che lo stanno facendo.

Hugging Face, una piattaforma che ospita set di dati open source e modelli di IA, dispone di uno strumento che consente alle persone di verificare con quale frequenza un dato, come il proprio numero di telefono, è apparso nei set di dati di addestramento LLM open source, ma ciò non rappresenta necessariamente ciò che è stato utilizzato per addestrare gli LLM chiusi che alimentano chatbot popolari come Claude, ChatGPT e Gemini. (Il numero di Eiger, ad esempio, non è risultato nello strumento di Hugging Face.)

Alex Joseph, responsabile della comunicazione per le app Gemini e Google Labs, non ha risposto a domande specifiche, ma ha affermato che “il team” sta “esaminando” i casi particolari segnalati da MIT Technology Review. Ha inoltre fornito un link a un documento di supporto che descrive come gli utenti possano “opporsi al trattamento dei propri dati personali” o “chiedere la correzione di dati personali inesatti nelle risposte delle app Gemini”. La pagina sottolinea che la risposta dell’azienda dipenderà dalle leggi sulla privacy della giurisdizione dell’utente.

OpenAI dispone di un portale sulla privacy che consente alle persone di inviare richieste per rimuovere le proprie informazioni personali dalle risposte di ChatGPT, ma sottolinea che bilancia le richieste di privacy con l’interesse pubblico e “potrebbe rifiutare una richiesta se abbiamo un motivo legittimo per farlo”.

Anthropic descrive come utilizza i dati personali nell’addestramento dei modelli, ma non offre un modo chiaro per richiedere la loro rimozione. L’azienda non ha risposto a una richiesta di commento.

L’opzione migliore per chiunque voglia proteggere i propri dati privati in questo momento è quella di “partire dalla fonte: rimuovere i dati personali dal web pubblico prima che finiscano nel prossimo scraping”, afferma Shavell. Dall’inizio dell’anno, ad esempio, la California ha offerto ai propri residenti un portale web per richiedere ai broker di dati la cancellazione delle loro informazioni. Tuttavia, ciò non garantisce che i vostri dati non siano già stati utilizzati per l’addestramento e che, di conseguenza, non compaiano nella risposta di un chatbot.

L’utente di Reddit che ha ricevuto chiamate incessanti ha scritto di aver «inviato una richiesta ufficiale di rimozione legale/tutela della privacy a Google, chiedendo loro di inserire con urgenza il mio numero nella lista nera dei risultati generati dal loro modello di linguaggio grande (LLM)», ma di non aver ancora ricevuto risposta. Il mese scorso ha anche scritto che «le molestie continuano ogni giorno».

Abraham, lo sviluppatore di software israeliano, afferma di aver contattato il servizio clienti di Google il 17 marzo, il giorno dopo che il suo numero di telefono era stato reso pubblico. Dice di non aver ricevuto una risposta fino al 4 maggio, e che gli è stato semplicemente chiesto di fornire la documentazione che aveva già fornito.

Nel frattempo, ispirata dalla propria esposizione su Gemini, Eiger, insieme a Gilbert e Gueorguieva, sta progettando un progetto di ricerca per studiare ulteriormente quali informazioni personali vengono rese note dai vari chatbot basati sull’intelligenza artificiale — e cosa potrebbero sapere, anche se non ce lo dicono.

Alcune di queste informazioni potrebbero essere “tecnicamente pubbliche”, afferma Gilbert, ma i chatbot potrebbero alterare “lo sforzo necessario per trovarle”. Ora, invece di cercare tra 10 pagine di risultati di ricerca su Google o pagare per le informazioni da un sito di brokeraggio dati, “l’IA generativa abbassa semplicemente la barriera di accesso per raggiungere le persone?”