WEBVTT 00:00:01.360 --> 00:00:03.439 Salve a tutti, siete all'ascolto di 00:00:03.439 --> 00:00:05.759 INSiDER - Dentro la Tecnologia, 00:00:05.759 --> 00:00:08.000 un podcast di Digital People e 00:00:08.000 --> 00:00:09.199 io sono il vostro host, 00:00:09.199 --> 00:00:10.240 Davide Fasoli. 00:00:17.015 --> 00:00:18.855 Oggi spiegheremo cosa sono e come 00:00:18.855 --> 00:00:20.934 funzionano gli attacchi verso le reti 00:00:20.934 --> 00:00:22.774 neurali e il pericolo che questi 00:00:22.774 --> 00:00:24.294 rappresentano in un mondo in cui 00:00:24.294 --> 00:00:27.734 l'intelligenza artificiale sta diventando sempre più pervasiva. 00:00:28.010 --> 00:00:29.449 Prima di passare alle notizie che 00:00:29.449 --> 00:00:31.449 più ci hanno colpito questa settimana, 00:00:31.449 --> 00:00:33.130 vi ricordo che potete seguirci su 00:00:33.130 --> 00:00:36.890 Instagram a @dentrolatecnologia, iscrivervi alla newsletter 00:00:36.890 --> 00:00:38.810 e ascoltare un nuovo episodio ogni 00:00:38.810 --> 00:00:40.810 sabato mattina, su Spotify, 00:00:40.810 --> 00:00:44.064 Apple Podcast, YouTube Music oppure direttamente 00:00:44.064 --> 00:00:45.265 sul nostro sito. 00:00:57.905 --> 00:01:00.121 Nella puntata dedicata al fediverso - 00:01:00.121 --> 00:01:02.759 una rete social decentralizzata - abbiamo 00:01:02.759 --> 00:01:05.400 raccontato anche del futuro sviluppo di Threads, 00:01:05.400 --> 00:01:07.400 il social prodotto da Meta pensato 00:01:07.400 --> 00:01:09.879 come principale competitor di X. 00:01:09.879 --> 00:01:12.015 Secondo le indiscrezioni, infatti, 00:01:12.015 --> 00:01:14.015 sembrava che Meta avrebbe in tempi 00:01:14.015 --> 00:01:16.255 brevi introdotto su Threads il supporto 00:01:16.255 --> 00:01:18.575 ai post provenienti dal fediverso. 00:01:18.655 --> 00:01:21.775 Inizialmente il supporto è stato abilitato gradualmente, 00:01:21.935 --> 00:01:23.454 ma solo per quanto riguarda la 00:01:23.454 --> 00:01:25.689 pubblicazione dei post, seguendo poi il 00:01:25.689 --> 00:01:28.649 protocollo ActivityPub utilizzato da altri social 00:01:28.649 --> 00:01:30.650 come Mastodon o BookWyrm. 00:01:30.649 --> 00:01:31.930 Da qualche giorno, invece, 00:01:31.930 --> 00:01:33.609 Meta ha compiuto un altro passo 00:01:33.609 --> 00:01:35.849 verso un'integrazione più completa con il 00:01:35.849 --> 00:01:39.055 sistema social federato, introducendo nell'app la 00:01:39.055 --> 00:01:41.055 possibilità di cercare utenti di altri 00:01:41.055 --> 00:01:43.295 universi social, come Mastodon e di 00:01:43.295 --> 00:01:44.974 leggere i post per ora in 00:01:44.974 --> 00:01:46.334 un feed separato. 00:01:46.415 --> 00:01:49.215 Come avevamo sottolineato nella puntata dedicata, 00:01:49.295 --> 00:01:50.575 la scesa in campo di Meta 00:01:50.575 --> 00:01:52.620 nel mondo del fediverso può rappresentare 00:01:52.620 --> 00:01:55.260 uno slancio positivo per questa tecnologia, 00:01:55.340 --> 00:01:57.340 permettendo agli utenti di scegliere come 00:01:57.340 --> 00:01:59.340 e dove pubblicare i propri post, 00:01:59.340 --> 00:02:00.939 ma sfruttando allo stesso tempo la 00:02:00.939 --> 00:02:02.380 visibilità offerta da Meta, 00:02:02.380 --> 00:02:04.620 oltre ad un'app piacevole da utilizzare. 00:02:04.965 --> 00:02:07.364 Attualmente mancano ancora alcune funzioni, 00:02:07.364 --> 00:02:09.284 come la possibilità di migrare il 00:02:09.284 --> 00:02:11.205 proprio account verso altri social o 00:02:11.205 --> 00:02:13.764 poter interagire con i post del fediverso, 00:02:13.764 --> 00:02:15.284 ma a questo punto è questione 00:02:15.284 --> 00:02:16.884 di tempo prima che il supporto 00:02:16.884 --> 00:02:19.180 e l'integrazione siano completi. 00:02:21.419 --> 00:02:23.580 Recentemente un team di astronomi è 00:02:23.580 --> 00:02:25.739 riuscito a ottenere l'immagine più dettagliata 00:02:25.739 --> 00:02:28.219 della galassia Caldwell 65, 00:02:28.219 --> 00:02:30.219 nota anche come Galassia dello Scultore, 00:02:30.219 --> 00:02:32.534 grazie al Very Large Telescope dello 00:02:32.534 --> 00:02:34.454 European Southern Telescope. 00:02:34.454 --> 00:02:36.375 Il risultato finale è il frutto 00:02:36.375 --> 00:02:39.094 della combinazione di oltre 100 esposizioni 00:02:39.094 --> 00:02:40.854 per un totale di 50 ore 00:02:40.854 --> 00:02:42.855 di osservazione circa, la quale ha 00:02:42.855 --> 00:02:45.334 portato ad un'immagine che copre un'area 00:02:45.334 --> 00:02:47.639 ampia 65.000 anni luce. 00:02:47.639 --> 00:02:49.719 La novità di questo risultato incredibile 00:02:49.719 --> 00:02:51.879 è la ricchezza di informazioni contenute 00:02:51.879 --> 00:02:53.800 in una singola rappresentazione, 00:02:53.960 --> 00:02:56.439 caratterizzata da un rosa diffuso su 00:02:56.439 --> 00:02:59.480 diversi nuclei che rappresentano l'idrogeno ionizzato 00:02:59.480 --> 00:03:01.319 nelle regioni di formazione stellare. 00:03:01.594 --> 00:03:03.194 Al centro spicca invece un cono 00:03:03.194 --> 00:03:06.155 dalle colorazioni biancastre, generato dal deflusso 00:03:06.155 --> 00:03:08.074 di gas proveniente dal buco nero 00:03:08.074 --> 00:03:10.555 supermassiccio al centro della galassia. 00:03:10.555 --> 00:03:12.155 La ricerca che ha condotto alla 00:03:12.155 --> 00:03:14.340 creazione di questa nuova mappa celeste 00:03:14.340 --> 00:03:15.780 ha portato alla scoperta di circa 00:03:15.780 --> 00:03:19.219 500 nebulose planetarie, un numero insolitamente 00:03:19.219 --> 00:03:21.219 alto considerando che in media se 00:03:21.219 --> 00:03:22.900 ne individuano meno di 100 per 00:03:22.900 --> 00:03:24.340 le galassie al di fuori della 00:03:24.340 --> 00:03:25.060 Via Lattea. 00:03:27.685 --> 00:03:30.004 YouTube intensifica la sua guerra contro 00:03:30.004 --> 00:03:31.125 gli ad-blocker. 00:03:31.125 --> 00:03:32.644 Chi proverà a evitare gli annunci 00:03:32.644 --> 00:03:34.805 pubblicitari si troverà davanti a una 00:03:34.805 --> 00:03:37.125 schermata nera, della stessa durata di 00:03:37.125 --> 00:03:37.924 uno spot. 00:03:37.924 --> 00:03:40.019 L'obiettivo è scoraggiare l'uso di estensioni 00:03:40.019 --> 00:03:43.139 come uBlock Origin, attivate su browser 00:03:43.139 --> 00:03:45.299 come Chrome, Firefox e Brave. 00:03:45.299 --> 00:03:46.979 Negli ultimi giorni molti utenti hanno 00:03:46.979 --> 00:03:49.219 segnalato un rallentamento all'avvio dei video, 00:03:49.219 --> 00:03:50.979 con messaggi che richiamano a una 00:03:50.979 --> 00:03:53.060 pagina di supporto e suggerendo di 00:03:53.060 --> 00:03:55.473 disabilitare i blocchi per migliorare l'esperienza. 00:03:55.885 --> 00:03:59.245 Tecnicamente la piattaforma sembra rilevare l'assenza 00:03:59.245 --> 00:04:01.724 di pubblicità e ritarda volutamente il 00:04:01.724 --> 00:04:04.605 caricamento del video simulando un malfunzionamento. 00:04:04.764 --> 00:04:07.405 Il fenomeno, segnalato principalmente da molti 00:04:07.405 --> 00:04:09.560 utenti su Reddit, colpisce soprattutto i 00:04:09.560 --> 00:04:11.959 browser desktop, mentre non si manifesta 00:04:11.959 --> 00:04:14.919 in modalità incognito o su dispositivi mobili. 00:04:14.919 --> 00:04:17.079 Quindi pur non bloccando i contenuti, 00:04:17.079 --> 00:04:18.839 YouTube vuole rendere la visione con 00:04:18.839 --> 00:04:21.079 ad-blocker più lenta e frustrante, 00:04:21.134 --> 00:04:23.214 spingendo gli utenti a scegliere: 00:04:23.214 --> 00:04:25.535 disattivare il blocco o passare a 00:04:25.535 --> 00:04:26.495 YouTube Premium. 00:04:47.004 --> 00:04:47.884 In un mondo in cui, 00:04:47.884 --> 00:04:49.085 come abbiamo più e più volte 00:04:49.085 --> 00:04:52.205 potuto rendercene conto, l'intelligenza artificiale di 00:04:52.205 --> 00:04:54.285 qualsiasi tipo viene sempre più usata 00:04:54.285 --> 00:04:55.964 e spesso anche abusata per le 00:04:55.964 --> 00:04:58.205 più disparate attività, non possiamo non 00:04:58.205 --> 00:05:00.365 fermarci qualche minuto ad analizzare i 00:05:00.365 --> 00:05:02.210 rischi nascosti che l'uso massiccio di 00:05:02.210 --> 00:05:04.129 questa tecnologia sta comportando. 00:05:04.129 --> 00:05:05.650 E non stiamo parlando di rischi 00:05:05.650 --> 00:05:07.170 legati al mondo del lavoro o 00:05:07.170 --> 00:05:09.170 alla possibilità dei modelli di IA 00:05:09.170 --> 00:05:11.410 di commettere errori, ma ad altri 00:05:11.410 --> 00:05:13.330 tipi di rischi, ossia quelli legati 00:05:13.330 --> 00:05:16.095 a particolari attacchi informatici che colpiscono 00:05:16.095 --> 00:05:18.175 proprio le intelligenze artificiali. 00:05:18.175 --> 00:05:19.774 Questi attacchi prendono il nome di 00:05:19.774 --> 00:05:24.014 "attacchi avversari" o "adversarial attacks" e permettono, 00:05:24.014 --> 00:05:25.295 nel peggiore dei casi, 00:05:25.295 --> 00:05:27.615 di manipolare a proprio piacimento l'output 00:05:27.615 --> 00:05:29.535 di un modello IA con conseguenze 00:05:29.535 --> 00:05:32.410 che possono essere potenzialmente catastrofiche. 00:05:32.410 --> 00:05:34.410 In questa puntata dunque parleremo proprio 00:05:34.410 --> 00:05:36.410 di questi attacchi, di cosa sono 00:05:36.410 --> 00:05:38.089 di preciso, come si può tra 00:05:38.089 --> 00:05:40.569 virgolette "attaccare" un'intelligenza artificiale, 00:05:40.569 --> 00:05:42.649 dei rischi legati a questi attacchi, 00:05:42.649 --> 00:05:44.490 ma anche come ci si può difendere. 00:05:44.569 --> 00:05:47.529 Iniziamo dunque a introdurre gli adversarial attacks, 00:05:47.585 --> 00:05:50.705 dandone la definizione: gli attacchi avversari sono, 00:05:50.705 --> 00:05:51.585 come dice il nome, 00:05:51.585 --> 00:05:53.105 degli attacchi ai danni dei modelli 00:05:53.105 --> 00:05:55.745 di machine learning e delle reti neurali, 00:05:55.745 --> 00:05:57.425 su cui si basano praticamente tutte 00:05:57.425 --> 00:05:59.185 le IA in circolazione, 00:05:59.185 --> 00:06:01.665 con l'obiettivo primario di indurre questi 00:06:01.769 --> 00:06:03.930 sistemi a produrre degli output, 00:06:03.930 --> 00:06:05.930 dette anche previsioni, errate. 00:06:05.930 --> 00:06:08.250 La particolarità di questo tipo di attacchi, 00:06:08.250 --> 00:06:09.849 che li rendono anche per questo 00:06:09.849 --> 00:06:11.930 così tanto pericolosi, inoltre, 00:06:11.930 --> 00:06:13.129 è data dal fatto che gli 00:06:13.129 --> 00:06:15.209 errori prodotti non sono casuali, 00:06:15.209 --> 00:06:16.834 tanto meno frutto di bug dei 00:06:16.834 --> 00:06:18.834 sistemi IA, ma sono il risultato 00:06:18.834 --> 00:06:20.834 di studi e manipolazioni ai soli 00:06:20.834 --> 00:06:22.675 dati di input del modello. 00:06:22.754 --> 00:06:25.555 Facciamo un confronto con un algoritmo tradizionale: 00:06:25.634 --> 00:06:29.154 un'applicazione classica, come quelle che utilizziamo quotidianamente, 00:06:29.154 --> 00:06:30.915 a scapito di bug del software, 00:06:30.915 --> 00:06:33.009 può essere attaccata o sfruttando alcune 00:06:33.009 --> 00:06:35.330 vulnerabilità delle tecnologie utilizzate, 00:06:35.330 --> 00:06:37.569 o ottenendo accesso diretto al server 00:06:37.569 --> 00:06:40.530 per modificarne la logica o danneggiare l'infrastruttura. 00:06:40.689 --> 00:06:42.530 Vi è quindi bisogno di particolari 00:06:42.530 --> 00:06:44.850 conoscenze e abilità per riuscire in 00:06:44.850 --> 00:06:45.490 questo intento. 00:06:45.764 --> 00:06:47.045 Per un IA, invece, 00:06:47.045 --> 00:06:48.965 il discorso come abbiamo visto è 00:06:48.965 --> 00:06:50.805 ben diverso, in quanto in questo 00:06:50.805 --> 00:06:52.564 caso si tratta di riuscire a 00:06:52.564 --> 00:06:54.405 ingannare il sistema e per farlo 00:06:54.405 --> 00:06:56.485 è sufficiente manipolare dati, 00:06:56.485 --> 00:06:58.245 quelli di input, di cui abbiamo 00:06:58.245 --> 00:07:00.004 il pieno e libero controllo. 00:07:00.004 --> 00:07:02.620 È comunque doveroso specificare che queste 00:07:02.620 --> 00:07:04.939 manipolazioni di cui parliamo non sono 00:07:04.939 --> 00:07:06.779 sempre casuali, ma sono anche in 00:07:06.779 --> 00:07:08.620 questo caso frutto di studi, 00:07:08.620 --> 00:07:10.460 test e di una profonda conoscenza 00:07:10.460 --> 00:07:12.060 dei modelli utilizzati. 00:07:12.139 --> 00:07:13.660 Nella maggior parte dei casi, 00:07:13.660 --> 00:07:16.774 poi, queste manipolazioni potrebbero essere impercettibili 00:07:16.774 --> 00:07:19.175 per l'essere umano, rendendole per questo 00:07:19.175 --> 00:07:20.534 ancora più pericolose. 00:07:20.534 --> 00:07:22.294 Se volessimo fare un paragone con 00:07:22.294 --> 00:07:25.094 un'intelligenza naturale, come il cervello umano 00:07:25.094 --> 00:07:26.935 a cui le IA si ispirano, 00:07:26.935 --> 00:07:29.709 potremmo definire quindi gli attacchi avversari 00:07:29.709 --> 00:07:31.790 come delle illusioni che riescono a 00:07:31.790 --> 00:07:33.550 ingannare il cervello artificiale, 00:07:33.550 --> 00:07:35.389 tanto quanto le illusioni ottiche che 00:07:35.389 --> 00:07:37.709 spesso troviamo online riescono a ingannare 00:07:37.709 --> 00:07:38.830 la nostra mente. 00:07:38.990 --> 00:07:40.350 Attaccare un modello IA, 00:07:40.350 --> 00:07:41.949 quindi, è di base molto più 00:07:41.949 --> 00:07:44.750 semplice rispetto ad attaccare un'applicazione tradizionale, 00:07:44.985 --> 00:07:47.705 in quanto gli adversarial attacks sfruttano 00:07:47.705 --> 00:07:50.584 delle vulnerabilità, se così possiamo chiamarle, 00:07:50.584 --> 00:07:52.745 implicite nei modelli di machine learning, 00:07:52.745 --> 00:07:54.745 che sono impossibili da rimuovere proprio 00:07:54.745 --> 00:07:56.584 per la natura incerta su cui 00:07:56.584 --> 00:07:58.259 sono basati questi sistemi. 00:07:58.259 --> 00:08:00.020 E forse è anche per questo 00:08:00.020 --> 00:08:02.899 che nella letteratura scientifica esistono diversi 00:08:02.899 --> 00:08:04.819 articoli che parlano proprio di come 00:08:04.819 --> 00:08:07.860 i ricercatori sono riusciti a ingannare l'algoritmo, 00:08:07.939 --> 00:08:09.220 quali sono i metodi che sono 00:08:09.220 --> 00:08:11.220 stati utilizzati e le loro proposte 00:08:11.220 --> 00:08:13.514 per rendere i software basati sull'IA 00:08:13.514 --> 00:08:14.634 più resistenti. 00:08:14.795 --> 00:08:16.715 Vediamo quindi come funzionano a livello 00:08:16.715 --> 00:08:18.634 pratico gli attacchi avversari: 00:08:18.715 --> 00:08:20.955 innanzitutto bisogna introdurre il concetto di 00:08:20.955 --> 00:08:23.835 "black box", "white box" e "grey box". 00:08:23.835 --> 00:08:25.514 Quando si attacca una rete neurale 00:08:25.514 --> 00:08:28.074 è fondamentale conoscere quante più informazioni 00:08:28.074 --> 00:08:31.779 possibili sull'architettura utilizzata, i modelli coinvolti, 00:08:31.779 --> 00:08:33.779 i dataset e i parametri utilizzati 00:08:33.779 --> 00:08:34.740 per l'addestramento. 00:08:35.059 --> 00:08:36.660 Quando un attaccante ha la piena 00:08:36.660 --> 00:08:38.820 conoscenza di queste informazioni si parla 00:08:38.820 --> 00:08:40.419 di white box, che sono i 00:08:40.419 --> 00:08:41.379 casi meno frequenti. 00:08:41.754 --> 00:08:43.434 Al contrario, nella maggior parte dei 00:08:43.434 --> 00:08:44.794 casi ci troviamo di fronte a 00:08:44.794 --> 00:08:46.554 una situazione di black box, 00:08:46.634 --> 00:08:47.834 dove non ci è dato sapere 00:08:47.834 --> 00:08:50.394 alcuna informazione sul modello utilizzato. 00:08:50.394 --> 00:08:51.514 Come si può intuire, 00:08:51.514 --> 00:08:53.595 infine, la situazione grey box è 00:08:53.595 --> 00:08:55.834 una situazione intermedia, dove si conoscono 00:08:55.834 --> 00:08:58.670 parte delle informazioni, magari ricavate tramite 00:08:58.670 --> 00:09:01.549 studi sulle piattaforme, reverse engineering o 00:09:01.549 --> 00:09:02.750 con altre tecniche. 00:09:02.750 --> 00:09:04.190 Il primo passo è dunque avere 00:09:04.190 --> 00:09:05.629 piena conoscenza di ciò che si 00:09:05.629 --> 00:09:08.190 vuole attaccare, quindi trovarsi nella situazione 00:09:08.190 --> 00:09:09.149 delle white box. 00:09:09.485 --> 00:09:11.085 Solo ora si può procedere con 00:09:11.085 --> 00:09:13.725 la creazione di "adversarial examples", 00:09:13.725 --> 00:09:15.485 ossia gli input veri e propri. 00:09:15.485 --> 00:09:17.245 Per semplicità, nei prossimi esempi ci 00:09:17.245 --> 00:09:19.965 concentreremo su una specifica tipologia di IA, 00:09:19.965 --> 00:09:21.965 ossia quella del riconoscimento delle immagini. 00:09:22.309 --> 00:09:25.269 Sul web esistono diversi modelli di riconoscimento, 00:09:25.350 --> 00:09:27.829 open source e ampiamente utilizzati anche 00:09:27.829 --> 00:09:29.029 in contesti reali. 00:09:29.029 --> 00:09:31.269 Allo stesso modo esistono anche dataset 00:09:31.269 --> 00:09:33.509 prefabbricati per il loro addestramento. 00:09:33.509 --> 00:09:36.149 Ecco quindi che utilizzare esclusivamente sistemi 00:09:36.149 --> 00:09:37.725 di questo tipo ci porta allo 00:09:37.725 --> 00:09:40.125 scenario peggiore, quello white box, 00:09:40.125 --> 00:09:42.764 dove l'attaccante può scaricare il modello, 00:09:42.764 --> 00:09:45.164 addestrarlo e ottenere una copia quasi 00:09:45.164 --> 00:09:47.164 esatta del sistema ad attaccare. 00:09:47.245 --> 00:09:49.004 E qui entrano in gioco diversi 00:09:49.004 --> 00:09:51.490 algoritmi che partono proprio dalla rete 00:09:51.490 --> 00:09:53.809 neurale per generare in questo caso 00:09:53.809 --> 00:09:57.330 nell'immagine delle perturbazioni impercettibili o quasi 00:09:57.330 --> 00:09:59.250 all'occhio umano, ma che riescono a 00:09:59.250 --> 00:10:02.129 ingannare l'IA facendole produrre un output 00:10:02.129 --> 00:10:03.889 totalmente diverso da quello atteso. 00:10:04.174 --> 00:10:05.855 Solo per citarne alcuni tra i 00:10:05.855 --> 00:10:10.014 più utilizzati, DeepFool, FGSM o Fast 00:10:10.014 --> 00:10:13.934 Gradient Sign Method, PGD o Project 00:10:13.934 --> 00:10:18.254 Gradient Descent, BIM o Basic Interactive 00:10:18.254 --> 00:10:19.615 Method e molti altri, 00:10:19.879 --> 00:10:22.519 spesso varianti di questi algoritmi principali. 00:10:22.600 --> 00:10:24.200 Nella maggior parte dei casi questi 00:10:24.200 --> 00:10:26.360 software introducono, come dicevamo, 00:10:26.360 --> 00:10:29.000 delle perturbazioni, che vanno dalla modifica 00:10:29.000 --> 00:10:30.440 del colore di alcuni pixel, 00:10:30.440 --> 00:10:32.360 all'aggiunta di una sorta di trama 00:10:32.360 --> 00:10:34.039 e persino alla modifica di un 00:10:34.039 --> 00:10:35.320 solo singolo pixel. 00:10:35.434 --> 00:10:37.274 E tutti questi hanno dei tassi 00:10:37.274 --> 00:10:39.595 di successo particolarmente elevati in una 00:10:39.595 --> 00:10:41.034 situazione white box. 00:10:41.034 --> 00:10:43.274 A questo punto è ragionevole pensare che, 00:10:43.274 --> 00:10:45.115 trovandoci nella situazione ideale, 00:10:45.115 --> 00:10:47.674 gli attaccanti non abbiano possibilità contro 00:10:47.674 --> 00:10:50.200 situazioni black box più realistiche. 00:10:50.279 --> 00:10:51.960 La risposta la possiamo trovare anche 00:10:51.960 --> 00:10:54.519 in questo caso nella letteratura scientifica, 00:10:54.600 --> 00:10:57.559 aprendo il capitolo della trasferibilità degli attacchi. 00:10:57.559 --> 00:10:58.759 Cosa significa? 00:10:58.759 --> 00:10:59.799 Come dice il nome, 00:10:59.799 --> 00:11:02.519 un attacco trasferibile è un input avversario, 00:11:02.519 --> 00:11:04.519 generato per uno specifico modello, 00:11:04.519 --> 00:11:05.955 ma che riesce ad attaccare con 00:11:05.955 --> 00:11:08.115 successo anche altre reti neurali. 00:11:08.115 --> 00:11:10.035 Come possiamo immaginare, questo porta con 00:11:10.035 --> 00:11:11.715 sé una serie di implicazioni e 00:11:11.715 --> 00:11:14.434 criticità nella sicurezza informatica attuale. 00:11:14.434 --> 00:11:16.355 Un potenziale attaccante, infatti, 00:11:16.355 --> 00:11:18.355 non ha bisogno di conoscere perfettamente 00:11:18.355 --> 00:11:20.434 il sistema IA che vuole attaccare, 00:11:20.730 --> 00:11:22.809 ma può sfruttare un modello simile, 00:11:22.809 --> 00:11:25.690 chiamato surrogato, per generare attacchi dalla 00:11:25.690 --> 00:11:27.929 buona probabilità di successo sul sistema 00:11:27.929 --> 00:11:28.809 della vittima. 00:11:28.889 --> 00:11:31.370 Esistono poi tutta una serie di attacchi, 00:11:31.370 --> 00:11:33.690 diciamo "stupidi", che prevedono la semplice 00:11:33.690 --> 00:11:37.845 alterazione dell'immagine utilizzando filtri comuni come rotazioni, 00:11:37.845 --> 00:11:40.004 cambiamenti di colori, aggiunta di trame 00:11:40.004 --> 00:11:42.165 o di punti bianchi e neri sparsi. 00:11:42.245 --> 00:11:44.725 Chiaramente questi attacchi sono meno sofisticati 00:11:44.725 --> 00:11:46.965 e molto più visibili all'occhio umano, 00:11:47.045 --> 00:11:48.884 ma è stata comunque dimostrata la 00:11:48.884 --> 00:11:50.565 loro efficacia in diversi casi. 00:11:50.889 --> 00:11:52.730 Prendiamo come esempio un IA che 00:11:52.730 --> 00:11:54.649 riconosce immagini di nudo ai fini 00:11:54.649 --> 00:11:56.409 della moderazione di un social. 00:11:56.409 --> 00:11:58.009 Applicando un filtro come il cambio 00:11:58.009 --> 00:11:59.769 del colore della pelle da rosa 00:11:59.769 --> 00:12:01.370 a verde, è possibile che il 00:12:01.370 --> 00:12:03.049 sistema non riesca più a identificare 00:12:03.049 --> 00:12:04.889 i soggetti come persone e ne 00:12:04.889 --> 00:12:06.329 permetta quindi la pubblicazione. 00:12:06.845 --> 00:12:08.605 I rischi dunque non si fermano qui, 00:12:08.605 --> 00:12:10.444 e possiamo fare numerosi esempi di 00:12:10.444 --> 00:12:13.004 come gli attacchi avversari possono rappresentare 00:12:13.004 --> 00:12:14.845 un grande pericolo per tutti noi. 00:12:14.845 --> 00:12:16.524 La moderazione di un social è 00:12:16.524 --> 00:12:19.245 sicuramente uno dei possibili target di attacco, 00:12:19.245 --> 00:12:21.340 dove si cerca di ingannare l'algoritmo 00:12:21.340 --> 00:12:23.740 per poter pubblicare contenuti illeciti o 00:12:23.740 --> 00:12:25.899 far passare messaggi d'odio come neutri 00:12:25.899 --> 00:12:26.860 o positivi. 00:12:26.940 --> 00:12:28.059 Tuttavia, in questo caso, 00:12:28.059 --> 00:12:30.379 le ripercussioni non sono in generale 00:12:30.379 --> 00:12:31.500 particolarmente gravi. 00:12:31.855 --> 00:12:33.774 Al contrario, in settori come la 00:12:33.774 --> 00:12:36.014 guida autonoma, la medicina o in 00:12:36.014 --> 00:12:37.774 sistemi di sicurezza o di sorveglianza, 00:12:37.774 --> 00:12:40.174 le conseguenze possono essere gravissime, 00:12:40.174 --> 00:12:41.215 sia in modo diretto, 00:12:41.215 --> 00:12:43.535 con incidenti, violazioni di accessi e 00:12:43.535 --> 00:12:45.830 molto altro, sia in modo indiretto, 00:12:45.830 --> 00:12:47.429 con la perdita completa di fiducia 00:12:47.429 --> 00:12:48.629 nei sistemi di IA, 00:12:48.629 --> 00:12:49.990 che invece possono e si stanno 00:12:49.990 --> 00:12:53.029 dimostrando utili in molteplici applicazioni e campi. 00:12:53.029 --> 00:12:54.470 Facciamo un esempio per ognuno di 00:12:54.470 --> 00:12:55.350 questi settori. 00:12:55.350 --> 00:12:57.190 Per quanto riguarda la guida autonoma, 00:12:57.190 --> 00:12:58.789 i sistemi di IA hanno bisogno 00:12:58.789 --> 00:13:01.324 di osservare l'ambiente circostante per riconoscere 00:13:01.324 --> 00:13:03.004 cartelli e segnali stradali, 00:13:03.004 --> 00:13:05.164 persone, altre auto o ostacoli. 00:13:05.164 --> 00:13:07.404 Ma cosa succederebbe se l'auto scambiasse 00:13:07.404 --> 00:13:09.084 un segnale di stop come un 00:13:09.084 --> 00:13:10.204 limite di velocità? 00:13:10.204 --> 00:13:11.804 In uno dei principali esempi che 00:13:11.804 --> 00:13:13.804 vengono spesso citati, la presenza di 00:13:13.804 --> 00:13:16.250 un foglietto giallo sul segnale di stop, 00:13:16.250 --> 00:13:18.169 posizionato in un determinato modo, 00:13:18.169 --> 00:13:21.049 produce allucinazioni nel sistema di riconoscimento. 00:13:21.129 --> 00:13:22.889 Allo stesso modo si possono alterare 00:13:22.889 --> 00:13:25.129 le marcature nelle corsie o introdurre 00:13:25.129 --> 00:13:26.970 segnali che ingannano i radar. 00:13:26.970 --> 00:13:29.850 È chiaro che le conseguenze sarebbero catastrofiche. 00:13:30.125 --> 00:13:32.125 Nel caso della medicina questo settore 00:13:32.125 --> 00:13:33.964 è decisamente più controllato, 00:13:33.964 --> 00:13:35.565 ma un IA potrebbe essere ingannata 00:13:35.565 --> 00:13:38.044 a diagnosticare problematiche in modo errato. 00:13:38.044 --> 00:13:39.804 Per questo motivo nel settore medico 00:13:39.804 --> 00:13:41.164 l'IA non dovrà e non potrà 00:13:41.164 --> 00:13:42.684 mai sostituirsi al medico, 00:13:42.684 --> 00:13:44.684 quanto più supportarlo nelle decisioni. 00:13:44.980 --> 00:13:46.420 Per quanto riguarda la sicurezza, 00:13:46.420 --> 00:13:48.980 invece, esistono sistemi di sicurezza basati 00:13:48.980 --> 00:13:52.660 sull'intelligenza artificiale per riconoscere malware o attacchi. 00:13:52.740 --> 00:13:54.179 Anche in questo caso un attacco 00:13:54.179 --> 00:13:56.980 avversario potrebbe eludere questi sistemi e 00:13:56.980 --> 00:13:59.220 ottenere accessi non autorizzati con tutti 00:13:59.220 --> 00:14:00.179 i rischi correlati. 00:14:00.485 --> 00:14:02.404 Parlando di IA generativa, 00:14:02.404 --> 00:14:04.165 invece, esistono anche in questo caso 00:14:04.165 --> 00:14:06.165 diversi studi per effettuare quello che 00:14:06.165 --> 00:14:07.684 si chiama "jailbreak". 00:14:07.685 --> 00:14:09.845 In sostanza si tratta di prompt 00:14:09.845 --> 00:14:12.245 costruiti con l'obiettivo di ottenere dai 00:14:12.245 --> 00:14:14.805 modelli generativi delle risposte che normalmente 00:14:14.805 --> 00:14:15.845 verrebbero bloccate. 00:14:16.169 --> 00:14:18.330 Tra gli esempi, grazie ai jailbreak, 00:14:18.330 --> 00:14:20.649 possiamo chiedere all'IA come compiere atti 00:14:20.649 --> 00:14:23.210 illegali o di generare contenuti contenenti 00:14:23.210 --> 00:14:24.169 parole d'odio. 00:14:24.169 --> 00:14:25.129 E in un mondo in cui 00:14:25.129 --> 00:14:27.289 le intelligenze artificiali stanno sempre più 00:14:27.289 --> 00:14:29.704 evolvendo in soluzioni agentiche, 00:14:29.704 --> 00:14:31.625 dove i contenuti vengono integrati da 00:14:31.625 --> 00:14:33.544 Internet o da sistemi RAG, 00:14:33.544 --> 00:14:36.264 è potenzialmente possibile inserire in modo 00:14:36.264 --> 00:14:39.384 incontrollato codici e comandi all'interno delle 00:14:39.384 --> 00:14:41.625