Le chiavi erano già nella serratura

La notizia dice che alcuni hacker hanno preso il controllo di diversi account Instagram, compreso uno legato alla Casa Bianca dell’amministrazione Obama, sfruttando una vulnerabilità dell’assistente AI di Meta.

Confesso che ogni volta che leggo la parola hacker mi viene un leggero prurito alle mani. Conoscete quel prurito “voglia di dare schiaffi a due a due finché non diventano dispari”? Proprio quello.

Perché hacker era il ragazzino che smontava il computer per capire come funzionava.
Hacker era chi modificava un programma per farlo funzionare meglio.
Hacker era chi cambiava le batterie di un vecchio regolabarba invece di buttarlo e comprarne uno nuovo.

Quelli che hanno sfruttato una vulnerabilità per impadronirsi di account altrui hanno un nome diverso. Più preciso. Meno romantico. Molto meno romantico.

Ma, a dire il vero, non è nemmeno questo il punto interessante della storia.

Perché la domanda non è come abbiano fatto a entrare.

La domanda è perché la porta fosse aperta.

Secondo le ricostruzioni, gli attaccanti non hanno bucato server, decifrato password o utilizzato tecniche da film hollywoodiano tipo 007 o Mission Impossible. Hanno semplicemente convinto un chatbot a modificare l’indirizzo email associato a un account. Una volta cambiata la mail, reimpostare la password è diventato un dettaglio.

Detta così sembra quasi una storia di fantascienza.

In realtà è una storia di burocrazia. E, per certi versi, una storia molto più interessante.

Per anni abbiamo utilizzato i computer per automatizzare attività ripetitive.

Calcoli.
Archivi.
Prenotazioni.
Fatture.
Appuntamenti.

Adesso stiamo facendo qualcosa di diverso: stiamo automatizzando decisioni.

E soprattutto autorizzazioni.

Non chiediamo più ai sistemi informatici di eseguire un compito.

Gli chiediamo di stabilire se una persona può fare qualcosa oppure no.
Se può accedere.
Se può modificare.
Se può acquistare.
Se può ottenere un rimborso.
Se può recuperare un account.
Se può entrare.
Se deve restare fuori.

È una differenza sottile ma enorme.

Un foglio elettronico non decide nulla.

Un assistente digitale che può modificare l’email associata a un account sta già esercitando una forma di autorità.

E qui arriva il paradosso.

Se un impiegato autorizza una modifica senza effettuare le verifiche necessarie, qualcuno può chiedergli conto della decisione.

Se la stessa operazione viene effettuata da un chatbot, la responsabilità tende a dissolversi.

Non è colpa dell’algoritmo.
Non è colpa dell’intelligenza artificiale.
Non è colpa dell’utente.
Non è colpa dell’operatore.

È successo.

Che è una delle espressioni più pericolose dell’era digitale.

Perché le cose non “succedono“.

Qualcuno le progetta.
Qualcuno le approva.
Qualcuno decide quali poteri affidare a una macchina e quali mantenere sotto controllo umano.

Gli attaccanti hanno fatto quello che fanno da sempre: cercare una falla e sfruttarla.

La vera notizia è che quella falla esisteva.

E che qualcuno aveva ritenuto ragionevole affidare a un chatbot il compito di custodire le chiavi di casa.

Forse il problema non è che le macchine stiano diventando troppo intelligenti.

Forse il problema è che noi stiamo diventando troppo disinvolti nel consegnare loro responsabilità che, fino a pochi anni fa, pretendevano una persona in carne e ossa.

Speranza-1, dopo aver riflettuto qualche secondo sulla vicenda, è tornata a trafficare con il vecchio regolabarba.

Cambiare due batterie è un lavoro da hacker.

Consegnare le chiavi di casa a un chatbot, invece, è un’altra cosa.

E sicuramente ha anche un altro nome.