Le barriere di sicurezza dell'IA ostacolano la ricerca offensiva sulla cybersecurity, dicono i ricercatori

Un nuovo rapporto rivela che le barriere di sicurezza dell'IA implementate da aziende come OpenAI e Anthropic stanno ostacolando il lavoro dei ricercatori offensivi di cybersecurity. Questi ricercatori, che cercano vulnerabilità sconosciute e sviluppano strumenti per sfruttarle, affermano che le restrizioni di sicurezza sui modelli di IA limitano la loro capacità di testare e migliorare i sistemi di sicurezza.

I ricercatori interessati sono quelli specializzati in cybersecurity offensiva, nota anche come hacking etico o penetration testing. Il loro lavoro consiste nel trovare difetti nel software e nelle reti prima che gli attori malintenzionati possano sfruttarli. Tuttavia, quando utilizzano modelli di IA per assistere in questo lavoro, spesso incontrano barriere che bloccano o limitano le loro richieste, rallentando la loro ricerca.

Questo è importante perché la ricerca offensiva sulla cybersecurity è fondamentale per identificare e correggere le vulnerabilità. Se i ricercatori non possono utilizzare efficacemente gli strumenti di IA, i sistemi potrebbero rimanere più esposti ad attacchi reali. Le barriere, progettate per prevenire abusi, stanno inavvertitamente impedendo il lavoro di sicurezza legittimo.

Secondo il rapporto, i ricercatori hanno riferito che i modelli di IA si sono rifiutati di generare codice per exploit o di fornire informazioni su vulnerabilità note, anche quando l'intento era difensivo. Esempi specifici includono modelli che bloccano richieste di codice proof-of-concept o tecniche utilizzate nei penetration test. Il rapporto non ha fornito numeri esatti ma ha evidenziato molteplici casi in cui le barriere hanno interferito con la ricerca.

Il contesto di questo problema è la tensione in corso tra sicurezza e utilità dell'IA. Aziende come OpenAI e Anthropic hanno implementato barriere per impedire che i loro modelli vengano utilizzati per scopi dannosi, come la generazione di malware o l'assistenza a cyberattacchi. Tuttavia, queste stesse restrizioni possono colpire la ricerca di sicurezza legittima.

Guardando al futuro, il rapporto suggerisce che le aziende di IA potrebbero dover sviluppare barriere più sfumate in grado di distinguere tra usi malevoli e difensivi. Alcuni ricercatori chiedono accesso speciale o API per professionisti della sicurezza verificati. Senza cambiamenti, l'efficacia della ricerca offensiva sulla cybersecurity potrebbe essere compromessa, aumentando potenzialmente il rischio che vulnerabilità non scoperte vengano sfruttate da attori malintenzionati.