OpenAI ha annunciato GPT-5.4-Cyber, un modello addestrato specificamente per supportare chi difende reti e sistemi digitali. L’arrivo coincide con una fase in cui il settore si interroga su quanto l’IA possa essere al contempo scudo e arma, e la tempistica non è casuale.
Solo la settimana scorsa Anthropic aveva presentato Claude Mythos Preview con toni decisamente allarmistici, limitandone il rilascio a un circuito privato per il timore che potesse essere sfruttato da attori malevoli. Anthropic aveva anche promosso una coalizione industriale, con Google tra i partecipanti, per affrontare le ricadute dell’IA generativa sulla cybersecurity. OpenAI ha scelto una strada diversa sul piano comunicativo, smorzando i toni catastrofici e sottolineando come le attuali misure di protezione siano sufficienti a gestire i rischi associati ai modelli correnti, pur riconoscendo che in futuro serviranno difese più robuste man mano che le capacità dei modelli cresceranno.
La strategia di OpenAI si articola su tre pilastri. Il primo riguarda sistemi di validazione ispirati al principio del “know your customer”, pensati per garantire un accesso controllato ma il più ampio possibile ai nuovi modelli, evitando decisioni arbitrarie su chi possa utilizzarli legittimamente. A tal fine è stato introdotto il programma Trusted Access for Cyber, operativo da febbraio. Il secondo pilastro è il rilascio iterativo, un approccio graduale che consente di raccogliere feedback dal mondo reale e rafforzare la resistenza a jailbreak e attacchi avversari. Il terzo si concentra sugli investimenti a sostegno della sicurezza software, includendo iniziative come il programma di grant avviato nel 2023, la donazione alla Linux Foundation e il lancio, il mese scorso, di Codex Security, un agente di sicurezza applicativa basato su IA.
GPT-5.4-Cyber è disponibile esclusivamente per operatori di sicurezza autenticati e di livello superiore all’interno del programma Trusted Access. Un dettaglio che suggerisce come anche OpenAI, al di là della retorica sulla democratizzazione, riconosca la necessità di perimetri di accesso ben definiti quando si tratta di strumenti potenzialmente sensibili.
Il confronto tra le due aziende riflette una tensione più profonda che attraversa l’intero settore. Da un lato c’è chi teme che enfatizzare eccessivamente i rischi dell’IA nella cybersecurity finisca per consolidare il potere nelle mani di pochi grandi operatori tecnologici, alimentando una narrazione che marginalizza ricercatori indipendenti e comunità open source. Dall’altro, è innegabile che l’era dell’IA agentica stia ampliando la superficie di attacco a ritmi difficili da assorbire, rendendo vulnerabilità già note molto più sfruttabili su larga scala. La risposta più equilibrata probabilmente non sta né nel panico né nella minimizzazione, ma nella costruzione di strumenti difensivi accessibili e in una governance trasparente. Il rischio vero, altrimenti, è che la sicurezza informatica diventi un privilegio riservato a chi può permettersi il livello di accesso più alto.
Per approfondire: link all’articolo originale
