Furto d’Identità dei Modelli AI: Come un Difetto di Nomenclatura ha Aperto Backdoor su Google e Microsoft

Un Cavallo di Troia nella Supply Chain dell’AI

Immagina se cambiare il nome sulla cassetta della posta permettesse a chiunque di trasferirsi e inviare posta come il precedente proprietario. È questa, in sostanza, la trappola digitale scoperta dai ricercatori di Unit 42 di Palo Alto Networks, che hanno rilevato come un difetto nel modo in cui i modelli AI vengono nominati e referenziati possa consentire agli aggressori di impersonare modelli affidabili su alcune delle più grandi piattaforme AI al mondo.

La Falla del Model Namespace Reuse: Cosa è Andato Storto?

I modelli AI-i potenti motori dietro chatbot, riconoscimento immagini e molto altro-vengono spesso condivisi e riutilizzati tramite piattaforme come Hugging Face, Google Vertex AI e Microsoft Azure AI Foundry. Ogni modello ha un “namespace” unico, solitamente strutturato come Autore/NomeModello. Ma, come ha rivelato il team Unit 42, questi nomi possono diventare disponibili per chiunque se il creatore originale elimina il proprio account o trasferisce il modello. Un aggressore può quindi caricare un modello malevolo con lo stesso nome. Poiché molti sistemi degli sviluppatori scaricano i modelli automaticamente basandosi solo sul nome, si apre così una porta spalancata agli attacchi alla supply chain.

Dirottamenti in Azione: Lezioni dal Passato

La dimostrazione di Unit 42 non è stata solo teorica: hanno effettivamente preso il controllo di un nome di modello ancora utilizzato dalle piattaforme AI di Google e Microsoft, ottenendo accesso remoto. Questo richiama attacchi passati alla supply chain del software, come il “repo-jacking”, in cui gli aggressori prendono il controllo di nomi di progetti abbandonati per distribuire malware. Come ha detto Garrett Calpouzos di Sonatype a HackRead.com, si tratta di “repo-jacking con un altro nome”, una tattica già nota agli esperti di sicurezza software. Piattaforme come npm e PyPI hanno introdotto pacchetti “security-holding” per prevenire attacchi simili, ma il mondo dell’AI sta solo ora recuperando terreno.

Le Poste in Gioco: Dal Codice alla Geopolitica

Con i modelli AI che alimentano sempre più settori, dalla finanza alla sanità, le conseguenze di una simile falla non sono solo tecniche, ma potenzialmente geopolitiche. Un modello compromesso potrebbe rubare dati, sabotare operazioni o persino manipolare risultati in sistemi critici. Secondo il rapporto di Unit 42, migliaia di progetti open source potrebbero essere a rischio, e la minaccia è globale.

Come Difendersi dagli Intrusi Invisibili

La soluzione, seppur semplice in teoria, richiede un cambiamento culturale nel modo in cui gli sviluppatori gestiscono i modelli AI. Gli esperti consigliano di “fissare” i modelli a una versione specifica e immutabile-come bloccare il software a una copia affidabile, invece di lasciarlo scaricare sempre la versione più recente. Conservare internamente modelli accuratamente verificati, invece di scaricarli costantemente da internet, può essere d’aiuto. La lezione è chiara: il nome di un modello non è garanzia di sicurezza, e tutti nella supply chain dell’AI devono aumentare la vigilanza.

Conclusione

La vulnerabilità Model Namespace Reuse è un campanello d’allarme per l’industria AI: fidarsi, ma verificare. Mentre i confini tra codice, dati e identità si fanno sempre più sfumati, solo una combinazione di cautela e rigore tecnico potrà tenere lontana la prossima ondata di cavalli di Troia dell’AI.