IA e CONFLITTI: “STIAMO GIOCANDO CON IL FUOCO”. Intervista ad ALBERTO PAGANI

🇮🇹 Da Minab allo spionaggio cyber, fino all’allarme lanciato dagli stessi ricercatori dell’IA: la macchina calcola, ma la linea rossa tra prudenza ed efficienza la tracciano gli uomini. “Nessuno ha l’autorità per normarla: il diritto internazionale si basa sul consenso, e quindi bisogna convincere”.

🇬🇧 From Minab to cyber espionage, to the alarm raised by AI researchers themselves: machines calculate, but the red line between caution and efficiency is drawn by humans. “No one has the authority to regulate it: international law rests on consent, so we have to persuade”.

Settembre 2026. Jacob Coxon, ricercatore che ha trascorso tre anni tra OpenAI e Anthropic, si dimette con un’accusa pubblica: entrambe le aziende procedono in modo imprudente nella corsa verso una superintelligenza capace di auto-migliorarsi. Evan Hubinger, responsabile della ricerca sull’allineamento di Anthropic, gli dà ragione e ammette che un piano per garantire il controllo di questi sistemi ancora non esiste. L’allarme non viene da critici esterni, ma da chi quei sistemi li costruisce. Negli stessi giorni Anthropic documenta l’impiego dei propri modelli in un’operazione di spionaggio compatibile con un gruppo che Washington collega all’Intelligence russa. Sul campo di battaglia, Minab: il 28 febbraio un missile statunitense colpisce una scuola elementare, oltre 150 vittime tra cui 120 scolari. I sistemi di targeting segnalavano dati obsoleti; l’avviso è stato ignorato, in nome della rapidità. Il 17 settembre la Missione d’inchiesta indipendente delle Nazioni Unite sull’Iran indica fondati motivi per ritenere che l’attacco configuri un crimine di guerra. Washington ne respinge le conclusioni. Laboratori, dominio cyber, teatri operativi. Lo schema si ripete: segnali di rischio sottovalutati, controlli che non tengono il passo, competizione che prevale sulle regole. Ne parliamo con Alberto Pagani, docente, advisor e socio fondatore SOCINT.

A Minab, secondo le ricostruzioni di New York Times e CNN, le coordinate derivavano da dati non aggiornati della Defense Intelligence Agency, e i database di targeting, compreso MARS, basato sull’IA, ne segnalavano l’obsolescenza. Dopo l’attacco si è parlato di errore dell’intelligenza artificiale. Ha ancora senso porre il problema in termini di rischio tecnologico, o la vera vulnerabilità è il rapporto uomo-macchina?

Le macchine non ragionano: calcolano. Non hanno sentimenti, non provano pietà né paura; sono strumenti. Un martello non è buono o cattivo in sé: può piantare un chiodo o colpire la testa di uno sventurato. Decide chi lo impugna, e può farlo con prudenza e perizia oppure in modo incosciente e sciagurato; la colpa, però, non sarà mai del martello. Un sistema di targeting basato sull’IA processa milioni di dati in pochi secondi, secondo prescrizioni e regole stabilite dall’uomo. È l’uomo a tracciare la linea rossa tra prudenza ed efficienza.

Nei primi quattro giorni di operazioni contro l’Iran sarebbero stati colpiti quasi duemila obiettivi. Secondo fonti ufficiali statunitensi, l’IA ha elaborato le informazioni e assistito gli analisti nell’individuazione dei bersagli. L’intelligenza artificiale genera obiettivi più velocemente di quanto sia umanamente possibile verificarli?

Inevitabilmente: integra un’infinità di dati in pochissimo tempo, e la mente umana non può tenere il passo. L’uomo può insegnare all’IA le regole d’ingaggio con cui analizzare i dati e proporre soluzioni. Il processo, però, non è percorribile a ritroso: non si può ricostruire se e dove l’IA abbia sbagliato. Per questo i meccanismi di verifica e di controllo incrociato vanno costruiti dentro il processo, non collocati a posteriori.

Il rischio dei database non aggiornati non è nuovo: già nel 1999 il bombardamento dell’ambasciata cinese a Belgrado fu attribuito a una mappa obsoleta. L’IA sposta il punto critico del ciclo intelligence dall’analisi alla manutenzione delle basi informative? E quali competenze servono oggi a un analista per valutare criticamente l’output di un algoritmo?

L’analista non è un mago né un indovino. Se i database sono sporchi, non può ripulirli. Può esercitare a valle tutti i controlli possibili, ma la responsabilità principale resta a monte, in capo a chi le basi informative le gestisce e ne cura la manutenzione. I sistemi di IA attingono a moltissime fonti, militari e civili, da cui estraggono i dati grezzi che compongono il quadro informativo. Sono fonti tenute da soggetti diversi, alcuni con grande perizia, altri con superficialità. Un esempio? Lo SDI, la banca dati del Ministero dell’Interno, è alimentato da una miriade di fonti, non tutte accurate. Si denuncia il furto dell’auto e la targa risulta rubata. Poi l’auto ricompare, perché era soltanto parcheggiata altrove, ma per imbarazzo la denuncia non viene ritirata. Da quel momento, a ogni varco con lettura automatica delle targhe, il proprietario risulta alla guida di un veicolo rubato e deve essere fermato come presunto ladro della propria auto. Qui il malinteso si chiarisce con la Polizia, che certamente non spara senza aver prima identificato la persona. Ma se accadesse in una zona di guerra, dove le autobombe sono all’ordine del giorno?

Nelle dottrine occidentali la decisione di colpire spetta a un operatore umano. In una recente intervista lei ha osservato che la mole e la velocità dei dati rischiano di ridurlo a un “timbro di gomma”, che si affida al sistema senza reale verifica critica. A quali condizioni il controllo umano è effettivo e non solo formale? E il principio del “controllo umano significativo” è traducibile in una norma verificabile?

Non credo che il problema sia risolvibile del tutto. In guerra la velocità può fare la differenza tra vivere e morire. Se un sistema automatico decide in una frazione di secondo come rispondere a una minaccia, mentre il soldato morirebbe prima di aver finito di valutarla, è ovvio che si affiderà ciecamente alla macchina. Occorre allora distinguere per casi d’impiego, come avviene in altri ambiti. Il pilota di un drone d’attacco opera al sicuro dentro un container in Arizona, mentre il velivolo sorvola il teatro operativo e una macchina lo supporta nel targeting: a lui spetta sempre un controllo accurato prima di premere il pulsante. Ma se quel container si trova in zona di guerra e il radar intercetta un missile destinato a colpirlo entro pochi secondi, la priorità diventa salvare la vita dei soldati. Conviene, allora, affidare la risposta a un sistema autonomo di controllo del tiro: un “cervello” radar e informatico interno al sistema d’arma, che rileva la minaccia, ne calcola la traiettoria balistica, designa automaticamente il bersaglio e indica con quale arma colpirlo. Lo stesso criterio andrebbe applicato all’intelligenza artificiale, dove però tutto diventa più complesso.

Nel dibattito pubblico si sovrappongono tre fenomeni: le armi autonome letali, capaci di selezionare e colpire bersagli senza intervento umano; i sistemi di supporto alle decisioni, che suggeriscono obiettivi a chi decide; l’IA nella guerra cognitiva. Quale rappresenta oggi la minaccia più immediata per l’Italia e l’Europa?

Nessuno dei tre. La minaccia risiede in chi utilizza questi sistemi e ne stabilisce le regole d’ingaggio. Sono tutti strumenti potenti, impiegabili con prudenza o in modo sciagurato; con la loro potenza cresce la minaccia che ne discende, e con essa il rischio. Si pensi all’IA nella guerra cognitiva. Può generare deepfake per alimentare l’odio e produrre disgregazione e conflittualità sociale in un Paese avversario. Oppure può analizzare un attacco coordinato da un Paese ostile, ricostruirne forma e narrativa e tentare di neutralizzarlo con una contronarrativa. Sono attività simili nella forma, ma radicalmente diverse nella sostanza.

In un’intervista a QN lei ha indicato tassi di errore tra il 2 e il 5% in contesti strutturati e oltre il 10-20% in ambiente urbano. Nel 2024 fonti dell’Intelligence israeliana attribuivano al sistema Lavender, impiegato a Gaza, un’accuratezza del 90%, a fronte di una revisione umana minima. Su quali basi si costruiscono queste stime? E come si misura l’affidabilità di un sistema quando i dati di riscontro sono classificati?

Un dato classificato non è pubblico, ma resta utilizzabile dall’Intelligence per i riscontri necessari a verificare l’accuratezza degli strumenti. Quanto al merito, un’accuratezza del 90% è superiore alla media delle analisi umane, che al rischio di errore aggiungono i bias cognitivi di analisti e decisori. Un termine di paragone aiuta: in Italia la percentuale di errori giudiziari che portano in carcere degli innocenti supera il 10%.

Il documentario Naza, di Yuval Abraham e Rachel Szor, raccoglie ventiquattro testimonianze anonime di ufficiali e soldati israeliani. Nel gergo operativo, NAZA indica i civili uccisi come danno collaterale di un attacco a un obiettivo. Quale valore probatorio può attribuire un analista a testimonianze anonime?

Non credo sia questo il punto centrale. Partirei da un fatto su cui credo siamo tutti d’accordo: la guerra è orribile, perché muoiono sempre degli innocenti. I miei nonni mi raccontavano dei civili uccisi dai bombardamenti inglesi e americani durante la Seconda guerra mondiale. Eppure non hanno mai saltato un 25 aprile: festeggiavano la liberazione dalla dittatura nazifascista, anche se era costata un prezzo alto in vittime innocenti. Oggi ci spaventa che sia una macchina a calcolare la percentuale dei danni collaterali. Ma i danni collaterali ci sono sempre stati, in tutte le guerre: prima si calcolavano a occhio.

E se un algoritmo stima quanti civili si trovano vicino a un obiettivo, chi risponde della soglia di vittime ritenuta accettabile: chi progetta il sistema, l’analista o il comandante?

È un problema drammatico, che investe la dottrina militare di tutte le Forze armate del mondo: stabilire a monte quando un certo numero di vittime civili sia da considerare accettabile come danno collaterale di un attacco. Non è un caso che organizzazioni terroristiche come Hamas collochino i propri centri di comando negli ospedali o negli asili. Sono organizzazioni che non attribuiscono alcun valore alla vita dei civili e semmai ne usano la sofferenza come strumento di propaganda. Il nemico viene così posto davanti a un’alternativa: rinunciare all’attacco per non uccidere innocenti, oppure attaccare comunque e consegnare le vittime civili alla loro strumentalizzazione.

Lei ha proposto pause obbligatorie nei sistemi di comando e controllo, concordate a livello internazionale, perché la velocità delle macchine non scavalchi la diplomazia. Nel nucleare gli accordi si reggono su ispezioni e verifiche; nel novembre 2024 Stati Uniti e Cina hanno dichiarato congiuntamente che la decisione sull’impiego dell’arma atomica deve restare sotto controllo umano. Per un software, quale sarebbe l’equivalente di un regime di verifica?

Nel software una verifica analoga a quella nucleare è, purtroppo, materialmente impossibile. L’algoritmo è opaco, mutevole, privo di tracciabilità fisica. Verificarlo richiederebbe tre condizioni: l’accesso al codice sorgente, che nessuna potenza concederebbe mai; una certificazione continua, di fatto inattuabile; una standardizzazione internazionale vincolante, che non esiste. Nel nucleare il sistema regge perché la deterrenza è simmetrica, fondata sulla mutua vulnerabilità. La dottrina atomica si basava sulla Mutua Distruzione Assicurata, e non a caso l’acronimo scelto fu MAD, “pazzo” in inglese. Nell’IA militare questa simmetria manca: gli incentivi competitivi restano superiori ai vantaggi della verifica.

La dichiarazione sino-americana è la base per un’intesa più ampia, o resta priva di effetti operativi?

Resta un principio simbolico, senza struttura operativa. Non è vincolante, non contiene una definizione condivisa di “controllo umano”, è bilaterale ed è sprovvista di meccanismi di verifica e di sanzioni. Resterà lettera morta finché non interverrà uno shock, cioè un incidente reale legato all’IA che provochi un’escalation non voluta. Oppure finché un mutamento strategico non farà percepire il rischio comune come maggiore del vantaggio relativo.

Figure di primo piano dell’industria tecnologica chiedono di rallentare lo sviluppo dell’IA; Pechino vi legge una strategia americana per conservare il vantaggio acquisito. Come si distingue la preoccupazione genuina dal posizionamento competitivo? Esiste una via d’uscita dal dilemma per cui chi rallenta è sconfitto?

Non lo so, e mi piacerebbe molto saperlo. So però che stiamo giocando con il fuoco, e che dovremmo essere tutti più prudenti. Se le big tech americane avvertono che esiste un pericolo serio per l’umanità e propongono di rallentare, di prendersi una pausa e di procedere insieme con maggiore cautela, la risposta cinese mi pare sbagliata. Comprendo la sfrenata ambizione di superare gli americani e arrivare primi: chi dominerà l’intelligenza artificiale dominerà il mondo, come ha ricordato Donald Trump (e Vladimir Putin prima di lui, ndr). Ma senza la prudenza necessaria a impedire che l’evoluzione dell’IA ci sfugga di mano, rischiamo di farci davvero molto male. Sto con padre Paolo Benanti: occorre “umanizzare la tecnica e non macchinizzare l’uomo”. La diplomazia deve promuovere un’algoretica mondiale, anche nei confronti dei competitor ostili, come la Cina.

Le dimissioni di Coxon hanno riportato al centro un dato: Hubinger stima oltre il 10% la probabilità che l’IA uccida tutti gli esseri umani entro dieci anni. Chi lavora sulla frontiera dell’IA descrive lo stesso dilemma che lei individua tra Stati Uniti e Cina: nessuno rallenta, per timore che un concorrente acceleri. La logica della competizione rende ingovernabile tanto l’IA militare quanto quella civile? E chi ha oggi l’autorità e gli strumenti per normarla?

Nessuno. Il diritto internazionale si fonda sul consenso: non si può costringere un Paese ad accettare una limitazione che non ha deciso, lo si può soltanto convincere. Accade lo stesso con le emissioni di gas serra, che accelerano il cambiamento climatico e rischiano di rendere il pianeta inabitabile in tempi brevi. Tutti i Paesi dovrebbero assumersi la responsabilità di misure restrittive sulle emissioni climalteranti; poi persino gli Stati Uniti di Trump fanno spallucce e si ritirano dagli accordi sottoscritti. I vecchi possono pensare che il problema non li riguardi, perché hanno pochi anni davanti: “chi vuol esser lieto, sia: di doman non c’è certezza”. Ma quando una gerontocrazia egoista e ottusa ha in mano le sorti dell’umanità e ragiona così, il prezzo lo pagano le generazioni più giovani. Lo sviluppo dell’IA segue la medesima traiettoria. Parlare di “vecchi” è, naturalmente, una generalizzazione ingiusta. Basta leggere l’ultimo libro sull’IA di Henry Kissinger, scomparso centenario, per rendersene conto: non tutti i vecchi sono uguali, così come non tutti i giovani pensano responsabilmente al proprio futuro.

Nel rapporto pubblicato il 10 settembre, Anthropic – azienda statunitense che sviluppa il modello Claude – descrive un’operazione di spionaggio compatibile con Midnight Blizzard, gruppo che il governo statunitense collega all’Intelligence estera russa. Nel mirino: governo e forze armate ucraine, diplomatici europei, produttori di droni militari. Agenti di IA riscrivevano automaticamente il malware ogni volta che veniva rilevato. L’azienda ne conclude che la sofisticazione di un attacco non indica più chi lo conduce. Se un singolo operatore può disporre di capacità finora riservate agli Stati, come cambiano attribuzione e deterrenza nel dominio cyber?

Storicamente l’attribuzione di un cyberattacco si fondava su indizi di sofisticazione. Mantenere una persistenza silenziosa, eludere i sistemi di Endpoint Detection and Response, orchestrare campagne complesse: erano il biglietto da visita esclusivo delle Advanced Persistent Threat statali. Oggi esistono agenti di IA capaci di analizzare i log di sicurezza, individuare le falle e ricompilare autonomamente i payload malevoli per sfuggire ai rilevamenti. Con questi strumenti singoli individui o piccoli gruppi criminali operano con l’efficienza di un’agenzia d’intelligence. E quando chiunque può replicare tecniche di livello statale, la sofisticazione tecnica cessa di essere un indicatore affidabile di chi si cela dietro l’attacco. Si apre così la strada a operazioni sotto falsa bandiera molto più economiche e credibili. Attori criminali possono imitare le tattiche di nazioni ostili, alimentando la confusione strategica. Viceversa, le nazioni possono negare plausibilmente la propria responsabilità mascherandosi da hacktivisti privati.

Lo stesso rapporto documenta l’uso dell’IA per produrre contenuti rilanciati da più testate filorusse, così da farli apparire confermati da fonti indipendenti, e descrive istituzioni iraniane che pianificavano con l’IA un programma di “guerra cognitiva”. Secondo l’azienda, però, gran parte di queste campagne raccoglie scarso pubblico autentico: la diffusione maggiore si ha quando a veicolarle sono i media di Stato. La minaccia sta nella qualità dei contenuti o nella scala e nel basso costo della produzione? E dove deve concentrarsi la difesa?

Il rapporto tocca il cuore del dibattito contemporaneo sulla guerra cognitiva e sull’influenza informativa. La minaccia principale non risiede nella qualità intrinseca dei contenuti generati dall’IA. Risiede nella scala e nel basso costo della produzione, che consentono di inondare l’ecosistema informativo con una pressione costante e diversificata. Bloccare alla fonte la generazione di testi e immagini è tecnicamente impossibile, data la diffusione globale dei modelli open source. Per questo la difesa non può ridursi al fact-checking dei singoli contenuti, che arriva sempre in ritardo. Deve articolarsi su tre piani. Il primo riguarda gli algoritmi delle piattaforme social e i canali di distribuzione formali: occorre ridurre la viralità artificiale e riconoscere i pattern di coordinamento inorganico, cioè le reti di bot e i siti-specchio di disinformazione. Il secondo riguarda gli standard di autenticazione dei contenuti, come i metadati crittografici e il watermarking digitale, che permettono a cittadini e sistemi automatizzati di risalire rapidamente all’origine di una notizia. Il terzo, il più importante e il più difficile, è l’educazione. Si tratta di spostare l’alfabetizzazione digitale dal semplice riconoscimento della bufala tecnica alla comprensione delle tecniche di manipolazione psicologica, insegnando a riconoscere i tentativi di fabbricazione artificiale del consenso.

Mentre il dibattito si concentra sull’intelligenza artificiale, avanza un’altra frontiera: un gruppo della East China Normal University ha trasmesso per la prima volta un’immagine tramite teletrasporto quantistico su cento canali simultanei, un passo verso l’internet quantistica e comunicazioni non intercettabili. La convergenza tra IA e tecnologie quantistiche cambierà gli equilibri dell’intelligence?

Il quantum computing sarà una rivoluzione profonda, destinata a trasformare il futuro. Una internet non intercettabile è un mondo che non conosciamo e che non riusciamo neppure a immaginare con chiarezza. Ma il quantistico possiede anche una forza “retroattiva”: i computer quantistici renderanno decifrabili tutte le comunicazioni oggi protette dagli attuali algoritmi di cifratura. Ciò che adesso non si può decodificare viene messo da parte, “preso ora per allora”, e sarà decriptato in futuro dalle macchine di nuova generazione, con conseguenze profonde.

L’Europa sta investendo abbastanza per non dipendere da altri anche su questo fronte?

Temo di no. Spendere molto oggi per un problema che si presenterà domani non è politicamente remunerativo per chi governa: si preferisce togliere il bollo auto per un anno, piuttosto che investire su problemi che ancora non si vedono.

Spostiamo lo sguardo sull’Italia. L’impiego dell’IA nella difesa pone questioni di controllo democratico ancora poco esplorate. Anche alla luce della sua esperienza, quali strumenti ha oggi il Parlamento per controllare l’uso militare dell’intelligenza artificiale, e quali mancano? L’Italia può incidere sugli standard NATO o si limita ad adottarli?

Non è una materia in cui i singoli Stati possano fare qualcosa di realmente significativo. L’Italia incide sugli standard NATO nelle sedi opportune, insieme agli altri Paesi membri, non in proprio. I parlamentari italiani possono intervenire nel dibattito di indirizzo in seno all’Assemblea parlamentare della NATO, dove sono rappresentati dalla delegazione nazionale. Ne ho fatto parte e posso testimoniare che la discussione è libera e il confronto autentico, che tutte le posizioni vengono ascoltate e rispettate. Alla fine, però, le decisioni devono comporre una sintesi e tengono conto di molti altri aspetti, soprattutto di carattere strategico e tecnico-militare.

Le macchine sostituiranno progressivamente i soldati nei compiti più rischiosi. Se il costo umano per chi attacca si riduce, si abbassa anche la soglia politica per entrare in guerra?

No, perché il costo umano non si riduce affatto. Le armi sono sempre più sofisticate e potenzialmente distruttive, e la distinzione tra obiettivi civili e militari si è fatta sfumata. Un’infrastruttura critica che eroga servizi essenziali diventa un target militare, e colpendola si colpisce la popolazione, per costringere l’avversario ad arrendersi e a rinunciare alla resistenza. La guerra è crudele anche quando in prima istanza sono macchine a combattersi e distruggersi a vicenda, perché non si ferma alla prima linea: arriva ovunque. E alla fine uccide sempre gli innocenti.

About Author