Immagine copertina generata con l’intelligenza artificiale
L’intelligenza artificiale sta cambiando rapidamente il modo in cui sono individuate le vulnerabilità informatiche e, nel prossimo futuro, potrebbe avere conseguenze anche sulle attività di sorveglianza condotte dai governi. La capacità dei nuovi sistemi di trovare falle nel software sempre più velocemente potrebbe infatti ridurre lo spazio a disposizione delle autorità per utilizzare spyware e strumenti di hacking. Se le vulnerabilità diventassero più rare o venissero corrette prima di poter essere sfruttate, l’attuale equilibrio tra sicurezza, privacy e attività investigative potrebbe entrare in crisi.
La questione è stata sollevata dal crittografo Matthew Green, che in agosto ha pubblicato una riflessione diventata rapidamente oggetto di discussione nella comunità della cybersicurezza. La sua preoccupazione è che l’AI possa rendere il software talmente sicuro da privare le forze dell’ordine e le agenzie di intelligence delle falle necessarie per accedere legalmente ai dispositivi degli obiettivi sotto sorveglianza.
L’AI accelera la ricerca dei bug
Per anni il rapporto tra governi e sicurezza informatica si è basato su un equilibrio piuttosto delicato. Da una parte, la diffusione della crittografia end-to-end e la maggiore protezione dei dispositivi hanno reso più difficile per le autorità intercettare comunicazioni e accedere ai dati. Dall’altra, governi e agenzie investigative hanno continuato a poter ricorrere a strumenti di hacking e spyware capaci di aggirare le protezioni dei dispositivi.
Secondo Green, però, questo equilibrio potrebbe essere messo in discussione dall’intelligenza artificiale. I modelli linguistici stanno diventando sempre più capaci di individuare vulnerabilità su larga scala e in tempi più rapidi, aumentando la possibilità che le aziende riescano a correggere una quantità maggiore di falle.
Il risultato, almeno nello scenario ipotizzato dal ricercatore, sarebbe un software progressivamente meno vulnerabile agli attacchi. Per chi sviluppa strumenti di hacking destinati alle agenzie governative, trovare falle utilizzabili potrebbe quindi diventare più difficile.
Una possibile scarsità di vulnerabilità
Non tutti gli esperti concordano però sul fatto che l’AI porterà necessariamente a un futuro nel quale le vulnerabilità diventeranno rare. TechCrunch ha raccolto opinioni differenti tra ricercatori di sicurezza e professionisti che lavorano proprio nello sviluppo e nella ricerca di strumenti offensivi.
Luna Tong, ricercatrice con esperienza presso aziende che individuano bug e sviluppano exploit per i governi, considera possibile una sorta di “corsa all’oro” delle vulnerabilità, destinata però a essere temporanea. Altri esperti ritengono invece che i problemi più semplici possano essere trovati con maggiore facilità dall’AI, mentre le vulnerabilità più complesse e preziose continueranno a rappresentare una risorsa importante per chi conduce attività offensive.
Hamid Kashfi, fondatore della società di sicurezza offensiva DarkCell e attivo anche nel settore della cybersecurity basata sull’AI, sostiene inoltre che molti bug individuati dai sistemi automatici potrebbero non essere segnalati ai produttori. Questo significa che la maggiore capacità dell’intelligenza artificiale di trovare vulnerabilità non comporterebbe automaticamente la loro eliminazione.
Cosa cambia per gli strumenti governativi
La questione è particolarmente rilevante perché le vulnerabilità rappresentano una componente fondamentale degli strumenti utilizzati dai governi per accedere ai dispositivi. Le aziende specializzate possono infatti individuare, acquistare e sviluppare exploit basati su falle sconosciute, le cosiddette zero-day, che vengono poi vendute alle autorità.
Paolo Stagno, CTO di Crowdfense, società attiva proprio nel mercato delle vulnerabilità, considera l’attuale modello basato sullo sfruttamento delle falle come una sorta di equilibrio rispetto all’alternativa di introdurre direttamente delle backdoor nei dispositivi. Se però trovare vulnerabilità diventasse molto più difficile, questo sistema potrebbe essere sottoposto a una pressione crescente.
Non è tuttavia scontato che l’AI lavori soltanto a favore dei difensori. Gli stessi strumenti possono essere utilizzati anche dai ricercatori che cercano nuove vulnerabilità da destinare al mercato degli exploit. L’intelligenza artificiale potrebbe quindi rafforzare contemporaneamente attaccanti e difensori, rendendo difficile prevedere quale delle due parti riuscirà a ottenere il vantaggio.
Il ritorno del dibattito sulle backdoor
È proprio questo possibile squilibrio a riportare al centro una discussione che sembrava aver perso parte della sua urgenza: quella sulle backdoor nei dispositivi digitali.
Se in futuro le autorità dovessero avere sempre meno possibilità di accedere ai dispositivi attraverso vulnerabilità sfruttabili, potrebbe aumentare la pressione politica per ottenere forme di accesso privilegiato. In altre parole, invece di affidarsi a falle che devono essere scoperte e sfruttate, i governi potrebbero tornare a chiedere sistemi progettati per consentire direttamente l’accesso alle autorità.
Una simile soluzione avrebbe però conseguenze molto più ampie sulla sicurezza degli utenti. Una backdoor introdotta per permettere l’accesso alle autorità potrebbe infatti rendere meno sicuri i dispositivi di tutti, trasformando una questione legata alle attività investigative in un problema generale di cybersecurity e privacy.
Un equilibrio ancora lontano dalla rottura
Secondo Katie Moussouris, fondatrice e CEO di Luta Security, esiste ancora una certa distanza prima che computer e smartphone moderni possano essere considerati completamente privi di bug. La ricercatrice ritiene quindi che non si sia ancora arrivati al punto in cui la difficoltà di trovare vulnerabilità possa compromettere materialmente le attività delle agenzie di intelligence.
Anche Eva Galperin, direttrice della cybersecurity presso la Electronic Frontier Foundation, invita a considerare un altro elemento: trovare più vulnerabilità non significa necessariamente riuscire a correggerle tutte rapidamente. Il processo di patching può essere complesso e alcune falle potrebbero rimanere aperte anche dopo essere state individuate.
Per questo, il futuro immaginato da Green non è ancora una realtà. L’AI sta certamente modificando il rapporto tra ricerca delle vulnerabilità e sicurezza dei software, ma resta aperta la domanda su quale delle due parti riuscirà a sfruttare meglio questa nuova tecnologia.
Fonte: TechCrunch
