In questo articolo Indice dei contenuti 3 sezioni
Scegliere l’AI locale al posto dei servizi cloud sembra, a prima vista, la strada più sicura e riservata. È vero solo in parte. Far girare i modelli sul proprio computer garantisce un controllo maggiore su dati e flussi di lavoro, perché nulla finisce sui server di terzi e nessuna grande azienda tecnologica può essere colpita da una violazione che coinvolga le informazioni personali. Allo stesso tempo, però, si rinuncia alle infrastrutture di protezione milionarie costruite da realtà come OpenAI o Anthropic. La sicurezza diventa una faccenda interamente privata, nel bene e nel male.
Con piattaforme come Jan, Ollama o LM Studio messaggi, documenti e cronologia delle chat restano sul dispositivo. Il sistema però non è infallibile. I modelli si scaricano comunque da archivi pubblici, a volte serve concedere l’accesso a determinate API e su una rete wifi pubblica qualcuno potrebbe sfruttare proprio l’intelligenza artificiale per entrare nel sistema operativo. A gennaio SentinelOne e Censys hanno individuato 175.000 host Ollama esposti pubblicamente, utilizzabili da chiunque per eseguire codice e collegarsi a servizi esterni con le credenziali e l’hardware degli utenti.
AI locale: server, rete e aggiornamenti
Per far funzionare un modello in locale serve un motore di inferenza, chiamato anche runner. Di norma questi programmi sono configurati su localhost, cioè 127.0.0.1, e quindi restano invisibili agli altri dispositivi. Se invece il modello gira su 0.0.0.0 l’accesso si apre a tutta la rete, e chiunque sia connesso allo stesso wifi può avviarlo, modificare l’hardware o sottrarre dati sensibili. Alcune guide suggeriscono questa impostazione per raggiungere il modello da smartphone o portatile, oppure quando lo si installa su un VPS o su un NAS. Il consiglio è tornare alla configurazione predefinita: su Ollama basta riportare la variabile OLLAMA_HOST a 127.0.0.1, su LM Studio va disattivata l’opzione “Serve on Local Network”, mentre su Jan si passa dalle impostazioni alla voce Local API Server per creare una chiave API con un generatore online come RandomKeygen.
Anche il port forwarding sul router andrebbe evitato. Se il modello è già su 0.0.0.0, aprire le porte significa lasciarlo alla mercé di chiunque indovini l’indirizzo IP, e le reti di bot passano regolarmente al setaccio gli IP domestici in cerca di varchi. Molto meglio un tunnel cifrato tramite VPN o Cloudflare ZTNA. Tailscale è una soluzione piuttosto diffusa, così come la nuova funzione Tunnel di Cloudflare Zero Trust.
C’è poi la questione degli aggiornamenti. A maggio 2026 Cyera ha scoperto in Ollama una falla battezzata “Bleeding Llama”, valutata 9,3 su 10 nella scala CVSS, che permetteva di rubare porzioni di dati e credenziali con chiamate API non autenticate. Circa 300.000 server esposti sono rimasti a rischio fino alla patch 0.17.1. Runner come LM Studio, Ollama, Jan e GPT4All sono ancora sperimentali e basta restare indietro di qualche versione per diventare un bersaglio.
Modelli e programmi, occhio alla provenienza
I modelli basati su strutture più datate come PyTorch vengono spesso distribuiti come file pickle, con estensioni .bin, .pt o .pkl, che possono essere manipolati per eseguire codice malevolo appena caricati. Nel 2025 ReversingLabs ha trovato su Hugging Face due file che avevano superato i controlli automatici pur nascondendo una funzione di accesso remoto non autorizzato. Conviene quindi puntare su formati come safetensors o GGUF, che conservano i dati in forma numerica e impediscono l’esecuzione di codice durante il caricamento.
Altrettanto importante è scaricare solo da editori verificati. Google, Mistral, Meta e Qwen di Alibaba hanno account ufficiali con badge di verifica su Hugging Face, ottenuto usando un indirizzo di posta aziendale. Lo stesso vale per le applicazioni: i truffatori sfruttano da tempo cloni di ChatGPT su siti fasulli per diffondere infostealer come Redline, Lumma od Odyssey su Mac, e hanno preso di mira anche gli utenti Android con app caricate sul Play Store. Oggi gli attacchi arrivano persino ai repository GitHub ufficiali e a PyPI, dove è stato inserito codice malevolo nel pacchetto ufficiale di LiteLLM e sono comparsi falsi pacchetti che imitavano Deepseek.
Il rischio dei pacchetti inventati
Quando gli agenti AI scrivono codice installano anche le dipendenze necessarie, e a causa delle allucinazioni capita che inventino nomi di pacchetti inesistenti. Uno studio su 16 modelli e 576.000 campioni di codice ha rilevato che i modelli open weight lo fanno nel 21,7% dei casi, contro il 5,2% dei modelli di frontiera. Da qui nasce lo slopsquatting, una tecnica con cui i criminali registrano pacchetti fasulli proprio con i nomi più spesso inventati dai vari modelli, pacchetti capaci di eseguire codice malevolo.
Fonte: TecnoAndroid
