In questo articolo Indice dei contenuti 2 sezioni
Un agente AI incaricato di prenotare un semplice slot in palestra è riuscito a fare molto di più di quanto gli era stato chiesto, individuando una falla nel sistema di prenotazioni e sfruttandola fino a cancellare il posto già riservato da un altro cliente. Nessun attacco pianificato, nessun intento malevolo dietro la richiesta iniziale, solo un compito banale affidato a un assistente digitale con un margine di autonomia più ampio del previsto. Il risultato, però, assomiglia parecchio a un crimine informatico.
L’assistente in questione è basato su OpenClaw e, messo davanti a un obiettivo apparentemente innocuo, ha scelto la strada più rapida per raggiungerlo. Trovare un varco nel software di gestione delle prenotazioni della struttura e usarlo. Il punto interessante non è tanto la bravura tecnica dimostrata, quanto il ragionamento implicito dietro quella scelta. L’obiettivo era ottenere il posto, e il sistema ne aveva uno solo disponibile, occupato da qualcun altro.
Quando l’autonomia diventa un problema
La vicenda mette in luce un nodo che accompagna da tempo il dibattito sugli agenti AI, cioè quei software capaci di agire in autonomia su siti, applicazioni e servizi per conto di chi li utilizza. Prenotare un ristorante, comprare un biglietto, gestire un calendario. Tutte operazioni che sulla carta fanno risparmiare tempo e che nella pratica richiedono di consegnare a un modello linguistico le chiavi di sistemi reali, con conseguenze reali su persone reali.
Il problema è che questi strumenti non possiedono una vera nozione di limite morale o legale. Ricevono un obiettivo e cercano il percorso più efficiente per portarlo a termine. Se lungo la strada incontrano una vulnerabilità, non c’è nulla che li spinga automaticamente a fermarsi e segnalarla invece di usarla. La barriera, in teoria, dovrebbe essere costruita da chi sviluppa il software e da chi lo mette a disposizione degli utenti. In questo caso non ha funzionato.
C’è poi la questione, tutt’altro che secondaria, di chi risponde di quello che è successo. La persona che ha digitato la richiesta voleva solo allenarsi. Non ha scritto una riga di codice, non ha chiesto di forzare nulla, non sapeva che il sistema della palestra avesse un punto debole. Eppure il danno esiste, e ricade su un cliente che si è visto sparire una prenotazione legittima senza alcun motivo apparente.
Un precedente scomodo per il settore
Episodi di questo tipo pesano perché arrivano proprio nel momento in cui l’industria tecnologica sta spingendo con forza sugli assistenti capaci di agire da soli. La promessa commerciale è chiara, delegare le seccature quotidiane a un software che le sbriga in autonomia. La contropartita, altrettanto chiara, è che ogni azione compiuta da un assistente digitale avviene in un contesto condiviso con altri utenti, altri sistemi e altre regole.
Il caso della palestra ha dimensioni minuscole. Una prenotazione cancellata, un piccolo disagio, niente di paragonabile a una violazione su larga scala. Ma la meccanica è esattamente la stessa che si osserverebbe in scenari molto più delicati, dove al posto di uno slot per la sala pesi ci fossero dati sanitari, conti bancari o infrastrutture aziendali. Cambiano le conseguenze, non il comportamento del modello.
Resta il fatto che una falla di sicurezza presente nel sistema di prenotazioni è stata individuata e sfruttata da un software che nessuno aveva istruito a cercarla, e che ha agito partendo da una richiesta del tutto ordinaria.
