Le vacanze dovrebbero essere il momento dell'anno dedicato al riposo. Eppure è proprio durante il periodo estivo che abbassiamo più facilmente la guardia anche dal punto di vista digitale. Smartphone, computer portatili, tablet e account online ci accompagnano ovunque, ma un furto, uno smarrimento, una rete Wi-Fi poco sicura o una semplice distrazione possono trasformare pochi minuti di vacanza in settimane di problemi.

In questo episodio di Zero Days propongo una guida pratica per affrontare l'estate con maggiore serenità. Non si tratta di consigli rivolti agli specialisti della cybersecurity, ma di semplici precauzioni che ogni persona può adottare prima della partenza e durante il viaggio per proteggere i propri dati, i propri dispositivi e la propria identità digitale.

Parleremo della preparazione dei dispositivi prima delle ferie, dell'importanza dei backup, dell'autenticazione a due fattori, della gestione delle password, dell'uso delle reti Wi-Fi pubbliche, delle cautele durante gli spostamenti e, soprattutto, di come reagire nel modo corretto se dovessero essere rubati uno smartphone o un computer portatile. L'obiettivo non è soltanto evitare un danno economico, ma garantire quella che oggi possiamo definire continuità personale digitale: la capacità di continuare a lavorare, comunicare e accedere ai propri servizi anche dopo un incidente.

La sicurezza informatica non dipende soltanto da antivirus o tecnologie sofisticate. Molto spesso nasce da alcune decisioni prese con calma prima della partenza. Bastano pochi minuti di preparazione per evitare conseguenze che potrebbero compromettere l'intera vacanza.

Se questo episodio ti è stato utile, puoi seguire Zero Days per ricevere ogni settimana nuovi approfondimenti dedicati all'intelligenza artificiale, alla cybersecurity, al diritto delle nuove tecnologie, alle investigazioni digitali e ai grandi temi della società digitale.

In questo episodio:

• Come preparare smartphone e computer prima delle vacanze • Le dieci regole fondamentali della cybersecurity estiva • Come comportarsi se viene rubato lo smartphone • Come reagire al furto del computer portatile • Backup, autenticazione a due fattori e continuità digitale personale

La domanda può sembrare un po' surreale, ma riguarda una trasformazione tecnologica già in corso: il passaggio dall’intelligenza artificiale generativa agli agenti di intelligenza artificiale, sistemi ai quali non chiediamo più soltanto di produrre una risposta, ma ai quali assegniamo obiettivi, strumenti e una certa autonomia nella scelta delle azioni da compiere.

Ed è proprio qui che cambia radicalmente il problema.

Un agente AI può navigare sul web, utilizzare un terminale, scrivere ed eseguire codice, interrogare database, utilizzare API, osservare il risultato delle proprie azioni e modificare la strategia. Nel campo della cybersecurity, capacità di questo tipo possono essere impiegate per individuare vulnerabilità e difendere sistemi informatici, ma possono anche creare nuove capacità offensive.

Che cosa accade se un agente supera il perimetro entro il quale era autorizzato a operare? Chi risponde se accede a un sistema senza autorizzazione, acquisisce informazioni o provoca un danno? È sufficiente mantenere un essere umano in the loop oppure dobbiamo iniziare a distinguere tra semplice presenza umana e controllo umano significativo?

In questo primo episodio di REC analizzo il problema dell’autonomia operativa dell’intelligenza artificiale dal punto di vista della cybersecurity, del diritto penale dell’informatica e della governance tecnologica. Dalla responsabilità di sviluppatori, utilizzatori e organizzazioni al principio del least privilege, dal logging al sandboxing, fino alla necessità di incorporare i limiti giuridici direttamente nell’architettura tecnica degli agenti.

Ma il tema va ancora oltre. L’AI agentica potrebbe modificare profondamente anche la cyberwarfare, riducendo il costo umano delle operazioni, aumentando la loro velocità e consentendo a gruppi relativamente piccoli di dirigere attività offensive o difensive su una scala prima difficilmente immaginabile.

È la natura dual use dell’intelligenza artificiale: la stessa tecnologia che può aiutare un’organizzazione a scoprire una vulnerabilità prima dell’attaccante può contribuire ad aumentare le capacità di chi quella vulnerabilità vuole sfruttarla.

Con l’intelligenza artificiale generativa ci siamo abituati a domandarci:

«Posso fidarmi di quello che la macchina mi dice?»

Con l’intelligenza artificiale agentica dobbiamo aggiungere una domanda ancora più importante:

«Posso controllare quello che la macchina fa?»

Perché un’allucinazione dentro una chat può produrre un’informazione sbagliata. Un errore di un agente collegato a sistemi reali può trasformarsi immediatamente in un’azione reale.

I

Negli ultimi anni molti Stati democratici stanno cercando di aumentare la propria capacità di accedere alle comunicazioni, ai dispositivi e ai dati dei cittadini. Le ragioni invocate sono serie e spesso indiscutibilmente legittime: terrorismo, criminalità organizzata, abusi sessuali sui minori, cybercrime, spionaggio, minacce ibride e sicurezza nazionale.

Ma dietro provvedimenti, tecnologie e proposte legislative apparentemente differenti emerge una domanda molto più profonda:

quanto deve essere ancora possibile, in una società digitale, comunicare in uno spazio nel quale neppure lo Stato possa entrare?

In questo secondo episodio di REC parto da questa domanda per analizzare una delle tensioni più importanti delle democrazie contemporanee: il rapporto tra sicurezza, sorveglianza e libertà.

La digitalizzazione ha infatti modificato radicalmente la natura stessa della sorveglianza. Accedere a uno smartphone non significa più soltanto intercettare una conversazione: significa potenzialmente conoscere relazioni, fotografie, spostamenti, documenti, ricerche, interessi e una parte considerevole della memoria di una persona. E l'intelligenza artificiale aggiunge un ulteriore salto di scala, perché rende possibile correlare e analizzare automaticamente quantità di informazioni che in passato sarebbe stato quasi impossibile esaminare.

Al centro dell'episodio c'è il grande conflitto attorno alla crittografia end-to-end. Le autorità denunciano da anni il problema del going dark: che cosa accade quando una comunicazione rimane tecnicamente inaccessibile anche in presenza di un provvedimento legittimo dell'autorità giudiziaria?

Da qui nascono le proposte di accesso eccezionale, le discussioni sulle backdoor, il client-side scanning e il controverso dibattito europeo conosciuto come Chat Control.

Ma una vulnerabilità creata per consentire l'accesso ai soggetti legittimati può diventare una vulnerabilità utilizzabile anche da Stati ostili, servizi di intelligence, gruppi criminali e attaccanti informatici.

Perché la crittografia non protegge soltanto la privacy: la crittografia è essa stessa sicurezza.

L'episodio affronta anche un'altra trasformazione fondamentale: il ricorso dello Stato a government trojan, captatori informatici e lawful hacking. Se una comunicazione non può essere intercettata perché cifrata, diventa possibile tentare di acquisirla direttamente dal dispositivo.

Nasce così un paradosso: lo Stato può trovarsi contemporaneamente nella posizione di dover eliminare le vulnerabilità per proteggere i cittadini e di volerle conservare per poterle utilizzare nelle investigazioni.

E poi ci sono gli spyware commerciali, l'intelligenza artificiale applicata alla sorveglianza, la possibilità di ricostruire automaticamente reti di relazioni e comportamenti, l'espansione progressiva delle finalità per cui gli strumenti investigativi vengono utilizzati e il rischio del chilling effect: modificare il proprio comportamento semplicemente perché si percepisce la possibilità di essere osservati.

Il punto non è sostenere che ogni aumento dei poteri investigativi trasformi automaticamente una democrazia in uno Stato autoritario. Il problema è comprendere quando una legittima esigenza di sicurezza comincia a modificare strutturalmente l'equilibrio tra cittadino e potere pubblico.

Per questo, davanti a ogni nuova tecnologia di sorveglianza, le domande decisive non sono soltanto se sia utile a combattere il crimine, ma se sia necessaria, proporzionata, controllabile, circoscritta e reversibile.

Il vero conflitto dei prossimi anni potrebbe allora non essere semplicemente tra privacy e sicurezza, ma tra due diverse concezioni della sicurezza: quella dello Stato, che deve poter investigare e prevenire, e quella del cittadino, che deve poter proteggere i propri dispositivi, le proprie comunicazioni e lo spazio privato nel quale esercita la propria libertà.

Una democrazia ha bisogno di entrambe.

La questione non è scegliere tra uno Stato cieco e uno Stato onnisciente. La questione è decidere quanto deve poter vedere uno Stato democratico senza smettere, proprio per questo, di essere democratico.