Di seguito condividiamo un articolo di Stormshield, noto produttore europeo di soluzioni di cybersicurezza per infrastrutture critiche e industriali, sui rischi legati a ecosistemi IA basati su cloud e aperti, che – analogamente alla Shadow IT – potrebbero portare a fenomeni di IA sommersa, sollevando questioni riguardanti la governance e la resilienza.
Buona lettura!
Applicazioni IA cloud-based e il pericolo dell’IA “sommersa”
Grok, il chatbot IA sviluppato dalla startup xAI di Elon Musk, è disponibile sulla piattaforma cloud Microsoft Azure dalla fine di maggio. L’annuncio fatto alla conferenza Build 2025 segna una svolta strategica: Microsoft apre il suo ecosistema a una più ampia gamma di attori dell’IA, inclusi alcuni che sfidano i suoi partner tradizionali come OpenAI.
“In generale, il rapido sviluppo dell’IA nel cloud richiede un ripensamento delle politiche di accesso e un miglior monitoraggio dell’utilizzo, per garantire una maggiore sicurezza dei flussi di dati sensibili”, afferma Sébastien Viou, Director of Cybersecurity & Product Management di Stormshield: “L’integrazione dei modelli di IA sviluppati da xAI, come Grok, sulla piattaforma Microsoft Azure rappresenta un ulteriore passo nell’apertura degli ambienti cloud a fornitori di LLM (Large Language Model) alternativi. Sebbene questa dinamica dell’ecosistema aperto sembri apportare agilità alle aziende, introduce anche un nuovo livello di complessità per i team responsabili della cybersicurezza”.
In questo ambito la trasparenza dell’utilizzo è un tema che desta preoccupazioni. Dato che l’IA generativa è ora accessibile tramite interfacce Azure standardizzate, il numero di potenziali applicazioni può aumentare senza controllo o contromisure significative, soprattutto in ambienti applicativi complessi che comprendono una moltitudine di sottosistemi. Il risultato è il progressivo sfumare del confine tra una sperimentazione legittima e un’IA “sommersa”. Senza meccanismi di monitoraggio specifici, è difficile sapere chi utilizza questi modelli, con quali dati e a quale scopo.
Ciò solleva inevitabilmente la questione della gestione del rischio, che sia di natura legale o tecnica, come la governance degli accessi, la tracciabilità dell’utilizzo e la protezione dei dati sensibili. Il fatto che Grok esista ora accanto ad altri strumenti di IA sulla stessa piattaforma richiede una nuova valutazione granulare dell’impatto di queste tecnologie sull’elaborazione dei dati e sulla resilienza operativa. Deve quindi prevalere una filosofia del “minor privilegio possibile”, con controlli più severi di identità e sessioni. Altrimenti, il rischio che informazioni sensibili vengano compromesse o divulgate semplicemente a causa di errori di configurazione non sarà trascurabile.
Infine, il controllo dei flussi di dati sensibili, al di là dei problemi di accesso e visibilità, rappresenta un punto cieco critico. Interazioni apparentemente innocue tra dipendenti e IA possono nascondere l’esfiltrazione di dati o operazioni di elaborazione che violano le politiche di sicurezza. In un ambiente in cui l’impiego di soluzioni DLP (Data Loss Prevention) era già complesso, la sfida assume una nuova dimensione e richiede misure di cybersicurezza olistiche, che vadano oltre la pura reattività e siano integrate fin dall’inizio nella strategia aziendale. Ciò include meccanismi completi per l’applicazione dei principi Zero Trust, che assicurano che ogni richiesta di accesso alle risorse aziendali – sia essa umana o di un’IA – sia autenticata, autorizzata e continuamente convalidata, indipendentemente dalla posizione o dal dispositivo dell’operatore.
Il controllo del flusso di dati nel contesto delle applicazioni IA richiede inoltre soluzioni innovative, che vadano oltre la tradizionale difesa perimetrale. Una strategia di sicurezza efficace deve essere in grado di analizzare in tempo reale sia i contenuti generati dall’IA sia le interazioni guidate dall’IA, al fine di prevenire potenziali abusi o la fuoriuscita di informazioni sensibili. A tal fine sono necessarie capacità di ispezione avanzate a livello di rete e una protezione degli endpoint, in grado di rilevare e bloccare comportamenti insoliti o schemi sospetti che provengono da modelli di IA.
Data la rapida evoluzione e i potenziali rischi, è indispensabile puntare su soluzioni di cybersicurezza affidabili e trasparenti, soprattutto quando si tratta di proteggere dati e infrastrutture critiche. Solo costruendo una solida base di sicurezza che dia priorità alla sovranità digitale e al rispetto degli standard europei, le aziende possono sfruttare i pieni vantaggi dell’IA in modo sicuro e responsabile. Una strategia così completa è la chiave per assicurarsi i benefici derivanti dal potenziale innovativo dell’IA senza perdere il controllo. Infatti, senza un approccio rigoroso alla governance e al monitoraggio, l’IA, generativa o meno, nelle aziende si evolverà probabilmente più rapidamente degli strumenti per controllarla.
