Il canto delle sAIrene, come ascoltare l’AI senza finire sugli scogli

Nel canto XII dell’Odissea, Circe avverte Ulisse: le sirene incantano chiunque le ascolti, e i marinai che si avvicinano non tornano più a casa. Eppure il loro canto promette ciò che nessun altro può dare: la conoscenza. Chi le ascolta, dicono, ripartirà sapendo più cose, perché loro sanno tutto ciò che accade sulla terra. Ulisse non rinuncia al canto. Mette la cera nelle orecchie dei compagni, si fa legare all’albero maestro e ordina di stringere i nodi se dovesse chiedere di essere liberato. È l’unico che ascolta le sirene. E alla fine sarà anche l’unico a tornare a Itaca.

Con l’AI le aziende navigano verso la stessa isola. Il canto è irresistibile: una conoscenza mai stata alla portata di nessuno, e con lei produttività, nuove capacità, l’impossibile che diventa possibile. E come ogni conoscenza, attira anche chi vuole piegarla ad altri scopi: chi la usa per attaccare, chi per rubare dati, chi per trovare una porta lasciata aperta.

Dell’AI si parla soprattutto per ciò che rende possibile e per come metterla a terra. Molto meno per l’altra faccia, la sicurezza. È la parte meno affascinante, ma anche la più importante: con l’AI non è un capitolo a parte, è la condizione per ascoltare il canto senza finire sugli scogli.

Il canto che conosce il tuo nome

Il canto delle sirene, però, ha due voci. La prima è per tutti: la conoscenza. La seconda è solo per Ulisse. Lo chiamano per nome, “glorioso Odisseo, vanto degli Achei”, e gli promettono di raccontargli tutto ciò che Achei e Troiani hanno sofferto a Troia. Non gli offrono notizie: gli offrono la sua storia. Il senso di dieci anni di guerra, i compagni perduti, la sua gloria.

La prima voce è quella che ascoltano le aziende: la conoscenza che l’AI rende disponibile. La seconda è la più pericolosa, perché è cucita su chi ascolta. Ed è quella che oggi l’AI mette nelle mani di chi attacca.

E spesso la usa prima e meglio di chiunque altro, perché non ha comitati da convincere, budget da approvare o regole da rispettare: adotta ogni novità il giorno dopo.

• Il phishing scritto bene. La mail sgrammaticata del finto corriere è un ricordo. Oggi arriva in un italiano perfetto, cita il progetto giusto, imita il tono del collega. E se ne possono scrivere migliaia, ognuna su misura.
• Voci e volti clonati. All’inizio del 2024, un dipendente della sede di Hong Kong di Arup è stato convocato in una videoconferenza con il direttore finanziario e alcuni colleghi. Erano tutti video falsi, preparati in anticipo con l’AI. Con le istruzioni arrivate poi anche in chat, ha eseguito quindici trasferimenti per circa 25 milioni di dollari.
• Falle sfruttate prima. L’AI aiuta anche a cercare vulnerabilità e a scrivere il codice per sfruttarle. Il tempo tra l’annuncio di una falla e il primo attacco si accorcia, e con lui il tempo per correggerla.

Il punto non è che gli attacchi siano nuovi: phishing e truffe del finto capo esistono da anni. È che costano meno, si moltiplicano e sono sempre più credibili. E chi difende lavora con i tempi di un’azienda, mentre chi attacca con quelli di una startup.

Quando il canto lo raggiunge, Ulisse supplica i compagni di slegarlo. Loro stringono i nodi. La regola era stata decisa prima, a mente fredda, e valeva anche per chi comandava: soprattutto per lui. È la difesa più efficace contro il canto su misura, perché non dipende da quanto è convincente. Un bonifico urgente chiesto in videochiamata si conferma con una telefonata a un numero già noto, chiunque lo chieda. Una procedura così dà a ogni dipendente il diritto di non fidarsi nemmeno del proprio direttore finanziario. Ed è proprio la difesa che un caso come quello di Hong Kong rende necessaria.

La lira di Orfeo

Molto prima di Ulisse, davanti alle sirene era passata un’altra nave: Argo, con Giasone e gli Argonauti. A bordo c’era Orfeo. Non mise la cera nelle orecchie a nessuno: prese la lira e suonò più forte, coprendo il canto delle sirene con il suo.

La buona notizia è che anche chi difende sa cantare. Il punto è cantare più forte. Non per coprire la conoscenza, ma la seconda voce: quella cucita su misura per ingannare. Ed è uno degli ambiti dove l’AI dà già risultati concreti.

• Meno rumore, più segnale. Un SOC (Security Operations Center) riceve migliaia di allarmi al giorno, e la maggior parte non conta nulla. L’AI li correla, capisce quali sono lo stesso problema e aiuta l’analista a concentrarsi su quello che merita attenzione.
• Risposte più rapide. Riassume un incidente per chi entra a lavori in corso, suggerisce i passi della procedura, prepara la prima bozza del rapporto. Minuti guadagnati, quando i minuti contano.
• Comportamenti anomali. Un utente che scarica in una notte quello che di solito scarica in un anno, un account di servizio che si collega da un paese insolito: l’AI li nota prima, e su volumi che nessun gruppo di persone potrebbe seguire.

Il caso più vicino alla lira di Orfeo è del 2025. Il team di threat intelligence di Google aveva notato che qualcuno si stava preparando a sfruttare una falla sconosciuta, ma non sapeva quale. Con quelle informazioni, un agente AI sviluppato dai ricercatori dell’azienda l’ha individuata in SQLite, un database presente in miliardi di dispositivi, e la falla è stata corretta prima che venisse sfruttata. Gli analisti hanno dato la traccia, l’AI li ha aiutati a cantare più forte.

Con un limite: serve sempre qualcuno che conosca il mestiere abbastanza da capire quando l’AI sbaglia. Nella sicurezza un falso negativo non è un inconveniente: è la porta lasciata aperta. Anche con Orfeo a bordo, l’argonauta Bute si gettò in mare lo stesso: lo salvò solo l’intervento di una dea. Nelle aziende, di dee se ne vedono poche.

L’otre di Eolo

Prima delle sirene, Eolo aveva donato a Ulisse un otre con dentro tutti i venti contrari. In vista di Itaca i compagni lo aprono, convinti che contenga oro: i venti escono tutti insieme e riportano la nave al punto di partenza.

I venti c’erano già: l’otre li teneva soltanto chiusi. Con l’AI succede lo stesso. Guardando da vicino, inventa pochi rischi davvero nuovi. Soprattutto moltiplica quelli che c’erano già: chi accede a cosa, dove vanno i dati, chi controlla i processi.

Nell’aprile del 2023 alcuni ingegneri di Samsung incollarono in un chatbot pubblico del codice sorgente riservato e gli appunti di una riunione interna, per farseli sistemare o riassumere. Nessun attacco, nessun malintenzionato: solo persone che volevano lavorare meglio, come i compagni convinti di trovare oro nell’otre. Nessuno li ha rubati, ma erano usciti: stavano sui server di un altro, dove all’epoca potevano servire ad addestrare il modello, e non c’era modo di riprenderli. Come i venti, una volta fuori dall’otre non si rimettono dentro. L’azienda reagì vietando gli strumenti di AI generativa sui dispositivi aziendali.

C’è poi un vento più vicino a casa. Gli assistenti aziendali, come Microsoft 365 Copilot, leggono i documenti con i permessi di chi li interroga. È la scelta giusta, ma porta alla luce anni di cartelle condivise con tutti e di link mai revocati: quello che nessuno trovava, l’assistente lo trova in un secondo. Secondo un’indagine di CoreView pubblicata a luglio 2026, il 66% dei responsabili IT intervistati, in grandi organizzazioni soprattutto statunitensi, ha rinviato o cancellato l’adozione di Copilot proprio per questo timore.

In entrambi i casi l’AI non ha creato nulla. Ha solo amplificato un dato finito dove non doveva, un permesso che nessuno aveva mai ripulito. Per questo chi aveva già le fondamenta in ordine, con permessi puliti, dati classificati e accessi controllati, parte avvantaggiato. Gli altri aprono l’otre, e i venti escono tutti insieme.

La cera e l’albero

Ulisse non tratta tutti allo stesso modo. Ai compagni mette la cera: non devono sentire. Lui si fa legare: può ascoltare, ma con vincoli precisi. Con i dati vale lo stesso. Non tutti possono ascoltare il canto, e quelli che possono lo fanno a condizioni diverse.

Il primo passo è quindi classificare i dati: quali sono pubblici, quali interni, quali riservati, quali sono i gioielli di famiglia. Per ciascuna classe c’è un modo diverso di usare l’AI.

Non sono gradini di una scala, e possono combinarsi. La classificazione dei dati dice quali garanzie chiedere, l’architettura come ottenerle.

La cifratura omomorfica, che permetterebbe di elaborare i dati senza mai decifrarli, sui grandi modelli è ancora ricerca.

In pratica:

• bloccare il caricamento di documenti classificati come riservati sugli strumenti pubblici, con sistemi che riconoscono i dati prima che escano;
• dare alle persone un’alternativa aziendale, con le garanzie del contratto enterprise: chi ha uno strumento sicuro a portata di mano ha meno motivi di cercare quello insicuro;
• far rispettare agli assistenti i permessi esistenti: l’AI che legge i documenti deve vedere solo quello che può vedere chi la interroga;
• scegliere ambienti con garanzie verificabili per i dati più delicati, come quelli del personale o i progetti dei clienti, valutando anche l’elaborazione interna.

La pozione di Circe

Prima di diventare la sua consigliera, Circe era stata un pericolo. Accoglie i compagni di Ulisse con ogni cortesia, ma nel cibo ha sciolto una pozione: diventano porci, non più padroni di sé.

Con gli assistenti emerge un problema specifico: distinguere le istruzioni da eseguire dai contenuti da leggere. Un assistente o un agente legge documenti, mail, pagine web, e un documento può contenere entrambe le cose. Se qualcuno nasconde un’istruzione in quello che legge, il modello può eseguirla come se arrivasse dall’utente. Si chiama prompt injection.

Nel 2025 alcuni ricercatori l’hanno dimostrata con EchoLeak, una vulnerabilità dell’assistente AI di Microsoft 365. Bastava una mail con istruzioni nascoste per indurre l’assistente a mandare fuori dati riservati, senza che l’utente cliccasse nulla. L’assistente usava accessi del tutto legittimi, quelli dell’utente, ma eseguiva le istruzioni di qualcun altro. Microsoft l’ha corretta, e non risultano casi di sfruttamento.

E c’è un principio che viene dritto dalla nave di Ulisse: chi ascolta non ha le mani, chi ha le mani non ascolta. Ulisse sente il canto, ma è legato. I compagni remano, ma non sentono nulla. Per un agente vuol dire che la parte che legge contenuti non fidati, come una mail o una pagina web, non deve poter agire da sola: cancellare, inviare o pagare passa da un controllo separato, o da una persona.

A questo si aggiungono altri fronti:

• Dati e modelli avvelenati. Se i dati con cui un modello impara, o i documenti da cui attinge, vengono manipolati, le risposte possono cambiare in modi difficili da riconoscere.
• La filiera dei modelli. Da dove viene il modello che si usa, chi l’ha addestrato, cosa c’è dentro. È la stessa domanda che ci si fa sul software di terze parti, con meno strumenti per rispondere.
• Gli agenti con troppi poteri. Nel luglio del 2025 un agente AI di sviluppo della piattaforma Replit ha cancellato i dati di produzione dell’applicazione che stava sviluppando, durante un blocco delle modifiche e contro istruzioni esplicite. I dati, per fortuna, sono stati recuperati.

La risposta, anche qui, non è nuova. Ulisse entra da Circe solo dopo aver ricevuto da Ermes il moly, l’erba che lo rende immune: la protezione si prepara prima, non dopo. Gli agenti vanno trattati come identità a sé, non come un’estensione dell’utente: permessi minimi, azioni tracciate, separazione tra ambienti di prova e di produzione. E un interruttore per fermarli subito, quando qualcosa va storto.

Tra Scilla e Cariddi

Subito dopo le sirene, Ulisse deve passare lo stretto tra Scilla e Cariddi. Circe è chiara: non esiste una rotta senza perdite. Meglio passare vicino a Scilla, che porterà via sei uomini, che rischiare Cariddi, che inghiotte la nave intera.

Con l’AI la scelta è simile. Vietare tutto sembra la rotta sicura. In realtà è Cariddi: le persone continuano a usare l’AI, ma di nascosto, sui propri dispositivi e con i propri account, e l’azienda perde ogni controllo su dove vanno i dati. È la shadow AI, e con l’uso personale e professionale che ormai si sovrappongono, è difficile da evitare.

Aprire con regole e garanzie è Scilla: anche con le protezioni giuste, un rischio rimane. La scelta è ridurlo, e decidere quale rischio residuo possiamo accettare. La rotta si tiene con poche regole chiare, e dentro quelle la massima libertà di sperimentare: quali strumenti si possono usare, quali dati possono uscire e quali no, a chi chiedere quando non si sa.

Quali regole servano, poi, dipende da chi sei. Un’azienda soggetta alla NIS2 ha obblighi precisi su gestione del rischio e notifica degli incidenti. Chi tratta dati personali deve fare i conti con il GDPR, chi usa l’AI su persone o decisioni delicate con l’AI Act. E chi ha impianti collegati in rete sa che un errore non si ferma ai dati: arriva alla produzione, e alla sicurezza delle persone.

Le vacche del Sole

C’è un dettaglio dell’Odissea che si dimentica spesso. I compagni di Ulisse non muoiono per le sirene: davanti a loro passano tutti, con la cera nelle orecchie. La loro fine comincia dopo, sull’isola di Trinacria. Bloccati dai venti e affamati, mangiano le vacche sacre del Sole, che era stato proibito toccare. Lo fanno mentre Ulisse dorme, e appena ripartiti Zeus scatena la tempesta in cui muoiono tutti.

Il limite era chiaro prima che arrivasse la fame. È sotto pressione che si vede se siamo disposti a rispettarlo: una scadenza, un capo che aspetta, uno strumento aziendale troppo lento. Ed è allora che il documento riservato finisce nel chatbot pubblico, “solo per questa volta”.

Per questo le regole da sole non bastano. Servono tre cose:

• una cultura condivisa, che parte dalla formazione e spiega il perché delle regole, non solo il cosa;
• strumenti all’altezza, perché quando la strada principale funziona le scorciatoie attirano molto meno;
• un piano per quando qualcosa va storto: cosa succede se l’AI non è disponibile, chi risponde se un’azione automatica sbaglia di notte, come si torna indietro.

Itaca

Dopo il naufragio, Ulisse si salva aggrappato a un fico sopra Cariddi. Dei compagni partiti da Troia, è l’unico che torna a Itaca.

Ulisse non torna perché abbia previsto ogni pericolo: nel viaggio perde la nave e i compagni, e più di una volta lo salva un dio. Davanti alle sirene, però, fa una cosa decisiva: prepara la protezione prima di esporsi. Tra Scilla e Cariddi sceglie il rischio che può permettersi. E rispetta la regola anche quando gli costa la fame.

Con l’AI la rotta non è diversa. Chi si tappa le orecchie rinuncia alla conoscenza, e prima o poi qualcuno a bordo ascolterà di nascosto. Chi ascolta senza regole finisce sugli scogli. Chi si prepara prima di passare lo stretto ha buone possibilità di arrivare a casa.

Non sarà il canto delle sirene a farci naufragare, ma le corde che non abbiamo stretto a portarci in fondo al mare.