Anche se il leak di Mythos è falso, conta: i pesi vanno protetti come chiavi

Qual è il file più prezioso di un laboratorio di IA di frontiera? Non il post del blog che annuncia il modello, non il grafico dei benchmark. Sono i pesi: un mucchio di numeri che, una volta copiati, non si possono richiamare, correggere o ritirare. Quindi, quando una voce dice che un checkpoint di Anthropic "di classe Mythos" si trova su Hugging Face, la reazione giusta non è né il panico né una scrollata di spalle.

Prima di tutto, quello che sappiamo davvero (molto poco)

L'affermazione nasce da un post su Reddit, che AGI Hunt riassume così: un modello di classe Mythos sarebbe trapelato su Hugging Face, in un repository chiamato burner22/numbat, presunto checkpoint di addestramento interno di Anthropic. Questa è tutta l'evidenza che abbiamo: un post anonimo e il nome di un repository che sa di account usa e getta. Nulla nella nostra documentazione conferma che i file siano autentici e non abbiamo alcuna dichiarazione di Anthropic su questo repository da citare. Va trattata come una voce non confermata.

Ecco il contesto che rende la storia facile da credere e facile da confondere. Il caso Mythos aveva già avuto un leak verificato, ma di altro tipo. Secondo Tekedia, un sistema di gestione dei contenuti configurato male ha lasciato quasi 3.000 file non pubblicati accessibili a tutti, tra cui bozze di post, PDF e memo. Stando ai resoconti su quelle bozze, descrivevano un modello che segna un salto rispetto alla fascia Opus attuale. Erano documenti, non il modello vero e proprio.

Un post non verificato non prova nulla, ma lo scivolone precedente resta scomodo

Sarebbe facile dire che un vero leak di un checkpoint dimostra che i laboratori proteggono i pesi peggio di quanto suggerisca il loro discorso sulla sicurezza. Non possiamo dirlo. Un post non verificato non ci dice nulla sulla sicurezza dei pesi di Anthropic, e un repository fasullo direbbe più sulla credulità del web che sulle porte del caveau.

Ma l'episodio precedente è una prova concreta di qualcosa di più circoscritto. Un'azienda le cui bozze trapelate avrebbero messo in guardia da rischi di cybersicurezza senza precedenti legati a questo modello ha lasciato quel materiale in un archivio dati raggiungibile pubblicamente, a causa di un errore di configurazione. Secondo noi, la distanza tra la retorica e l'impiantistica è la vera notizia. I discorsi sulla sicurezza si concentrano su ciò che un modello potrebbe fare una volta rilasciato. Molta meno attenzione va alla noiosa domanda su chi può leggere, copiare o esportare l'artefatto prima del rilascio.

Per inciso, il mercato si è accorto del primo leak. Secondo Let's Data Science, CrowdStrike ha perso il 7,5 % dopo l'esposizione. Se un errore di configurazione di un CMS può muovere un titolo della cybersicurezza, immagina cosa farebbe un checkpoint verificato e scaricabile.

I pesi meritano il trattamento che riserviamo alle chiavi di firma

Ecco la nostra posizione: i laboratori di frontiera dovrebbero trattare i pesi come chiavi crittografiche, non come codice sorgente. In pratica significa alcune misure poco glamour:

• Accesso con privilegi minimi. Poche persone, poche macchine, permessi a tempo e nessun accesso permanente ai checkpoint completi "per ogni evenienza".
• Audit trail che qualcuno legge davvero. Ogni lettura, copia ed esportazione registrata, con avvisi sui trasferimenti insoliti. Un log che nessuno controlla è solo decorazione.
• Separazione dei compiti. Chi può addestrare un modello non dovrebbe poterlo spostare da solo fuori dal perimetro.

Le chiavi si custodiscono così perché la compromissione è irreversibile e il danno cresce con il potere della chiave. I pesi rispettano entrambi i criteri. E più il modello è capace, più l'argomento è forte. Se un laboratorio dice che il suo prossimo modello è abbastanza rischioso da essere offerto prima ai difensori informatici, come riferisce BoxMining che fosse il piano, allora un rilascio a fasi ha senso solo se i pesi restano al sicuro durante quelle fasi.

Hugging Face è un canale di distribuzione, non un cattivo

La tentazione è dare la colpa alla piattaforma. Noi non lo faremmo. Hugging Face è il luogo in cui vivono legittimamente i rilasci di modelli open-weight: Mistral, per esempio, vi avrebbe pubblicato il 29 ottobre Large 4, di circa mille miliardi di parametri. Una piattaforma pensata per condividere pesi sarà sempre un posto comodo dove scaricare file che non erano destinati a essere condivisi. Le rimozioni possono eliminare un repository, ma non le copie già scaricate.

È proprio questa asimmetria il motivo per cui la prevenzione conta più della risposta. I laboratori open-weight scelgono di rilasciare; quelli chiusi promettono di non farlo. La promessa vale quanto i controlli di accesso che la sostengono.

Il nostro verdetto

Non concludere che Anthropic ha perso i gioielli di famiglia. Concludi che il settore non si è ancora guadagnato il beneficio del dubbio. Finché un laboratorio non sa descrivere in modo credibile chi può toccare i suoi pesi, come viene registrato l'accesso e ogni quanto viene controllato, "prendiamo la sicurezza sul serio" è una dichiarazione di intenti. Se il repository numbat si rivelasse un falso, meglio così. I laboratori dovrebbero comunque sfruttare lo spavento come esercitazione gratuita, e i lettori fare la domanda che il discorso sulla sicurezza salta: dove stanno i pesi e chi ha le chiavi?