L’adozione dell’intelligenza artificiale rappresenta un’opportunità straordinaria per l’efficienza e l’innovazione aziendale, ma comporta anche un inevitabile bilanciamento tra costi e benefici, dove la sicurezza informatica gioca un ruolo cruciale. Se da un lato i modelli generativi promettono di accelerare la scrittura del codice e l’automazione dei processi, dall’altro l’inserimento “selvaggio” di informazioni all’interno dei dataset rischia di trasformarsi in un boomerang per la sicurezza aziendale. Casi di cronaca e analisi di settore dimostrano sempre più spesso come la fretta di addestrare algoritmi su enormi volumi di dati possa portare alla luce informazioni riservate, trasformando risorse pubbliche in miniere d’oro per i malintenzionati.
A confermare questa complessa dinamica è una recente analisi condotta dalla società di cybersecurity Truffle Security, ripresa con rilievo anche dal CERT-AGID, che ha scoperto ben 543.699 credenziali ancora perfettamente valide e funzionanti nascoste all’interno del codice sorgente proveniente da repository pubblici di GitHub. Tra le informazioni sensibili finite potenzialmente nelle mani degli hacker figurano API key, token di accesso, chiavi di database e account di servizio, ovvero tutte quelle “chiavi digitali” che permettono di prendere il controllo di infrastrutture e applicazioni riservate.
La portata del problema risiede nelle dimensioni e nello scopo dell’archivio analizzato, denominato The Stack v3. Si tratta di un gigantesco dataset pubblico da 15,9 Terabyte, impiegato abitualmente per l’addestramento di modelli di intelligenza artificiale dedicati alla scrittura del codice, costruito aggregando il materiale di circa 224 milioni di repository GitHub. Il dato più sconcertante emerso dall’indagine riguarda la durata dell’esposizione: l’età media delle credenziali ancora attive era di ben 784 giorni, con diversi casi di chiavi rimaste accessibili in rete per numerosi anni senza mai essere state revocate o sostituite.
Questa criticità riguarda da vicino anche il panorama tecnologico e istituzionale italiano, caratterizzato da un certo impulso verso il software open source sia nelle aziende private sia nella Pubblica Amministrazione. Con centinaia di enti pubblici, università e aziende nazionali che sviluppano e condividono progetti su piattaforme come GitHub, il rischio che credenziali di sistemi critici nostrani finiscano nei dataset internazionali è estremamente concreto. Proprio per questa ragione, il CERT-AGID ha diramato raccomandazioni operative per l’Italia, invitando sviluppatori e organizzazioni a verificare la presenza dei propri repository nei dataset mediante strumenti come Am I in The Stack? fornito da Hugging Face, oltre a raccomandare scansioni automatiche dei propri sistemi con software dedicati quali TruffleHog.
Questa vicenda mette in evidenza un errore di valutazione estremamente diffuso tra gli sviluppatori, ossia la convinzione che la semplice eliminazione o la pulizia della cronologia di un repository basti a mettere in sicurezza un progetto. Come sottolineano gli esperti, una volta che una credenziale viene pubblicata, la sua diffusione divenne incontrollabile perché può essere già stata replicata in fork, copie locali o dataset terzi prima che l’autore se ne accorga. Per questa ragione, qualsiasi chiave esposta deve essere considerata immediatamente compromessa e l’unica vera contromisura efficace consiste nella sua immediata revoca e rotazione, da effettuare tempestivamente prima ancora di qualsiasi intervento di sanificazione del codice.
In definitiva, questo episodio offre un profondo spunto di riflessione sul rapporto tra sviluppo software, AI e cultura della sicurezza. L’AI non fa altro che amplificare e rendere permanenti gli errori umani del passato, trasformando sviste individuali in vulnerabilità sistemiche su scala globale. In un’epoca in cui i dati vengono continuamente setacciati, indicizzati e usati per addestrare algoritmi, la sicurezza non può più essere considerata un passaggio successivo o opzionale, ma deve diventare un pilastro fondante fin dalla prima riga di codice, per usare un eufemismo. Garantire una reale protezione richiede un cambio di cultura, dove la consapevolezza della tracciabilità permanente delle informazioni si unisce all’adozione rigorosa di strumenti di scansione automatizzata e pratiche di “igiene digitale”.
Fonte: 1