«Non esiste sicurezza nell’oscurità»

L’hackeraggio a Binance è soltanto l’ultimo di una lunga serie di attacchi cyber che ha colpito diverse piattaforme informatiche di recente. E proprio di cibersicurezza ha parlato anche Paolo Ardoino, CEO di Tether - emittente della principale stablecoin al mondo - sul palco del Plan B Forum a Lugano lo scorso fine settimana. Dopo aver detto che viviamo in un’epoca in cui le certezze sono sempre meno, Ardoino ha definito interessante il fatto che oggi, con l’arrivo dell’intelligenza artificiale, non esistono più i benefici degli ultimi 50 anni di ogni piattaforma o software che utilizzava codici sorgente chiusi. Ardoino ha portato l’esempio dell’attacco ai prodotti Adobe, azienda di software, dei quali è stato possibile, tramite un tool IA, trasformare il codice binario in linguaggio naturale, cioè in inglese, per poi ricostruirlo con un’altra IA per essere compatibile con il prodotto originale.

Ardoino, nella sala principale del Palazzo dei Congressi, ha aggiunto che la certezza che avevano le aziende nel beneficiare di un prodotto chiuso - del quale era molto più difficile scoprire le vulnerabilità rispetto a un software open source con il codice sorgente visibile - non esiste più. A oggi anche i software closed source possono essere decifrati e resi aperti perché con l’IA è possibile ricostruire il codice sorgente partendo dal codice binario. Quest’ultimo concetto di «ingegneria al contrario», se si dovesse tradurre in parole più comuni, lo si potrebbe paragonare, nel mondo della chimica, all’individuazione degli ingredienti partendo da un prodotto.

Ce l’ha spiegato il direttore scientifico della Fondazione Plan B, Denis «Jaromil» Roio, che abbiamo contattato per capire questa dinamica. Anche Roio, così come Ardoino, crede che la trasparenza del codice dei software o delle piattaforme possa diventare un vantaggio competitivo sul mercato. «Nel mondo della cibersicurezza - ci ha spiegato Roio - l’adagio è che non esiste sicurezza nell’oscurità». In altre parole, «non si può sperare che un codice resti al sicuro solo perché è nascosto». Anzi, «un codice open source, trasparente, permette a più occhi di scoprirne le vulnerabilità. E magari prima che sia troppo tardi».

E l’IA, come ci ha spiegato il direttore scientifico, sta velocizzando questo fenomeno in cui ci sono più occhi che guardano in luoghi e fattori che erano rimasti sconosciuti agli sviluppatori. Di fatto, per Roio, non puntare sulla trasparenza porta maggiori rischi, perché occultare un codice all’IA è sempre più difficile. «Allora è piuttosto meglio fare l’opposto, garantire la trasparenza del codice così da permettere a chiunque il rilevamento delle vulnerabilità».

Il direttore scientifico della Fondazione Plan B ha citato anche un recente studio della National Security Agency, l’agenzia di sicurezza nazionale statunitense, che nel maggio di quest’anno ha dichiarato che con lo sviluppo dell’IA ci troviamo in un cambio di paradigma radicale nell’ambito della cibersicurezza, e che l’orizzonte temporale non è «di anni, bensì di mesi».