La problematica di sicurezza che ha coinvolto OpenAI, rea di aver attaccato Hugging Face lasciando campo libero ai propri agenti LLM che hanno studiato ed attuato con successo una strategia d’attacco, va ancora compresa fino in fondo nei suoi dettagli, ma se una cosa emerge con chiarezza è il fatto che ogni giorno si impara qualcosa di nuovo a proposito di questo straordinario mondo degli LLM.

A dominare il post-mortem di questa vicenda è una sola parola: open-weight. Precisamente LLM di tipo open-weight, che in italiano potremmo tradurre come “pesi aperti” (pesi neurali), senza però aiutare qualcuno che non sa che cosa siano a capire.

Ripercorriamo al volo i fatti: OpenAI ha deliberatamente disabilitato i guardrail di sicurezza dei suoi modelli in prova per valutarne il massimo potenziale offensivo. Questo ha permesso agli agenti di agire senza vincoli e di sferrare un attacco che è stato giudicato senza precedenti alla piattaforma Hugging Face.

Hugging Face, ha provato a difendersi dall’attacco utilizzando modelli con guardrail attivi, come quelli a cui accederebbe un cliente normale, e si è vista rifiutare l’assistenza in indagini ulteriori ed approfondite.

Perché lo scopo dei guardrail è proprio quello: fare in modo che l’LLM abbia una sua etica.

Quando l’LLM viene costruito, dopo l’addestramento iniziale – che avviene indiscriminatamente su qualsiasi fonte e dato – passa attraverso un processo di Reinforcement Learning from Human Feedback (RLHF, Apprendimento per Rinforzo basato sul Feedback Umano). In questa fase, degli esseri umani valutano e classificano diverse risposte del modello alla stessa domanda (ad esempio “quale risposta è più utile?“, “quale è meno dannosa?“). Con questi giudizi si crea un reward model (modello di ricompensa) che impara cosa agli umani piace o non piace. Usando questo modello di ricompensa come “insegnante”, il modello originale viene ulteriormente addestrato tramite rinforzo (come un cane che impara a ricevere un premio) per produrre risposte che ottengano punteggi alti, cioè che siano gradite agli umani.

Quindi, durante l’RLHF, il modello impara a rifiutare richieste dannose (come “insegnami a fare un attacco informatico”) e a preferire risposte educate.

Educate, ed inutili ad Hugging Face per contrastare l’attacco generato da OpenAI.

L’unica via d’uscita per il portale, stando a quanto hanno raccontato nei vari report, è stato rivolgersi al modello open-weight cinese GLM-5.2 di Zhipu AI per analizzare l’attacco. O meglio, la scelta è stata quella di partire da quel modello, ma evitare le restrizioni che bloccavano i modelli americani, evitando le limitazioni etiche sui compiti di cybersecurity.

E qui arriviamo al punto.

Perché la prerogativa dei modelli open-weight è che su di essi è possibile fare un’operazione dal nome particolarmente complicato, ossia abliteration, abliterazione, che è un gioco di parole tra “Ablation” (ablazione, rimozione chirurgica di un tessuto) e “Obliteration” (obliterazione, cancellazione totale).

L’abliterazione è possibile sui modelli open-weight poiché agisce sui pesi del modello, che sono appunto conosciuti, e permette di modificarli attraverso una relativamente semplice procedura. Ma c’è di più: non solo non è necessario sapere come abliterare un modello, poiché esistono strumenti che lo fanno in automatico (vedi il tool open-source Heretic), ma esistono modelli, disponibili proprio in Hugging Face, che sono già abliterati.

Quindi, possiamo dire, Hugging Face aveva in casa la soluzione, senza forse saperlo. I tecnici hanno eseguito la versione abliterata in locale, sui loro server, per avere il pieno controllo. Questo ha evitato di passare per API di terze parti, mantenendo i dati sensibili dell’attacco all’interno della loro rete.

E, come si capisce, la questione dell’esecuzione in locale rappresenta il vero vantaggio dell’open-weight: non sono stati soggetti alle restrizioni delle API commerciali. Una frase che fa rima con sovranità digitale. E per quanti se lo stessero chiedendo, su Hugging Face esistono versioni già “abliterate” anche dei “famosi” Qwen o Llama, perciò un utente con un computer di fascia consumer può scaricare uno di questi modelli e usarlo immediatamente senza restrizioni.

Come concludere questo lungo racconto?

1. Nel contesto AI ci stiamo muovendo ancora solamente in superficie: implicazioni, modalità di utilizzo e risvolti sono ancora tutti da scoprire.
2. Chi dice di essere un esperto di AI, oggi, mente.
3. La vera competenza oggi è la capacità di discernere le informazioni importanti (in questo caso open-weight e abliterazione) dal marketing sfrenato e fine a sé stesso (o a chi vende i prodotti).

Nota di colore finale: open-weight non vuol dire open-source, e parleremo anche di questo, prima o poi.