Se alcuni segnalatori privati indicano un determinato contenuto come illegale o illecito, i provider entro trenta minuti dovranno rimuoverlo. E fin qui sono stati inibiti gli accessi a siti innocui come Google Drive. E' quello che è successo con il famigerato "piracy shield", lo strumento per sconfiggere la pirateria sulla trasmissione delle partite di calcio. Un precedente che espone l'Italia a rischi incalcolabili. Ne parliamo con il professor Stefano Zanero, docente di Computer Security al Politecnico di Milano, con il quale affronteremo anche la questione delle modalità tecniche con cui viene applicata la censura, il tema dell'accesso ai siti per adulti e della cyber security, la questione legata all'intelligenza artificiale.
Abbonati a Money.it - naviga senza pubblicità e scopri tutti i contenuti premium dedicati agli abbonati: https://premium.money.it/
Abbonati a Money.it - naviga senza pubblicità e scopri tutti i contenuti premium dedicati agli abbonati: https://premium.money.it/
Category
🗞
NovitàTrascrizione
00:00Ben trovati amici di Moni.it con le nostre interviste, ci stiamo focalizzando delle ultime
00:08settimane su un tema particolare, quello della sicurezza informatica ma anche dell'intelligenza
00:16artificiale e di tutto il dibattito che c'è attorno a questi temi.
00:21Oggi con noi la professora Stefano Zanego, professore ordinario di Computer Security
00:27al Politecnico di Milano. Benvenuto. Buongiorno. Partiamo da un tema che è legato sia al calcio
00:39ma dal quale potremmo anche chiaramente trarre altre riflessioni. Mi riferisco chiaramente al
00:46sistema di Piracy Shield, questo sistema messo in campo dalla Lega Serie A con cui vengono bloccati
00:56immediatamente, così dovrebbe essere, solamente chiaramente i tentativi di vedere a scrocco per
01:03semplificare in modo quindi piratesco le partite causando chiaramente un grosso danno all'industria
01:09del calcio. Ecco ci sono stati però degli intoppi in questo percorso tanto che sono stati bloccati
01:16accessi a siti anche come Google Drive o comunque ad utenti che stavano facendo tutt'altro e che
01:23non erano certo dei pirati. Tanto che una commissaria proprio della Gcom, Elisa Giogni,
01:31ha chiesto di sospendere questo strumento. Ecco questo è un tema che al di là dell'applicazione
01:36al calcio è un tema credo rilevante perché da una parte c'è la legittima istanza di chi deve
01:44tutelare appunto il proprio mercato e quindi anche la propria tra virgolette sopravvivenza,
01:51dall'altra è uno strumento anche che uno potrebbe definire anche un po' inquietante
01:56perché chi ne stabilisce i limiti, chi ne stabilisce gli interventi, ecco lei che cosa
02:00ne pensa? La parola giusta è quella che ha appena usato che è inquietante. Allora in realtà Piracy
02:09Shield, al di là del nome molto aulico inglesizzante, che evidentemente l'inglese non va
02:15bene se usato da pubblica amministrazione, eccetto in certi casi, non è niente di
02:21tecnicamente sofisticato, è un intervento di natura legislativa, cioè è un intervento tramite
02:28il quale dei soggetti segnalatori, che sono le piattaforme di streaming, la liga calcio,
02:35le squadre, insomma una certa platea di soggetti, tra l'altro non pochissimi perché si parla di
02:40decine e decine se non di centinaia di soggetti, può inserire in questo sistema, che ripeto è un
02:47sistema non tecnologicamente super sofisticato, è una bacheca, inserire un indirizzo o un nome
02:55di quelli che usiamo normalmente per connetterci, che a loro parere viene utilizzato per la pirateria,
03:02e tutti i provider d'Italia sono obbligati dalla legge a bloccarlo entro 30 minuti senza
03:10fare domande. Quindi quello che è successo l'ultima volta, ma che continuerà a succedere
03:15perché è inevitabile che succeda, è che qualcuno di questi segnalatori ha inserito come indirizzo
03:22un indirizzo che faceva riferimento a Google Drive e i provider, senza poter dire niente su questo,
03:29lo hanno dovuto bloccare. Per fortuna questa cosa, per fortuna fra virgolette, è successa
03:35domenica durante le partite, quindi non c'era la gente in ufficio, perché altrimenti tutte le
03:42aziende che normalmente la loro attività usano Google Drive, che sono tantissime,
03:47si sarebbero trovate a mal partito bloccate. A questo punto la riflessione diventa,
03:52questo strumento è uno strumento ovviamente con un intervento molto significativo, cioè
04:01blocca automaticamente a discrezione di questi centinaio di soggetti che sono delle persone e
04:08delle società private, non sono nella magistratura. Cioè normalmente se un pubblico ministero trova
04:16un sito web, faccio un esempio estremo volutamente, pedopornografico, per farlo
04:27bloccare la polizia giudiziaria chiede al pubblico ministero un decreto, il CIP lo approva e viene
04:34bloccato. Per le partite di calcio si fa in 30 minuti senza revisione, semplicemente su inserimento
04:40della richiesta da parte di un soggetto non necessariamente qualificato. Mi limito a non
04:46necessariamente qualificato, però possiamo immaginare quanto era difficile per qualcuno
04:52capire che bloccare una roba che finiva con .drive.google.com potesse creare dei problemi.
05:00Cioè come ti viene in mente di fare una roba del genere? Poi quando si bloccano oltre ai nomi
05:06di dominio, cioè ai nomi che utilizziamo noi normalmente per collegarsi alle cose,
05:10www.money.it, anche gli indirizzi IP che sono i numeri che identificano i calcolatori sulla
05:18rete, il problema diventa ancora più elevato. Questa è una cosa che capisco è un po' più
05:23tecnica quindi magari al nostro ascoltatore non è chiarissima, si dovrà come dire fidare della
05:29parola dogmatica dell'esperto che capisco non è sempre al massimo della vita, ma siccome quei
05:36numeri non corrispondono uno a uno con un contenuto, www.money.it corrisponde con il
05:43sito di www.money.it, ma l'indirizzo IP che sta dietro a questo nome non necessariamente ospita
05:52solo www.money.it, potrebbe ospitare in alcuni casi centinaia di migliaia di altre cose che non
05:57c'entrano niente. Quindi se io blocco www.money.it ho bloccato il sito, se io blocco l'indirizzo IP
06:04del sito non necessariamente blocco solo quello, è già successo qualche mese fa cioè prima della
06:12pausa estiva del calcio che ha fatto come dire passare in secondo piano il problema per qualche
06:18mese, avevano bloccato un IP di un'azienda che si chiama Cloudflare che non è nota magari ai più,
06:25ma è un'azienda che fornisce le infrastrutture per fornire i siti web velocemente, cioè un sacco di
06:32siti web usano Cloudflare per accelerare la navigazione, quindi bloccando Cloudflare si
06:39bloccano centinaia di migliaia di loro clienti, che sono i siti che utilizziamo tutti i giorni,
06:44i siti che vogliamo usare su internet, quindi c'è un problema di bilanciamento tra questa
06:50macchina che è esplosivamente pericolosa, messa nelle mani di privati per fermare un fenomeno che
06:58è odioso e giustamente avrebbe fermato, che è la pirateria multimediale in particolare per il
07:05calcio in questo caso, con un rischio significativo per i cittadini e per il sistema paese, perché è
07:13già successo e risuccederà, non può non succedere, di bloccare cose molto critiche. Da un punto di
07:20vista tecnico sarebbe possibile mettere in campo appunto uno strumento molto meno rischioso oppure
07:30è un fenomeno questo, questo anche per chiaramente prevenire, immagino a qualcuno che dirà sì però
07:37allora come si fa, il calcio muore, poi ecco questa attenzione per il calcio e non rispetto anche a
07:42cose molto gravi che citava prima e sulle quali torneremo, perché c'è anche il dibattito sull'accesso
07:47ai siti pornografici, un altro tema credo molto interessante da affrontare, certamente con il
07:53calcio c'è stata insomma quantomeno una strada facilitata per introdurre questo sistema, però ecco
08:01da un punto di vista tecnico sarebbe possibile cercare di fermare questo fenomeno senza appunto
08:06rischiare di mandare in tilt il paese. Ma allora da un punto di vista tecnologico quelli che fanno
08:12questa cosa della pirateria del calcio fanno una cosa molto semplice, prendono un segnale e lo
08:19ritrasmettono online, questa cosa come dire è sempre successa, succedeva con gli stream audio,
08:27è successo nell'industria cinematografica, cioè ciclicamente la tecnologia crea degli modi con
08:36cui la pirateria può diffondere i contenuti. La risposta molto spesso tende ad essere una
08:45risposta di tipo tecnologico con dei risultati intanto francamente irrilevanti dal punto di
08:54vista della prevenzione del fenomeno, perché capiamoci il fenomeno per esempio adesso parlo
09:01alle persone della mia, della nostra diciamo fascia d'età, il fenomeno degli mp3 che uno
09:11si scaricava con le tracce audio sui vari sistemi di file sharing che era pirateria musicale. Non è
09:18scomparso perché miracolosamente abbiamo bloccato la distribuzione dai pirati, non è scomparso
09:25perché abbiamo ucciso i meccanismi per fare download, ci sono ancora, tutto questo c'è ancora.
09:33Com'è scomparso? E' scomparso perché è arrivato Spotify e fratelli e sorelle che offrono un
09:39servizio dove uno paga qualche euro al mese e ottiene in streaming legalmente tutta la musica
09:45che vuole con la qualità migliore rispetto a quella che poteva scaricare e questo l'ha fatto
09:49scomparire. Come scompare la pirateria del calcio? E' scompare offrendo l'accesso a delle condizioni
09:57economiche tali per cui la gente come dire si è invogliata a utilizzare gli strumenti legali. Io
10:06poi lo dico non sono un appassionato di calcio quindi ne parlo solo per quello che mi hanno
10:11raccontato le persone però mi pare di capire che per esempio uno dei problemi sia che siccome è
10:17stata frammentata l'offerta se uno è appassionato dell'Inter, del Milano, della Juventus e vuole
10:24vedere tutte le gare di quella squadra deve finire per fare molteplici abbonamenti. E' chiaro che la
10:29gente magari questa cosa non la fa se invece gli si offre un singolo abbonamento a un prezzo
10:34ragionevole con cui fare tutto quanto. Secondo me questa è la strada per sconfiggere la pirateria
10:42molto più efficace di qualsiasi strada tecnologica. Poi in particolare questa strada tecnologica cioè
10:48il blocco degli indirizzi è sbagliata. Cioè proprio non si può fare. Per vent'anni è stato chiesto in
10:56tutte le guise in tutte le forme da varie industrie del copyright di fare questa cosa. Per vent'anni
11:01abbiamo spiegato in Parlamento, in Tribunale eccetera perché non si poteva fare. Quando
11:06finalmente qualcuno è riuscito a fare lobby fino a farla implementare molti, me compreso,
11:13siamo seduti con il nostro sacchetto di popcorn e abbiamo detto che adesso aspettiamo di vedere
11:18cosa succede. E puntualmente è successo esattamente quello che chiunque qualunque
11:24esperto di tecnologia italiano straniero se ne potete prendere quanti ne volete vi diranno
11:30tutti la stessa cosa. Questo modo di fare blocchi non solo non funziona per contrastare il fenomeno
11:37che il fenomeno infatti continua senza nessuna variazione ma è pericoloso. Non si può e non si
11:45deve fare. Quando prima ho usato il termine segnalatori chiaramente mi si è accesa una
11:50lampadina perché abbiamo detto oggi viene applicato al calcio ma siccome c'è un dibattito in corso
11:58che in parte può avere anche un suo fondamento, poi bisogna vedere chiaramente anche qui chi
12:05stabilisce cosa e come, i segnalatori esistono già ad esempio anche per il cosiddetto fact checking
12:12per cui c'è qualcuno che segnala a facebook in particolare non solo che determinate notizie
12:20sono false ed è successo in questi anni che sono state rimosse. Qui è un intervento chiaramente
12:27fatto da alcuni che lo fanno anche come attività, però con questo sistema qui del calcio un domani
12:36potrebbe arrivare una segnalazione da qualcuno che dice guardate che questa notizia è falsa,
12:43questo contenuto è falso o dannoso chissà che cosa e magari viene il provider obbligato entro
12:4930 minuti a rimuoverlo. Cioè è un precedente, le chiedo, pericoloso anche sotto questo punto di
12:55vista? E' pericolosissimo, tra l'altro quando si fa questa cosa, e la ringrazio per la domanda
13:04perché ha detto una cosa che altrimenti non avrei saputo dire meglio io, ma quando si fa questa
13:11osservazione cioè oggi lo facciamo per bloccare queste cose ma potrebbe essere usato per altro,
13:17in generale no la risposta è che stai facendo una fallaccia logica che è quella della china
13:24scivolosa cioè di pensare a tutti i modi in cui questa cosa può peggiorare. Noi abbiamo su questo
13:32specifico argomento dei blocchi una storia da guardare cioè non è una ipotesi quella che le
13:40avanzava, è una certezza storica. In Italia la prima forma di blocco non sugli indirizzi IP ma
13:50solo sui nomi di dominio, che è comunque pericoloso ma molto meno, è stata inserita
13:56con una grande battaglia contro, tra l'altro che io sono abbastanza vecchio per ricordare,
14:00stiamo parlando del 2000-2001, per la lotta alla pedopornografia. Cosa su cui chi può essere,
14:08come dire, contrario alla lotta contro la pedopornografia è un crimine molto schifoso
14:14e tutti siamo a sostegno della lotta alla pedopornografia in tutti i modi, in tutte le
14:21maniere. Ora è stato inserito per quello, quella infrastruttura di blocco poi in maniera completamente
14:29naturale è stata estesa al blocco per siti che si occupavano di inneggiare al terrorismo,
14:34anche qui chi potrebbe mai obiettare a questa cosa, poi si è passato a usarla per i blocchi
14:39dei siti del gioco d'azzardo. Di nuovo, è un'applicazione della legge? Assolutamente sì,
14:47però vediamo che queste infrastrutture quando vengono messe poi vengono usate per un po' tante
14:52cose diverse. Nel caso specifico di Piracy Shield, se venisse utilizzata per fare, come diceva lei,
15:01per esempio una censura di un sito, adesso non pensiamo alla questione censura della singola
15:07notizia, ma di un sito, anche di un sito che tutto sommato siamo tutti convinti che possa
15:15essere un sito pericoloso, la gravità di questa cosa risulta dal fatto che mentre quelle altre
15:25forme di blocco per, ripeto, reati gravissimi, terrorismo, pedopornografia, passano dalla
15:34revisione di una agenzia pubblica oppure della magistratura, in questo caso si procede su input
15:44di una parte privata senza nessuna forma di controllo a segare via un pezzo della rete
15:52internet, che può contenere cose molto importanti. Questo qui è un'estinzione di questa facoltà
16:05censoria assolutamente spropositata. In una intervista precedente mi è capitato di dire
16:11una frase che non pensavo avrei mai detto, e cioè che almeno in Cina questa roba qui la fa il Partito
16:18Comunista, non la decide il primo privato che è passato per strada. Pensiamo a come siamo messi,
16:26non esistono esempi di paesi democratici dove viene fatta questa cosa, esistono ora per il calcio e
16:35francamente andare a creare un sistema che ha tutte le caratteristiche di un sistema censorio,
16:42che può finire per censurare contenuti, opinioni e altre cose che vorremmo invece poter accedere al
16:52fine di tutelare i diritti di trasmissione delle partite di calcio, mi sembra un po' eccessivo,
17:00con tutto il rispetto per i diritti della trasmissione del partito di calcio che sono
17:03meritevoli di tutela. Per chiudere su questa pagina, visto che anche Domenica a Trasmissione
17:11Report si è occupato del caso Meta che ha deciso di limitare, se non quasi anche annullare,
17:19la visibilità dei post di tipo politico su Facebook, in particolare la trasmissione si
17:25chiedeva chi stabilisce che cose politiche, anche qui chi stabilisce cosa, e se l'azienda è privata,
17:32si dice sempre, sono aziende private, fanno quello che vogliono, eccetera, eccetera. E'
17:36evidente che questo fenomeno insieme al cosiddetto shadow ban, che non è appunto un ban eclatante,
17:44cioè ti rimuovo l'account ma te lo rendo sostanzialmente invisibile anche alla tua
17:48comunità, anche questo è un diritto di veto che siamo in un mondo molto grigio dove quello che è
17:58lecito e quello che non è lecito è sempre difficile da comprendere, però considerando
18:03l'impatto che questi mezzi ormai hanno oggi, è un limite molto grande, anche perché è ancora
18:09più suddolo perché la persona non sa di essere eventualmente oggetto di un provvedimento di
18:14questo tipo. Ecco, secondo lei, da un punto di vista tecnico, questo fenomeno dello shadow ban,
18:19quanto è diffuso, se si è modificato nel tempo e che percezione ha? Beh, è sicuramente un fenomeno,
18:29io direi quasi implicito nella struttura degli strumenti social. Perché è implicito? Perché
18:36gli strumenti social sono, in inglese si direbbe un fire hose, un idrante che spara un grosso
18:44quantitativo di post, informazioni, eccetera. Noi, come dire, li riusciamo a utilizzare,
18:52li troviamo gradevoli, anche perché all'interno di questa massa maremagno di post c'è una
19:02selezione algoritmica che ci mostra cose che ragionevolmente potremmo voler vedere. Fino a
19:09cui è la teoria buona di questa cosa, per cui non è ragionevolmente accettabile una esplosione in cui
19:20tutto quello che viene passato sui social ci viene mostrato costantemente, non funzionerebbe
19:26bene. Per averne un esempio, i nostri ascoltatori che magari hanno avuto modo di esplorare quando
19:35è stato aperto il social network simile a Twitter fatto da Instagram, se hanno avuto modo di fare
19:44questa cosa, hanno aperto un profilo vergine, diciamo nuovo, si saranno resi conto che vedevano
19:50una serie di post di cui non gli sarebbe importato niente. Il motivo è che non essendo ancora
19:57completamente profilati rispetto a quel nuovo meccanismo, vedevamo quello che succederebbe se
20:06gli algoritmi dei social network non fossero così ben tarati. Questo significa anche che,
20:11però, chi ha la mano su questo algoritmo può non solo fare della censura ad personam,
20:18come lo shadow ban, dove i post di una persona vengono depotenziati, ma fare per esempio della
20:24censura su argomenti. Quando Musk ha preso il controllo di Twitter si sono iniziati ad
20:33essere delle alternative tipo Blue Sky e se voi scrivete un post su Twitter con la parola
20:41Blue Sky dentro, il post lo vedono in pochissimi. Questo è un peso algoritmico che il proprietario
20:49della piattaforma o chi gestisce la piattaforma in generale potrà sempre applicare, perché la
20:55piattaforma senza algoritmi non può esistere, il modo in cui funziona l'algoritmo lo decide
20:59la piattaforma. C'è ovviamente uno spettro di toni di grigio tra quanta forza viene applicata
21:08su questa forzatura algoritmica, quali selezioni, quali policy vengono decise. Secondo me è una
21:16questione anche di trasparenza nel fatto che queste scelte, tipo quella di meta,
21:21vengano pubblicate e ne venga data contezza. Chiunque utilizzi ancora il povero rimasuglio
21:32di Twitter dopo l'invasione di Musk si rende conto che lo stream dei contenuti è incredibilmente
21:42diverso, incredibilmente peggiore per qualità. Perché? Perché è stata applicata una forza
21:47notevole agli algoritmi che potenziano certi tipi di contenuti. Questa cosa su piattaforme
21:56social di proprietà di privati gestite da aziende non può che succedere. L'unica cosa
22:02che possiamo fare è discutere sui limiti, discutere sugli approcci e magari utilizzare
22:08piattaforme che si dimostrano più trasparenti nel loro approccio alla moderazione algoritmica
22:16e al potenziamento e depotenziamento di contenuti. Citavo prima il tema della pornografia. Anche qui
22:26si è aperto un dibattito sull'accesso, cioè come stabilire se ad accedere appunto sia un adulto
22:34oppure un minorenne, proteggere i minorenni, ci sono dei sistemi chiaramente che i famosi filtri
22:39familiari, questa chiaramente è una discrezione di genitori e delle famiglie stesse, ma introdurre
22:45invece un sistema per essere certi che l'accesso provenga da un maggiorenne. Qualcuno aveva
22:52ipotizzato lo speed ad esempio, poi la cosa mi sembra che non abbia avuto corso ulteriormente
22:59in questo dibattito. Secondo lei è un tema da sviluppare e anche qui chiaramente si apre
23:08la riflessione, perché comunque sempre per non cadere della fallaccia logica, però quando si
23:16cominciano a mettere dei vincoli per accedere alla rete, magari oggi il ban te lo fa facebook
23:23o te lo fa youtube e domani magari sei stato cattivo e quindi disabilitano l'accesso a te
23:30come persona, quindi non puoi più accedere col tuo speed. Faccio per estremizzare ovviamente,
23:35ma sono cose che non sono così campate in aria. Ecco anche qui come bilanciare due interessi
23:41legittimi entrambi. Allora intanto ovviamente io prima ho parlato di siti pedopornografici e un
23:50crimine, stiamo parlando di un'altra cosa. Per quel che riguarda l'accesso alla pornografia,
23:56ma poi se devo essere proprio sincero, adesso lo dico in maniera scherzosa, ma secondo me
24:03su internet ci sono un sacco di contenuti peggiori della pornografia a cui non vorrei
24:12che tipo un quattordicenne o un quindicenne arrivassero. Ecco perché secondo me l'accesso
24:20a un pochino di materiale pornografico underage c'è sempre stato, c'è sempre stata la curiosità.
24:27Ovviamente dal punto di vista genitoriale c'è la giusta necessità di contenere l'accesso a un
24:36maremagno di oggetti pornografici che ci possono essere in rete e di poter educare, di poter
24:45svolgere la propria funzione educativa nell'accompagnare i figli a maturare e quindi ad
24:49accedere al materiale giusto per la loro età. Io mi sentirei in questo campo di adottare lo
24:58slogan di Tim Walz nella campagna elettorale delle elezioni americane, mind your own damn
25:05business. Cioè questa cosa qui è una cosa che si risolve dal punto di vista educativo. Dobbiamo
25:11fornire ai genitori per esempio controlli parentali, dobbiamo fornire ai genitori meccanismi
25:18efficaci per accompagnare i ragazzi man mano che maturano nel loro utilizzo delle nuove tecnologie,
25:26ma non possiamo pensare di introdurre i controlli per età sull'accesso ai siti web,
25:36in particolare mediante lo speed. Lo speed è una caratteristica italiana e anche se noi
25:44dovessimo fare una norma, posto che lo speed è lo strumento sbagliato perché identifica l'identità
25:50non solo la maggiore età, quindi non è lo strumento giusto, bisognerebbe inserire un meccanismo tramite
25:57il quale uno ottiene la credenziale della maggiore età svincolata dalla propria identità per poi
26:02utilizzarla sui certi tipi di siti. Questa cosa varrebbe solo in Italia, quindi i fornitori di
26:09questo tipo di servizi dovrebbero adeguarsi, poi ci sarebbe il problema di capire cosa succede a
26:16quelli che non si adeguano, cioè cosa facciamo, li blocchiamo come i siti del gioco d'azzardo?
26:21Ma i casi no online sono n, i siti di pornografia online sono n alla centesima potenza, sono
26:29tantissimi. Questa cosa tecnicamente può solo risolversi in un disastro, quindi il mio suggerimento
26:38in questo caso sarebbe mind your own business, troviamo dei modi per dare ai genitori dei
26:44controlli che possono usare per svolgere la loro funzione educativa e poi saranno le famiglie a
26:50decidere che cosa i figli possono fare, come possono accedere alla rete. Io quando faccio
26:57incontri con genitori preoccupati dico sempre che il punto è che tanto questo strumento di
27:03comunicazione e di socializzazione è uno strumento che magari per la fascia dei genitori è nuovo,
27:09ma per i ragazzi è lo strumento della società in cui sono inseriti e quindi bisogna accompagnarli
27:17in questo strumento come li si accompagna in tutte le altre questioni della propria vita,
27:23cioè la stesso ruolo educativo che si svolge al di fuori della rete deve essere svolto anche
27:30all'interno della rete e mi rendo conto del disagio nel fatto che magari questo ambiente è meno noto
27:35per i genitori. Secondo me però la funzione lì è una funzione educativa parentale in cui i blocchi
27:45di stato sono una pessima idea che tra l'altro verrebbe realizzata in modo tecnologicamente
27:53assurdo, ne sono certo senza neanche aver bisogno di vederlo. Parlando del tema della
28:00sicurezza si fa molto riferimento di questi tempi alla guerra ibrida, la protezione delle
28:06nostre infrastrutture, sia europee che italiane, ogni tanto c'è lo sporacchio dell'attacco hacker,
28:13quest'estate è successo quel giorno il finimondo con il blocco dei voli in aeroporto. Come vede
28:24ecco questo tema della sicurezza proprio dell'infrastruttura sia delle nostre reti in
28:29particolare? Anche in questi giorni c'è stato anche l'altro scandalo sui dossieraggi e chiaramente
28:35va a lambire anche attività legate poi ai dati che sono disponibili nelle banche digitali,
28:42siamo entrati anche nell'era del wallet digitale, quindi sono tanti temi che si
28:47intrecciano. Siamo in pericolo come paese da questo punto di vista? Allora il ruolo di chi
28:57fa security è sempre una valutazione del rischio, cioè non esiste attività umana dove non ci sia
29:05un rischio, fare sicurezza informatica significa valutare i rischi perché ovviamente tutte le
29:12infrastrutture informatiche sono esposte alla possibilità di attacchi. Lei faceva giustamente
29:17l'esempio del caos che è successo, peraltro non per un attacco informatico ma per un aggiornamento
29:25malriuscito di un software tra l'altro di sicurezza informatica. Quello ci ha evidenziato qual è la
29:32dipendenza critica delle nostre infrastrutture, anche di trasporto, quindi infrastrutture che
29:37con il digitale non c'entrano necessariamente dall'informatica. Tra l'altro aggiungerei,
29:43riconnettendoci al discorso di Piracy Shield, è anche uno dei motivi per cui è così pericoloso
29:49quello che stanno facendo, perché bloccare pezzi di internet al giorno d'oggi può significare
29:57tranquillamente bloccare pezzi di società, anche cose molto critiche. Quindi dobbiamo sicuramente
30:03capire quali sono le esposizioni del paese e dei sistemi delle infrastrutture critiche alle
30:11possibilità di un'aggressione. Ora, da un punto di vista di un messaggio positivo, diciamo un po'
30:18più tranquillizzante, c'è un libro di un collega molto bravo che si chiama Thomas Reed, che si
30:26intitola, basta il titolo per questo libro, però lo consiglio se qualcuno vuole approfondire,
30:30non è tecnicissimo, quindi si può leggere se uno è interessato. Si intitola Cyber War
30:37Will Not Take Place, che ovviamente è un titolo fatto apposta per essere controverso, nel senso
30:44che gli attacchi alle infrastrutture digitali non è che succederanno al di fuori del contesto di
30:51un conflitto. Per esempio, episodi di guerra ibrida sono successi, succedono e succederanno
30:58ancora, tristemente, nella invasione dell'Ucraina da parte della Russia. Lì effettivamente sono
31:06stati usati attacchi di guerra ibrida, specie prima della invasione del 2022. Nel senso,
31:12l'aggressione russa all'Ucraina è cominciata nel 2014. Nel dicembre del 2014 c'è stato un attacco
31:19alla rete energetica della regione del Donbass, che ormai è un termine che abbiamo imparato a
31:24conoscere nel 2014, non lo conoscevamo così tanto, fatta con un attacco informatico. Quindi,
31:34questo tipo di operazioni possono succedere? Sì, succedono nel contesto di un conflitto più
31:39ampio. Non è facile immaginare il nostro paese coinvolto direttamente in un conflitto bellico,
31:48però in quel contesto la sicurezza delle infrastrutture rispetto agli aggressori statuali
31:55ha senso. Ciò dove invece già dobbiamo proteggerci, dobbiamo capire i perimetri con cui proteggersi,
32:05rispetto a quello che lei accennava nell'ultima parte della domanda, cioè rispetto all'accesso
32:12a dati, dossier, informazioni che potrebbero essere usate o contro singoli individui o contro
32:19infrastrutture e aziende. Perché invece lo spionaggio informatico non solo è ai massimi
32:27termini da anni, ma è anche estremamente efficace. Viene condotto da privati, viene condotto da
32:33stati, lo sappiamo, ne abbiamo contezza. Non è una roba cyberpunk da romanzo di fantascienza,
32:41è una cosa che sappiamo e abbiamo visto con mano. Faccio un esempio molto sotto gli occhi di tutti.
32:49La campagna elettorale americana del 2016 è stata segnata dal rilascio di mail del Partito
32:57Democratico, che hanno avuto un impatto devastante sulla campagna elettorale di Larry Clinton.
33:01Quelle mail erano state trafugate dai servizi segreti russi e poi rimesse in circolo per
33:07danneggiare la candidata Hillary. Questa cosa è già successa, non è una fantasia, è un dato di
33:14fatto. Su questo invece dobbiamo concentrarci. La debolezza, la vulnerabilità del nostro Paese
33:22rispetto a questi scandaletti, perché sono scandaletti di dossieraggi fatti da persone
33:28che le hanno fatti con metodi molto umani, molto basilari, mi verrebbe da dire. Immaginiamoci che
33:36cosa può fare un'agenzia di intelligence sofisticata, se i metodi più semplici portano
33:45già a questi risultati disastrosi. Chiudiamo con il tema dei temi di questi tempi,
33:52l'intelligenza artificiale. Spesso facciamo la domanda, innanzitutto, se effettivamente è una
33:59forma di intelligenza paragonabile a quella umana o no, che è già una domanda filosofica, perché
34:05molti, anche tecnici, sostengono che il termine è forbiante. Che società del futuro possiamo
34:14immaginare? Abbiamo già rilevato questo fenomeno, un po' tutti anche pubblicizzano a livello
34:20marketing, tutti adesso usano l'intelligenza artificiale come plus per vendere i propri
34:27servizi, quando mi pare che si tratta di tutto poiché di una novità. Ripropongono le stesse
34:33cose con questa copertina dell'intelligenza artificiale. In altri casi chiaramente l'impatto
34:38c'è, pensiamo a certi GPT, pensiamo a tanti altri esempi che forse travolgeranno la nostra società
34:46e il mondo del lavoro. Lei che cosa ne pensa? Io, innanzitutto, mi trovo molto d'accordo con
34:54quello che ha appena detto, cioè sul fatto che molte delle cose che ci vengono proposte come
34:59novità dell'intelligenza artificiale, in realtà, sono cose che facciamo già da molto tempo. Faccio
35:05un esempio autobiografico, così me lo dico da solo e non offendo nessuno se non me stesso,
35:11la mia tesi di dottorato nel 2006 riguardava l'applicazione di machine learning, quindi
35:18quello che adesso viene ricategorizzato come intelligenza artificiale, per l'identificazione
35:25degli attacchi informatici. Non ero sicuramente il primo a farlo, quindi è almeno da fine degli
35:31anni 70 che si fa questa cosa. Per cui, come dire, quello che è successo ora è che queste
35:37tecniche di machine learning, in alcuni specifici campi, sono diventate esplosivamente molto più
35:44interessanti. In particolare, quasi tutti avranno giocato con Cpt e con i suoi fratelli e sorelle,
35:50che sono degli strumenti che formulano risposte, sintetizzano linguaggio in maniera molto elaborata.
36:01Il punto qual è? E' che in realtà quella dell'intelligenza artificiale è una lunga marcia,
36:07come qualsiasi altra disciplina scientifica. Sicuramente ci sono degli impatti molto forti
36:18nel futuro in alcuni tipi di servizi, in alcuni tipi di cose, dove l'intelligenza artificiale
36:22può avere degli impatti forti, però il nome è un nome che tradizionalmente crea confusione.
36:31Intelligenza artificiale vuol dire tante cose diverse. Può voler dire la capacità di una
36:37macchina di far risolvere in modo intelligente un certo tipo di problemi, che è quello che abbiamo
36:42adesso. Tradizionalmente veniva chiamata intelligenza artificiale debole. L'altra
36:48interpretazione è la macchina che è intelligente come e nel senso dell'uomo. In realtà anche il
36:55termine intelligente è un termine difficile da definire, perché noi lo definiamo basandolo
36:59su noi stessi. Noi chiamiamo intelligente quello che facciamo noi. La nostra definizione di
37:06intelligente o non intelligente è una definizione umana, tant'è che quando vediamo l'intelligenza
37:12in alcune specie animali, come nel delfino o nel nostro cane, il nostro istinto è di dire che è
37:20intelligente e sembra una persona. Perché è la nostra definizione? Quindi c'è tutto dibattito
37:28filosofico, su cui sarebbe più titolata la mia collega Viola Schiaffonati, di quanto non sia io.
37:32Io mi limito alla parte tecnica relativa alla cyber security. Nella cyber security abbiamo già
37:37usato il machine learning, lo stiamo continuando a usare, diventerà sempre meglio. Io non credo che
37:44l'esplosione di interesse, dovuta al fatto che c'è stata questa esplosiva crescita di efficacia in
37:52uno specifico settore dell'intelligenza artificiale, che è la intelligenza artificiale con la costruzione
37:57di dialoghi, con la costruzione di scene, con la costruzione di video, corrisponda a un enorme
38:02progresso nella intelligenza artificiale to cure. Però corrisponde sicuramente a un cambiamento
38:09significativo per alcuni tipi di professioni. Una professione, per esempio, è quella della
38:14produzione dei contenuti. Siccome ci sono questi strumenti che aiutano a produrre contenuti
38:19testuali o video o immagini, queste professioni sicuramente cambieranno. Dal punto di vista della
38:24sicurezza, l'impatto più forte, che per ora mi sembra di vedere nel brevissimo termine, è il fatto
38:30che, siccome l'intelligenza artificiale generativa applicata all'audio-video consente di fare cose
38:36tipo creare un video di Stefano Zanero che parla e dice le cose che voglio io, questa cosa si
38:45traduce nel fatto che, per esempio, per gli scammer, per quelli che ingannano gli altri,
38:50c'è la possibilità di fare questa cosa mediante una chiamata in video che è molto più convincente
38:59di una mail. Cioè lo stesso scam che adesso viene fatto mandando il messaggino sms,
39:04ma guarda mi hanno rubato il telefono, mi servono 500 euro, oppure sono in una riunione,
39:10la mail che arriva dal capo, mi serve che tu faccia questo bonifico. Se questa cosa qui la
39:18trasferiamo a il capo, me lo dice lui, in chiamata Teams, questa cosa ha un impatto sicuramente
39:26maggiore. Quindi secondo me, dal punto di vista della cyber security, l'impatto più forte di
39:32questo sviluppo e più immediato sarà in questa direzione. Chiudiamo il cerchio, abbiamo cominciato
39:38con il calcio, che mi è venuta in mente un'altra cosa che il mondo del calcio vuole introdurre e
39:44anche questo ci permette magari di allargare il discorso, cioè la sicurezza degli stadi e
39:51introduzione, se ne parla da tempo, del riconoscimento facciale, come già avviene anche
39:58in alcuni aeroporti, in uno sicuramente, non sono aggiornatissimo, ma in uno mi pare proprio di sì,
40:03al nord, forse Milano, degli aeroporti di Milano. Questa introduzione della tecnologia per ragioni
40:13di sicurezza, come la vede, c'è uno scenario a questo punto ineluttabile e anche qui,
40:21chiaramente, il pensiero a volte va a alcuni aspetti, ad esempio, della società cinese,
40:26si è molto parlato lì di quello che è il punteggio sociale, poi alcuni che vivono e lavorano in Cina
40:33ci dicono che comunque le cose non stanno come sono state raccontate qui da noi, comunque sia,
40:38certo, anche qui abbiamo usato il termine inquietante, anche qui potremmo in parte
40:44utilizzarlo. Quindi il rapporto tra tecnologia, privacy e ragioni di sicurezza. Allora,
40:53io parto da un presupposto che la sicurezza include la privacy, cioè siccome la sicurezza,
41:01in particolare quella informatica, include la riservatezza delle cose tra i suoi obiettivi,
41:07nel sistema sicurezza c'è anche il rispetto della privacy, quindi ogni volta che qualcuno dice
41:14togliamo un po' di privacy per aumentare la sicurezza sta facendo il gioco delle tre carte,
41:20bisogna capire chi prende la carta perdente e di solito siamo noi alla fine. Nel caso degli
41:28stadi, ma questa cosa per esempio vale nel caso di altri tipi di accessi ai luoghi controllati,
41:33mi viene in mente un esempio di utilizzo con successo del riconoscimento facciale che sono
41:39i Casinò. A Las Vegas i Casinò hanno un database con le immagini facciali dei Bari e se lo
41:46condividono tra di loro, è l'unica cosa su cui cooperano i Casinò di Las Vegas e questa cosa
41:51ha un'efficacia molto forte, il risultato è che si può fare questa cosa. Se io aumento la
42:03popolazione che viene guardata dalle telecamere per fare riconoscimenti di qualsiasi tipo facciale,
42:09di comportamento eccetera, vado incontro a quello che nel gergo tecnico viene chiamato base rate
42:16fallacy. Che cosa vuol dire? Siccome allo stadio ci sono molte più persone brave che vanno a
42:23seguire lo sport, appassionate che delinquenti, la stessa cosa varrebbe in metro, la stessa cosa
42:29varrebbe in aeroporto, il fatto che queste tecnologie per loro natura, cioè è impossibile
42:38che non sia così, hanno dei tassi di fallimento, siccome ci sono molte più brave persone che cattive
42:45persone in questi setting, quello che succede è che molto più spesso succederanno dei falsi positivi,
42:52cioè una brava persona che viene identificata male rispetto ai falsi negativi, cioè il fatto
42:57che qualcuno mi scappa da questa cosa. Quindi in tutti questi setting la precisione del
43:08riconoscimento diventa il discrimine essenziale tra quanto funziona e quanto no, e anche la
43:14possibilità di intervenire in maniera discreta. Nel casino se una telecamera dice questo qui è un
43:20baro, io non è che devo intervenire immediatamente perché lo devo bloccare, placarlo a terra, è
43:26pericoloso, no, semplicemente uno della security del casino passa dietro e inizia a guardare per
43:33vedere se sta contando le carte, cioè ci c'è una possibilità di intervenire in maniera soft. Allo
43:39stadio diventa un po' più difficile, cosa succede? C'è la barriera, c'è tutto il fiume di persone
43:44che stanno passando, la barriera ti blocca perché tu non puoi entrare, ma magari sei la persona
43:48giusta. E' facile che questa cosa scali male dal punto di vista della gestione dell'ordine pubblico.
43:53Però stiamo sempre parlando di applicazioni in un ambiente concentrato, cioè io vado allo stadio,
43:58so che questa cosa verrà usata per identificarmi quando entro. Vado in aeroporto, so che, per
44:07esempio, lei citava il caso del faceboarding, che però è una cosa opzionale, è un servizio dove
44:14quando arriva in aeroporto associa la propria carta d'imbarco alla faccia e nei vari controlli,
44:20invece di dover passare la carta, passa e la telecamera apre il cancello se io sono la persona
44:26giusta. E' una questione di efficienza. Negli aeroporti americani viene già sperimentata
44:32da tempo questa cosa, per il passaggio della frontiera e per il passaggio dei cancelli
44:38d'imbarco. Se applicato in maniera sensata non è una cosa così sconvolgente. Se invece noi
44:48pensiamo di applicare questo tipo di riconoscimento in ambito urbano, cosa che si fa per esempio in
44:53Cina, allora succede il problema della besera infalla. Se ci sono talmente tante persone che
44:59sono assolutamente innocenti e vogliamo andare a cercare talmente pochi aghi in questo pagliaio,
45:05che di solito il risultato è disastroso. Aggiungerei un ultimo concetto. Ovviamente
45:11tutto questo presume, cioè il fatto di applicare il riconoscimento facciale per esempio per
45:16escludere persone dall'accesso a uno stadio, presume che noi abbiamo una lista delle persone
45:21che vogliamo escludere. Quindi nel caso degli stadi ci sono i provvedimenti eccetera per cui
45:28potrebbe esistere. Però per esempio se uno dice applichiamo la stessa cosa, mettiamola nelle
45:33stazioni del metrò, e chi ce l'ha la lista di quelli che non devono essere sul metrò? Se ce
45:40l'avessimo magari andremmo a intervenire direttamente su queste persone. Quindi è un
45:48tema su cui la faciloneria mi spaventa un po'. Per lo specifico dell'accesso agli stadi potrebbe
45:56anche essere una cosa non così difficile da implementare se fatta con criterio.
46:02Yuki grazie molto, è stata una bellissima chiacchierata. Fortunati i suoi studenti.
46:07Il professor Stefano Zanè, coordinatore di computer security alla Politecnico di Milano.
46:12A presto, grazie.
46:13Grazie a lei, anche del complimento che è il migliore che potesse fare un professore.
46:17Grazie.