Una falla rimasta inosservata per 27 anni in OpenBSD, portata alla luce in una settimana da un modello di intelligenza artificiale: è il punto di partenza di un commento pubblicato il 30 aprile 2026 da digitalswitzerland. Il suo autore, Christophe Nicolas, Group CIO del gruppo Kudelski e membro del comitato esecutivo di digitalswitzerland, ne trae una lettura precisa per la Svizzera: secondo lui, le infrastrutture critiche del Paese non sono state concepite per un avversario simile. Si tratta di un testo d'opinione: gli elementi riportati qui sotto sono quelli che lui riferisce e sostiene.

Che cosa riferisce l'autore

Stando al commento, un modello di IA chiamato Claude Mythos, sviluppato dall'azienda Anthropic, ha trovato nel sistema operativo OpenBSD una vulnerabilità che decenni di verifiche umane non avevano individuato. Sempre secondo l'autore, il modello ha inoltre identificato falle in tutti i principali sistemi operativi e browser web, e per ciascuna ha costruito un attacco mirato funzionante. L'ingegnere che lo utilizzava non aveva, scrive, alcuna formazione in sicurezza; sarebbe bastata una sola istruzione: trovare una vulnerabilità.

Christophe Nicolas indica che Anthropic ha scelto di non rendere pubblico il modello e di riservarne l'accesso a un consorzio americano denominato «Project Glasswing», che riunisce Microsoft, Google, AWS, NVIDIA, JPMorgan e CrowdStrike. Sottolinea che la Svizzera non vi è stata invitata.

Il ragionamento: un'ipotesi che cade

Per trent'anni, spiega, la cibersicurezza si è basata su un'idea semplice: le vulnerabilità gravi sono rare perché sono difficili da trovare. I cicli delle patch sono sempre stati lenti, ma ciò restava tollerabile finché lo erano anche gli aggressori.

Se un'IA si fa carico della parte difficile, ossia cercare le falle alla velocità di una macchina, in parallelo, sull'insieme dei codici sensibili o strategici, questo equilibrio si rompe. È il cuore della sua analisi: il ritmo degli aggiornamenti non corrisponderebbe più a quello degli attacchi possibili.

I tre pilastri svizzeri visti dall'autore

Christophe Nicolas rilegge poi tre punti di forza tradizionali del Paese:

  • La fiducia: poggia, secondo lui, su sistemi che figurano tra i bersagli più allettanti d'Europa.
  • La neutralità: pone la Svizzera, scrive, nella posizione di un Paese che applica le decisioni di iniziative come Project Glasswing senza prendere parte alle discussioni. In altre parole, la Svizzera vedrebbe la minaccia senza che le venga consegnato il manuale d'istruzioni della difesa.
  • L'ingegneria meticolosa: le infrastrutture sono ritenute robuste perché lo sono state per decenni; l'esperienza da sola probabilmente non basterà più, ritiene.

Cita espressamente La Posta, le FFS, l'Amministrazione federale, i sistemi sanitari cantonali, la rete elettrica e le piattaforme private di gestione patrimoniale. Ai suoi occhi, nessuno di questi sistemi è stato concepito per affrontare un avversario capace di trovare in una settimana una falla vecchia di un decennio. Tra accademici e responsabili politici, l'intuizione dominante sarebbe quella di accelerare, una pista pertinente ma ancora senza traduzione concreta, secondo lui.

La sua pista: la sicurezza a livello dell'hardware

Per l'autore, gli aggiornamenti software non basteranno più. Propone di integrare la sicurezza direttamente nell'hardware:

  • sistemi capaci di dimostrare la propria identità e integrità grazie a elementi iscritti nel cuore dei chip;
  • azioni sensibili firmate sistematicamente, affinché nessuna operazione importante passi inosservata;
  • metodi di crittografia concepiti per resistere ai computer di domani, compresi quelli quantistici;
  • spazi protetti nei processori, capaci di bloccarsi in modo pulito in caso di problemi anziché lasciar trapelare i dati.

Precisa che queste tecnologie esistono già e che la Svizzera dispone delle competenze per svilupparle. La loro introduzione dipende tuttavia, secondo lui, da una scelta strategica piuttosto che da un semplice acquisto: trattare la cibersicurezza come un pilastro della sovranità, al pari della neutralità, una capacità che la Svizzera deve padroneggiare da sé.

Tre messaggi mirati

Ai dirigenti suggerisce una domanda semplice: i loro sistemi critici sono in grado di dimostrare di essere degni di fiducia e di tracciare ogni azione sensibile? Se la risposta resta «seguiamo il calendario delle patch», la loro strategia sarebbe già in ritardo.

Ai parlamentari ricorda che nel novembre 2023 la Svizzera ha optato per un approccio settoriale all'IA, coerente all'epoca ma ai suoi occhi oggi insufficiente. Auspica una risposta coordinata nel corso della legislatura attuale, altrimenti la Svizzera rischierebbe di seguire decisioni prese a Bruxelles anziché contribuire a plasmarle. A tutti, infine, afferma che nel 2026 la sovranità dipende anche dalla capacità di comprendere, verificare e padroneggiare le fondamenta di sicurezza dei sistemi.

Che cosa bisogna ricordare

Il testo mescola fatti riferiti su Claude Mythos, che il commento non approfondisce sul piano tecnico (la falla di OpenBSD, per esempio, non vi è descritta), e un'analisi personale della posizione svizzera. Precisa che le opinioni espresse restano quelle dell'autore e non riflettono necessariamente quelle di digitalswitzerland; Christophe Nicolas indica inoltre di aver scritto con il supporto di Claude Opus 4.7 per suggerimenti e rilettura. La sua constatazione centrale, il divario tra la velocità di individuazione delle falle e quella delle patch, interpella i gestori di infrastrutture; i suoi rimedi rientrano in una scelta politica ancora da discutere.

Fonti