Il finto istituto

Al centro dell'operazione c'era l'International Burke Institute, presentato online come una comunità di esperti con un indirizzo in Israele. Aveva un sito, articoli di analisi geopolitica, e perfino un indice di sovranità costruito su misura, che assegnava punteggi lusinghieri alla Russia e severi a Francia, Germania e Stati Uniti.

Il dettaglio che chiarisce la natura dell'operazione è l'elenco degli esperti. Fra i nomi rivendicati dall'istituto comparivano Francis Fukuyama e Noam Chomsky. Su un campione di 36 articoli attribuiti agli esperti elencati dal sito e pubblicati fra settembre 2025 e maggio 2026, OpenAI ne ha trovati 34 copiati da altre fonti in rete, in alcuni casi da pubblicazioni accademiche vere e firmati da qualcun altro.

L'obiettivo non era quindi produrre grandi volumi di propaganda. Era costruire una fonte che sembrasse indipendente e autorevole, e poi usare quella credibilità come veicolo. La stessa frase sulla sovranità perduta dell'Europa pesa in modo diverso se la firma Mosca o se la firma un istituto internazionale con un indice e una metodologia.

Il ruolo che aveva ChatGPT

OpenAI precisa che gli articoli principali dell'istituto non risultavano generati dai suoi modelli. L'AI serviva altrove, come strumento di lavoro. Gli operatori davano istruzioni in russo e chiedevano prevalentemente testi in inglese, poi commenti, traduzioni e materiali per piattaforme diverse. I contenuti collegati sono stati individuati su LinkedIn, X, Facebook, Telegram e Substack, e i canali Telegram riconducibili all'operazione arrivavano ciascuno fra i 10.000 e i 20.000 follower. Per accedere al servizio, che in Russia non è disponibile, usavano VPN.

In più di un caso hanno chiesto esplicitamente al modello di togliere dai testi le tracce linguistiche che li facevano sembrare scritti da un russo. Uno dei canali rivolti al pubblico statunitense si presentava con un nome che non lasciava intuire nulla dell'origine, American Observer. Non volevano parlare alla Russia, volevano parlare agli altri senza sembrare russi.

Lo strumento scelto per nascondersi meglio è diventato uno dei punti da cui l'operazione è stata osservata.

Perché proprio un servizio americano

È la domanda più curiosa di tutta la vicenda. Perché degli operatori il cui obiettivo dichiarato era non sembrare russi avrebbero dovuto appoggiarsi a un servizio statunitense, per giunta non disponibile in Russia e raggiungibile solo passando da una VPN, cioè aggiungendo un passaggio in più e un fornitore in più che vede il traffico.

Il report non offre una risposta e non ci prova. Le ipotesi ragionevoli sono però due. La prima è che un modello linguistico di buona qualità mette in un unico posto capacità linguistica, traduzione, adattamento culturale, riscrittura e produzione rapida di varianti. Se devi parlare contemporaneamente a tedeschi, francesi, polacchi, turchi e americani, e devi farlo sembrando di ciascun paese, quel concentrato di funzioni vale molto più della somma dei singoli strumenti.

La seconda è che ChatGPT possa essere stato soltanto uno degli strumenti in uso. OpenAI vede quello che accade sui propri sistemi e quello che riesce a collegarci intorno, il che non esclude affatto che gli stessi operatori usassero anche altri modelli, magari proprio per le parti che volevano tenere fuori da un servizio occidentale.

Resta comunque il conto che non torna dal punto di vista di chi conduce l'operazione. Guadagnavano qualità, velocità e capacità di adattarsi a cinque pubblici diversi. In cambio infilavano dentro il proprio processo un servizio in cloud sul quale l'attività lascia tracce osservabili dal fornitore.

Quando lo strumento diventa un sensore

Di solito un'indagine ricostruisce l'intenzione partendo dalle tracce. Qualcuno vuole ottenere qualcosa, agisce, lascia segni, e chi indaga risale all'indietro fino al movente. Con un assistente AI compare un passaggio che prima non c'era, perché fra l'intenzione e l'azione si inserisce una conversazione.

È una conseguenza del modo in cui questi sistemi funzionano. Per essere utile, il modello deve ricevere almeno una rappresentazione parziale dell'obiettivo. Non deve conoscere tutto il piano, ma deve sapere abbastanza da poter aiutare, e quel poco viene detto a un servizio che gira su infrastruttura altrui. Un assistente AI in cloud non è soltanto uno strumento operativo, è anche un posto dove il comportamento lascia impronte.

Il problema del singolo prompt

Molti controlli di sicurezza degli attuali modelli linguistici sono costruiti attorno a una domanda sola, cioè se la richiesta che arriva in questo momento sia pericolosa. Funzionano finché il pericolo sta dentro una frase.

Prendiamo una sequenza. Traduci questo articolo in tedesco. Rendilo più naturale per un lettore tedesco. Scrivilo come se l'avesse scritto un cittadino tedesco. Nessuna delle tre richieste, presa da sola, ha qualcosa di problematico, e ognuna ha decine di spiegazioni legittime.

Il quadro cambia se lo stesso schema si ripete per cinque paesi, se compaiono più identità, se gli argomenti convergono sulle stesse tesi e se viene chiesto ogni volta di cancellare gli indicatori di provenienza. Il singolo messaggio resta ambiguo mentre la sequenza acquista una direzione, e nessun filtro che guardi un messaggio alla volta la vede.

Tre livelli diversi di lettura

Conviene mettere in fila le domande, perché sono tre e oggi ne pratichiamo davvero solo la prima. La prima chiede che cosa stia chiedendo l'utente in questo momento, e riguarda il contenuto della singola richiesta. La seconda chiede che cosa stia facendo nel tempo, e riguarda il comportamento osservato attraverso più interazioni. La terza chiede quale obiettivo complessivo spieghi meglio quel comportamento, ed è di un ordine diverso dalle prime due.

La differenza non è di grado ma di natura. Le prime due domande hanno una risposta osservabile, perché il testo della richiesta e la sequenza delle azioni sono fatti. La terza non ce l'ha, perché l'obiettivo di una persona non è scritto da nessuna parte e va ricostruito a partire da indizi che ammettono più spiegazioni.

Il nome non è nuovo di zecca. Intent intelligence si usa già nel marketing rivolto alle aziende, dove indica sistemi che leggono segnali di comportamento per stimare la probabilità che qualcuno stia per comprare qualcosa. Nel campo della sicurezza dei modelli linguistici, invece, con il significato di cui si parla qui, non è un termine consolidato.

Volendo definirlo, si potrebbe dire che l'AI Intent Intelligence è l'analisi longitudinale e probabilistica dei segnali prodotti nell'interazione con un sistema AI, allo scopo di formulare ipotesi sull'obiettivo complessivo perseguito attraverso quel sistema. Le due parole che portano tutto il peso sono probabilistica e ipotesi, perché un sistema del genere non conoscerebbe l'intenzione di nessuno. Proverebbe a inferirla, e sbaglierebbe una certa percentuale di volte.

La ricerca si sta già spostando

Il problema non è teorico e la letteratura recente lo affronta da più lati. In One Turn Too Late, accettato al workshop AIWILD di ICML 2026, il gruppo costruisce un dataset di conversazioni in cui l'intento dannoso è distribuito su molti turni innocui, e prova a individuare il turno esatto in cui la conversazione accumulata diventa sufficiente a produrre un danno. La difficoltà dichiarata è intervenire né troppo tardi né troppo presto, perché rifiutare una conversazione esplorativa legittima ha un costo.

SafeMT, pubblicato negli atti della 64esima conferenza ACL nel luglio 2026, misura la stessa cosa su dialoghi con immagini, con 10.000 campioni distribuiti su 17 scenari, e osserva che la probabilità di successo di un attacco cresce con il numero di turni. Nella stessa direzione va MultiBreak, che mette insieme 10.389 prompt avversari multi-turno su 2.665 intenti dannosi distinti.

Il passaggio compiuto dalla ricerca è dal prompt alla conversazione. La domanda aperta è se il passo successivo sarà dalla conversazione al comportamento, e da lì all'obiettivo che lo spiega.

Ma l'intenzione non è un fatto

Qui arriva il limite, ed è strutturale. Un giornalista che studia una campagna di propaganda formula richieste quasi identiche a quelle di chi la conduce. Un ricercatore di sicurezza si comporta come un attaccante perché il suo mestiere è quello. Un docente che costruisce un esempio di social engineering scrive le stesse cose di chi lo pratica. Le azioni si somigliano e le intenzioni divergono completamente, e nessun segnale osservabile distingue i due casi con certezza.

Un sistema che provasse a inferire l'obiettivo non dovrebbe quindi produrre una conclusione, ma un'ipotesi dichiarata come tale, con un livello di confidenza, i segnali che la sostengono, almeno una spiegazione alternativa altrettanto plausibile e l'indicazione che serve una persona a decidere. Il valore starebbe nella contestabilità, non nella sentenza.

Che aspetto avrebbe un esito onesto

Ipotesi  →  attività coordinata di influenza
Confidenza  →  72 per cento
Segnali a sostegno  →  7
Ipotesi alternativa  →  campagna di comunicazione internazionale
Raccomandazione  →  revisione umana

Quello che cambia rispetto a un verdetto non è il tono ma la struttura. C'è un numero che dichiara quanto il sistema sia incerto, ci sono i segnali che chiunque può andare a controllare uno per uno, e c'è scritta nero su bianco una seconda lettura dei fatti che spiega gli stessi indizi in modo innocente. Chi riceve un esito così ha il materiale per smontarlo, e questo è esattamente il punto.

Ricordare per capire

Per riconoscere un comportamento distribuito nel tempo bisogna conservarlo. Per correlare più sessioni bisogna collegarle a un soggetto. Per ipotizzare un obiettivo bisogna costruire una rappresentazione di come quel soggetto si comporta. Sono tre passaggi che nessuno può saltare, e che trasformano un servizio in un archivio di traiettorie.

Il meccanismo costruito per individuare una campagna di influenza funziona identico se puntato altrove, perché non distingue il bersaglio. Cambia solo chi decide dove puntarlo.

La stessa capacità è uno strumento di sicurezza o uno strumento di sorveglianza a seconda di chi la usa e su chi.

Per questo il problema difficile non è l'accuratezza. Un sistema molto accurato nell'inferire intenzioni è esattamente il sistema di cui bisogna decidere in anticipo i limiti d'uso, perché quanto meglio funziona tanto meno se ne discute.

Con gli agenti la scala cambia

Il problema diventa più grande con i sistemi che agiscono da soli. A un chatbot si chiede di scrivere o tradurre, e serve poco contesto. Un agente autonomo ha bisogno di sapere l'obiettivo, gli strumenti a disposizione, i vincoli, il bersaglio e il criterio con cui capire di aver finito. Deve sapere non solo cosa fare ma perché continuare a farlo.

Ne segue una cosa poco comoda. Più deleghiamo autonomia a questi sistemi, più siamo costretti a spiegargli in modo preciso dove vogliamo arrivare, e quindi più consegniamo a un'infrastruttura esterna una descrizione esplicita delle nostre intenzioni.

Come potrebbe muoversi la difesa

Messa in fila, l'evoluzione ha una direzione abbastanza leggibile. Si è partiti dalla sicurezza del contenuto, che guarda che cosa c'è scritto dentro una richiesta. Si è passati alla sicurezza contestuale, che guarda che cosa significa quella richiesta considerando la conversazione in cui è inserita, ed è il punto in cui la ricerca si trova adesso.

I due gradini successivi non sono ancora stati saliti. Uno guarda che cosa emerge dalle attività di un soggetto distribuite nel tempo, l'altro prova a dire quale obiettivo le spieghi tutte insieme. Ogni gradino allarga la finestra di osservazione e, nello stesso movimento, alza il costo di un errore, perché sbagliare su una frase significa rifiutare una risposta mentre sbagliare su un'intenzione significa attribuire a qualcuno un piano che non aveva.

Il caso russo non dimostra che qualcuno abbia già costruito i due gradini alti, e conviene dirlo senza giri di parole perché il confine fra descrivere una tendenza e vendere una tecnologia inesistente è sottile.

La domanda che conta

Il caso russo non dimostra che l'inferenza dell'intenzione esista già come tecnologia, e vale la pena dirlo chiaramente. Mostra qualcosa di più limitato e comunque significativo, cioè che l'uso di un assistente AI produce segnali utili a capire un'operazione che si estende molto oltre l'AI stessa.

Per anni la domanda è stata se la macchina capisse quello che diciamo. Poi è diventata se capisse quello che facciamo. La prossima riguarda quello che stiamo cercando di ottenere, e se ci arriveremo il problema non sarà se il sistema funziona. Sarà chi può usare quell'inferenza, su quali dati, con quale margine di errore dichiarato e con quali garanzie per chi viene osservato.

Fonti