Open Secure AI Alliance: che cosa vale l’adesione di un fornitore?
7 min di lettura
Il 27 luglio 2026 NVIDIA ha annunciato la Open Secure AI Alliance, per costruire e condividere strumenti aperti «che promuovano l’uso responsabile dell’IA e la fiducia in essa». Il cuore tecnico sta in una frase del comunicato: «contributors are building an open defense stack for agents — from identity and isolation to safe model formats, multi-model scanning and secure coding workflows». Cioè: identità, isolamento, formati sicuri per i pesi, scansione multi-modello, sviluppo protetto.
L’annuncio arriva sei giorni dopo che è diventata pubblica l’intrusione condotta da un agente contro Hugging Face e a ridosso della risposta del Congresso americano. Di quell’incidente ci siamo già occupati. Qui il fatto notevole è un altro: chi c’è, e chi non c’è.
La composizione
Nel testo del blog NVIDIA ho contato 37 organizzazioni indicate come partner inaugurali: NVIDIA, Adobe, Cadence, Capital One, Cisco, Cloudera, Cloudflare, Cognition, CrowdStrike, Databricks, Dell Technologies, DoorDash, Elastic, HPE, Hugging Face, IBM, LangChain, Linux Foundation, Microsoft, NAVER, NetApp, Nous Research, OpenClaw, Palantir, Palo Alto Networks, Red Hat, Reflection AI, Salesforce, SAP, ServiceNow, Siemens, SK Telecom, Snowflake, SpacexAI, Synopsys, Thinking Machines Lab, TrendAI. L’elenco è introdotto da «including» e potrebbe non essere esaustivo; Infosecurity Magazine parla di «quasi 40» aziende.
Guardate chi sono: infrastruttura, sicurezza, cloud, software gestionale, fondazioni open source. Quelli che gli agenti li ospitano, li eseguono e li devono difendere. Più la vittima dell’incidente della settimana scorsa.
Manca invece chi costruisce i modelli di frontiera più diffusi. Google, Anthropic e OpenAI non figurano nell’elenco iniziale dei firmatari, come rileva Infosecurity Magazine del 28 luglio. Nessuna delle tre ha reso pubblica una dichiarazione sulle ragioni della propria assenza. Registriamolo come fatto e fermiamoci lì: un’assenza non è un rifiuto, e attribuire a qualcuno posizioni che non ha espresso sarebbe un processo alle intenzioni.
Il rilievo lo fa un CISO, non noi. Kevin Kirkwood, CISO di Exabeam, alla stessa testata: «I principali sviluppatori di modelli di frontiera devono essere al tavolo, e il settore ha bisogno di regole condivise sulla responsabilità quando un agente eccede il proprio ambito». Strumenti migliori aiutano i difensori; una governance migliore, aggiunge, «impedisce che gli strumenti difensivi diventino parte del problema».
Un’alleanza non è un regolatore
Ho cercato tre cose, sul blog e sul modulo collegato: criteri di ammissione, meccanismi di verifica, conseguenze per un membro inadempiente. Non ce ne sono. Nessuna tempistica dichiarata, nessun impegno vincolante, nessun audit, nessuno statuto pubblicato. I contributi sono volontari, non obblighi. Non risulta nemmeno un sito ufficiale dell’alleanza: l’unico punto d’ingresso è un modulo di contatto sul dominio NVIDIA, che chiede ruolo, dimensione dell’azienda, il logo in SVG o PNG e i contributi già dati alla comunità.
Il comunicato dice che l’iniziativa «builds on the leadership» del progetto Akrites della Linux Foundation e del lavoro della comunità OpenSSF. La Linux Foundation è fra i partner inaugurali, ma non risulta dichiarato che l’alleanza sia da essa ospitata: è ispirazione, non ospitalità. La differenza pesa, perché una fondazione ospitante porta statuto, governance e regole di adesione. Qui non ci sono.
Conseguenza pratica. «Il nostro fornitore aderisce alla Open Secure AI Alliance» non è una garanzia che possiate mettere in un contratto né esibire a un’autorità di controllo: non esiste un soggetto che possa dichiarare inadempiente un membro, perché non ci sono adempimenti.
Quello che invece è utilizzabile
I singoli artefatti tecnici, perché sono concreti e si possono pretendere per iscritto. Dal comunicato:
- HPE contribuisce a SPIFFE/SPIRE: identità zero-trust che verifica crittograficamente agenti e servizi, così che solo i carichi autorizzati accedano alle risorse aziendali.
- Hugging Face ha offerto Safetensors alla PyTorch Foundation: formato di archiviazione dei pesi con garanzia di nessuna esecuzione di codice remoto all’apertura.
- IBM e Red Hat, con Lightwell, estendono la sicurezza della catena di fornitura open source tramite patch firmati digitalmente.
- Microsoft porta MDASH, harness di scansione agentica multi-modello che orchestra agenti specializzati per scoprire e dimostrare bug sfruttabili.
- NVIDIA contribuisce modelli, pesi e dati aperti e la ricerca sulle agent harness, più il progetto NOOA (NVIDIA Labs Object-Oriented Agent), già su GitHub, per rendere il comportamento di un agente più facile da testare, tracciare, verificare e governare.
- SpacexAI ha aperto il codice dell’agente di sviluppo Grok Build e dichiara di voler aprire i pesi della linea Grok.
Trasformateli in clausole. Identità crittografica per ogni agente, non credenziali condivise. Formati di pesi che non eseguono codice all’apertura. Patch con catena di firma verificabile fino all’origine. Scansione dei modelli prima della messa in esercizio, non dopo. Isolamento e raggio d’azione limitato. Vale qui la regola dei contratti: i limiti d’uso che non sono scritti e verificabili non esistono. Non comprate l’alleanza: comprate i requisiti, e chiedete la prova.
Un’avvertenza tecnica. Gene Moody, field CTO di Action1, osserva che una volta che un modello gira isolato i controlli di sicurezza «diventano solo un altro strato di software» e «possono essere modificati, rimossi, riaddestrati o sostituiti del tutto». Vale per qualunque strumento open source. La garanzia non sta nell’esistenza dello strumento, ma nella versione che gira da voi e in chi la mantiene. Un nome in un elenco di progetti non dice quale versione avete in produzione.
La conseguenza di secondo ordine
È uno schema ricorrente. Dopo un incidente l’industria produce uno stack difensivo aperto. Gli strumenti sono reali e utili, ma spostano il lavoro — e con il lavoro il rischio — su chi installa il sistema e lo fa funzionare. Chi mette in esercizio un agente resta quello che risponde di ciò che l’agente fa, e il fatto che il fornitore del modello non partecipi allo sforzo difensivo comune non gliela toglie: i permessi di un agente sono un progetto, non una configurazione.
Da qui la domanda da fare al fornitore che cita l’adesione: che cosa succede quando quello strumento non basta? È lì che si vede se esiste un obbligo o solo un contributo. John Strand, titolare di Black Hills Information Security, osserva che molte di queste iniziative «cercano di stabilire standard di settore prima che i governi intervengano con leggi o regolamenti», e che «se questi sforzi siano sufficienti resta da vedere».
Il perimetro come fatto, non come promessa
Nel comunicato c’è un dettaglio che vale il resto, ed è NVIDIA a raccontarlo: durante l’incidente gli strumenti di IA chiusi, non potendo distinguere un attaccante da un difensore, hanno bloccato l’analisi forense, e Hugging Face ha eseguito un modello a pesi aperti sulla propria infrastruttura per analizzare oltre 17.000 azioni e contenere l’intrusione. È una ricostruzione di parte — NVIDIA sostiene i modelli aperti — ma il fatto regge: chi difendeva ha dovuto lavorare in casa propria.
Il raggio d’azione di un agente si limita in due modi. Con la configurazione, e allora dipende da chi l’ha scritta e da quale versione dello strumento è installata quel giorno. Oppure per costruzione: un agente che gira in un ambiente chiuso e dedicato ha un elenco finito di credenziali che può usare, di reti che può raggiungere e di sistemi che può toccare — scritto, verificabile, mostrabile a un revisore. Per avere quel documento non serve fidarsi di nessuna alleanza.
Consegniamo sempre in due modalità, mai una sola: on-premise nell’ambiente del cliente, oppure cloud dedicato CSIDIA — ambiente riservato al singolo cliente, accesso via VPN dedicata, data center in Italia, locali presidiati direttamente da noi. In entrambi i casi il perimetro è una scelta architetturale verificabile: è il metodo con cui lavoriamo.
Volete l’elenco scritto di ciò che un agente potrà toccare nei vostri sistemi, prima di installarlo? Parliamone.