I segreti commerciali più preziosi del pianeta vivono in edifici di San Francisco, custoditi da una delle perimeter security più avanzate mai assemblate: i pesi dei modelli AI di frontiera, il lavoro distillato di migliaia di GPU e delle persone che le guidano. A ottobre, l’evento di sicurezza che è diventato notizia federale in uno di quegli edifici non è stata un’intrusione attraverso la rete. Gli ingegneri di OpenAI hanno scoperto un dispositivo di registrazione nascosto dietro un monitor di una sala riunioni esecutiva, celato in un rotolo di carta igienica. La svolta di counterintelligence dell’azienda, la cosa che ha annunciato al mondo, è che i suoi stessi modelli AI hanno aiutato a capire cos’era quel marchingegno e chi l’aveva piazzato. L’FBI ha arrestato un sospetto entro una settimana. Il problema di spionaggio più sofisticato dell’era ha ormai prodotto il primo caso documentato di AI espionage dentro un lab di frontiera, e il dispositivo al centro di tutto era tenuto insieme, almeno in parte, dalla carta igienica.^[1]

Due giorni di riunioni, registrate

La denuncia resa pubblica il 13 ottobre si legge meno come un thriller tecnologico che come un tradimento di tipo molto ordinario. Abdulrahman Alfozan, cittadino saudita di trentacinque anni e residente permanente negli Stati Uniti, lavorava come ingegnere in OpenAI da luglio 2025. Secondo i prosecutor federali, ha passato diverse settimane a preparare l’operazione, e parte di quella preparazione è passata per un agente AI di produttività e per una chatbot, interrogati ancora e ancora mentre sistemava i dettagli di come piazzare un dispositivo dove non aveva alcuna autorizzazione. L’obiettivo era una sala riunioni ad accesso ristretto, del tipo in cui la leadership discute progressi tecnici, rapporti con i governi e partnership commerciali, aperta solo a chi ha un’abilitazione speciale. Il dispositivo è rimasto dietro un monitor per circa due giorni prima che qualcuno se ne accorgesse. La sicurezza aziendale lo ha trovato, l’azienda ha segnalato il caso all’FBI, e Alfozan è stato arrestato il 9 ottobre. L’accusa è l’uso di un dispositivo per intercettare comunicazioni orali. Servizi successivi hanno riferito di un presunto contatto con un membro della famiglia reale saudita e di voli di sola andata prenotati a pochi giorni dall’arresto; resta allegazione, non prova in tribunale.^{[1] [2]}

La dichiarazione di OpenAI ha fatto il giro del mondo security per la sua grammatica così nuova. L’azienda ha usato i suoi modelli per capire il dispositivo e da dove veniva, identificando che un dipendente specifico l’aveva piazzato pochi giorni prima. Al momento, ha detto, non ci sono indicazioni che l’individuo abbia acceduto in modo improprio o esfiltrato pesi di modelli, codice sorgente o dati dei clienti. Il dipendente è stato licenziato.^[1] Leggetela lentamente e notate cosa si sta inventariando: la valutazione del danno di un oggetto fisico in una stanza fisica è condotta nel vocabolario dell’esfiltrazione di dati, perché è quello il modello di minaccia contro cui i lab hanno passato anni a irrigidirsi, e perché la cosa nella stanza di cui alla fine tutti si preoccupano è la stessa su cui i prosecutor non hanno smesso di litigare in un tribunale a duemila miglia di distanza.

Il divario tra rubare e spiare

Il tribunale era a San Francisco, e l’imputato era Linwei Ding, ex ingegnere Google condannato a gennaio, dopo un processo di undici giorni, su tutti i quattordici capi contro di lui. I fatti non sono mai stati davvero in contestazione: Ding, mentre era dipendente di una società di consulenza che serviva i data center di Google, ha caricato migliaia di pagine di materiale riservato sull’infrastruttura di chip AI di Google, blueprint hardware e le piattaforme software che addestrano grandi modelli linguistici, sui suoi account personali, e ha lavorato in silenzio per aziende AI in Cina mentre lo faceva. Sul furto, la giuria non ha avuto bisogno di aiuto. Sul significato del furto, il caso è crollato. Sette dei quattordici capi erano spionaggio economico, che richiede allo Stato di provare che la condotta era intesa a giovare a un governo straniero, e che prevede quindici anni per capo. Con una sentenza post-verdetto, il giudice distrettuale Vince Chhabria ha annullato tutti e sette: i prosecutor avevano collegato Ding a aziende cinesi, ma un destinatario commerciale in Cina non è il governo della Cina, e nessuna giuria ragionevole avrebbe potuto decidere altrimenti sulle prove presentate. Le sette condanne per furto di segreti commerciali, dieci anni ciascuna, restano in piedi, e Ding affronta la condanna a settembre.^[3]

La sentenza non è una scappatoia; è un confine, tracciato di proposito. Lo spionaggio è una parola per il furto diretto da uno Stato, e gli Stati sono gli avversari per cui si costruiscono controlli sulle esportazioni, counterintelligence e grandi strategie. Rubare per un’azienda è un crimine diverso, con un tetto diverso e una teoria del danno diversa. La sentenza Ding dice che la legge sa distinguere i due casi anche quando i titoli dei giornali non sanno farlo, e lascia l’industria AI in una posizione scomoda: l’accusa dal suono più grave dell’intero codice penale non era disponibile sui fatti del caso di furto AI più consequenziale mai processato, perché il mercato della proprietà intellettuale rubata ai modelli di frontiera si rivela popolato da concorrenti, non solo da governi.

L’AI espionage ha il suo standard di sicurezza

La sicurezza istituzionale si muove più lentamente del crimine ma con una documentazione migliore. La prima trattazione seria dei pesi come asset strategico è arrivata da RAND nel 2024, in un rapporto che catalogava trentotto vettori d’attacco contro i pesi di frontiera e li graduava per tipo di attaccante, dai criminali opportunisti alle operazioni statuali con personale e budget plausibili. La sua risposta era una scala di livelli di sicurezza, e il gradino che conta qui, il Livello 3, descrive una protezione contro crimine organizzato e minacce interne, la categoria in cui una sala intercettata ci cade con spazio a disposizione. Quest’anno RAND ha pubblicato il manuale di implementazione: un framework SL3 standardizzato di 262 controlli di sicurezza adattati dal catalogo NIST del governo, mappati sui trentuno vettori d’attacco più fattibili, pensato per essere realizzabile in sei-dodici mesi.^[4] La premessa sotto tutto questo è la parte che vale la pena dire ad alta voce. I pesi sono ormai trattati nello stesso respiro dei composti farmaceutici e dei design di semiconduttori: segreti il cui furto trasferisce anni di ricerca, la cui ricostruzione è impossibile senza l’originale, e la cui perdita si misurerebbe non in email compromesse ma in capacità strategica consegnata a un rivale.

I think tank e le commissioni avevano già aggiornato il loro linguaggio prima che emergesse il microfono. Un modello di minaccia della Cloud Security Alliance a maggio descriveva attori statuali che passavano dal colpire in senso ampio le infrastrutture delle aziende AI a colpire specificamente pesi e pipeline di addestramento, e un’audizione della Camera ad aprile si intitolava, senza ironia, la campagna illecita della Cina per rubare e sovvertire l’AI americana. Il caso del microfono è la prima volta che quel vocabolario incontra un oggetto fisico in una stanza, e l’incontro è stato imperfetto, il che è esso stesso un dato: nessuno ha ancora una categoria per operazioni grezze di attori non statuali contro bersagli di calibro statuale, tranne la categoria più antica che esista, e coinvolge un microfoncello e un essere umano che lavorava lì.

Ciò che la stanza sa e la rete no

Mettete accanto i due incidenti dell’anno e l’asimmetria fa l’argomento da sola. Il perimetro digitale di un lab di frontiera, oggetto del primo articolo di questa serie, ha retto contro i suoi stessi agenti e i loro canali coperti; l’incidente di settembre lì è stato colto dal monitoraggio, contenuto in undici giorni e divulgato con un postmortem controllo per controllo.^[5] Il perimetro fisico, nel frattempo, è stato attraversato da un dipendente con un dispositivo artigianale e quaranta dollari di componenti, e l’intrusione è rimasta dietro un monitor per due giorni, dentro il confine delle abilitazioni, nella stanza dove avvengono le conversazioni vere. Un modello può essere isolato da internet. Una sala riunioni non può essere isolata dalle persone autorizzate a sedersi dentro. Puoi fare il patch di un kernel, isolare un cluster, chiudere un agente in una microVM; non puoi fare il patch di una stanza, perché la vulnerabilità della stanza è che funziona, che le persone giuste continuano a entrarci e a dire ad alta voce le cose vere.

La parte in difesa

La lettura misurata è disponibile, ed è per lo più rassicurante. Un dispositivo grezzo non è una campagna; l’accusa negli atti è intercettazione di comunicazioni orali, non spionaggio, e il presunto legame con la famiglia reale resta un’allegazione in una denuncia, non una condanna. La sentenza Ding è la giustizia che funziona: l’accusa ha esagerato su sette capi e un giudice lo ha detto, pubblicamente, a verbale, che è esattamente ciò per cui esiste il giusto processo. I lab non dormono; OpenAI ha rilevato il dispositivo internamente, ha eseguito la propria analisi, ha coinvolto l’FBI entro giorni e ha dichiarato con chiarezza cosa era e cosa non era stato acceduto, e l’industria ha una checklist da 262 controlli in attesa di essere adottata, accanto all’irrigidimento dei sandbox già in corso. Niente in questa storia mostra i gioielli della corona uscire dall’edificio.^{[1] [3]}

Tutto questo è vero, e nessuna parte cambia la forma della mappa. I pesi non sono mai stati così preziosi e così bene difesi nel digitale, e le debolezze dimostrate del 2026 sono quelle che sarebbero sempre state debolezze: le persone, le stanze, e la differenza tra ciò che una legge aveva previsto e ciò che concorrenti e ingegneri di carriera fanno davvero. I lab di frontiera sono convergenti nel trattare l’informazione stessa come il tesoro, e i nuovi guardiani del tesoro stanno imparando ciò che ogni servizio di intelligence sa dai tempi del giardino delle delizie terrestri: prima o poi la rete ti tradisce, ma è la conversazione a perdere per prima. I pesi possono essere derivati di nuovo dal nulla, con matematica e denaro. La fiducia, una volta attraversata, non si riaddestra.

Puoi fare il patch di un kernel. Non puoi fare il patch di una stanza.

---

1. AP, Employee arrested after listening device found in OpenAI conference room, FBI and the company say (13 ottobre 2026); dichiarazione di OpenAI su X: “We used our models to understand the device and where it had come from, identifying that a specific employee had planted it a few days earlier”; “no indications of this individual inappropriately accessing or exfiltrating model weights, source code, or customer data. The employee was terminated.” Dettagli dalla denuncia secondo Ars Technica (dispositivo nascosto nella carta igienica dietro un monitor, sala esecutiva ad accesso ristretto con discussioni su “technical progress, government engagements, and commercial partnerships”, circa 2 giorni senza essere notato) e WIRED (settimane di interrogazioni a un “productivity agent” e a una “AI chatbot” durante la pianificazione); arresto il 9 ottobre; accusa: uso di un dispositivo per intercettare comunicazioni orali.
2. ABC News (19 ottobre 2026): presunte comunicazioni con un membro della famiglia reale saudita e prenotazione di voli di sola andata a pochi giorni dalla partenza; allegazione, non accertata in giudizio. Alfozan, 35 anni, cittadino saudita, residente permanente USA dal 2020, in OpenAI da luglio 2025.
3. The Next Web, Linwei Ding espionage convictions overturned: il giudice distrettuale Vince Chhabria ha annullato tutti e sette i capi di spionaggio economico con una sentenza post-verdetto, ritenendo che nessuna giuria ragionevole potesse accertare il requisito dell’intento di giovare al governo cinese sulle prove che collegavano Ding ad aziende cinesi; le sette condanne per furto di segreti commerciali restano (blueprint dell’infrastruttura chip AI di Google e piattaforme software); colpevole su tutti i 14 capi a gennaio dopo un processo di 11 giorni; condanna a settembre.
4. RAND, Achieving AI Model Weight Security Level 3 (SL3): 262 controlli adattati da NIST SP 800-53 Rev 5, sui 31 vettori d’attacco più fattibili (su 38 identificati in Securing AI Model Weights), per la protezione contro crimine organizzato e minacce interne, implementabili in 6-12 mesi; e Cloud Security Alliance, Foundation Model IP Theft: Threat Model for AI Labs (17 maggio 2026): attori statuali che “sono passati dal colpire in senso ampio le infrastrutture delle aziende AI al colpire specificamente” pesi e pipeline.
5. Cfr. L’air gap non basta a fermare gli agenti AI sull’incidente di isolamento degli agenti nello stesso lab, e Il bersaglio morbido sulla distillazione come via silenziosa di dispersione delle capacità; questo saggio copre il lato deliberato e a vettore umano dello stesso modello di minaccia.