Innovazione - Aiternalex

I progressi a cavallo tra IA e cybersicurezza

02/11/2023/in Innovazione/di Thomas D'Agostino

Negli ultimi tempi, la fusione tra intelligenza artificiale (AI) e cybersecurity è emersa come una frontiera significativa dell’innovazione tecnologica. Questa sintesi offre un potente arsenale contro una varietà sempre crescente di minacce informatiche. Il dinamismo dell’intelligenza artificiale, unito alla meticolosità dei protocolli di sicurezza informatica, rappresenta un modo nuovo per rafforzare le difese informatiche.

Uno dei progressi più significativi è l’uso dell’apprendimento automatico per il rilevamento delle anomalie. Utilizzando algoritmi che imparano e si evolvono, i sistemi possono ora identificare autonomamente schemi insoliti all’interno del traffico di rete. Questo approccio proattivo consente di rilevare precocemente le potenziali minacce, un passo avanti rispetto alle misure tradizionali e reattive.

Anche gli attacchi di phishing, una minaccia pervasiva nel panorama digitale, hanno incontrato un formidabile avversario nell’intelligenza artificiale. Utilizzando l’apprendimento automatico, i sistemi sono ora in grado di setacciare vaste quantità di email, identificando e segnalando potenziali tentativi di phishing con un maggior grado di precisione. Questa capacità di discernere l’intento malevolo da comunicazioni apparentemente benigne testimonia l’evoluzione dell’intelligenza artificiale nella sicurezza informatica.

Le due facce della stessa medaglia

Dall’altro lato, l’uso nefasto dell’IA da parte di soggetti malintenzionati è una preoccupazione crescente. La realizzazione di malware guidati dall’intelligenza artificiale, in grado di adattarsi e di evolversi per aggirare le misure di sicurezza, rappresenta una nuova categoria di minacce informatiche. Queste varianti possono alterare il loro codice per eludere il rilevamento, rappresentando una sfida significativa per le infrastrutture di sicurezza esistenti.

Anche gli attacchi ransomware hanno visto il ricorso all’intelligenza artificiale da parte dei gruppi di cybercriminali, con il risultato di attacchi più sofisticati e mirati. Al contrario, le aziende di cybersicurezza stanno impiegando l’IA per sviluppare modelli predittivi per identificare e sventare gli attacchi ransomware prima che possano causare danni. Questo continuo tira e molla indica una battaglia in corso in cui entrambe le parti stanno sfruttando l’IA per superare in astuzia l’altra.

L’applicazione dell’IA si estende anche alla lotta contro minacce più sofisticate come le minacce persistenti avanzate (APT). Utilizzando l’intelligenza artificiale per analizzare vaste serie di dati, i sistemi di sicurezza possono ora scoprire le manovre sottili e furtive delle minacce evolute, che tradizionalmente passano inosservate finché non è troppo tardi.

Qui e ora, tangibilmente

Nella prima metà del 2023, l’impennata degli strumenti di IA generativa è stata palpabile in numerose truffe (come i rapimenti virtuali) e negli strumenti come WormGPT e FraudGPT. Questi tool hanno spinto gli avversari a lanciare attacchi più complessi, presentando una nuova serie di sfide per gli esperti di cybersicurezza.

Nell’ambito della difesa contro le minacce crescenti, nel giugno 2023 OpenAI ha lanciato un fondo di un milione di dollari per promuovere soluzioni innovative di difesa informatica sfruttando l’intelligenza artificiale generativa. Questo impegno sottolinea il ruolo centrale dell’IA nella creazione di solidi meccanismi di difesa contro le minacce informatiche in evoluzione.

L’illustrazione del duplice ruolo dell’IA è evidente negli attacchi ransomware verificatisi nei primi mesi del 2023. Tra le vittime, il Bay Area Rapid Transit (BART) di San Francisco è stato attaccato dal gruppo Vice Society, Reddit è stato vittima del gruppo BlackCat Ransomware e lo United States Marshals Service (USMS) ha subito un grave incidente a causa di un attacco ransomware. Questi incidenti dimostrano l’incessante evoluzione delle minacce informatiche e come queste continuino a porre sfide sostanziali in vari settori.

Inoltre, nel marzo 2023 è stato segnalato un importante attacco informatico che ha preso di mira il gigante dell’outsourcing Capita, indicando le ampie ramificazioni che questi attacchi hanno sia nel settore pubblico che in quello privato.

L’evoluzione dell’IA nella sicurezza informatica è una storia di continuo adattamento e innovazione. È un viaggio carico di promesse e di pericoli, in quanto l’IA diventa un alleato strumentale e un potenziale nemico nel dominio digitale.

La fusione di IA e cybersecurity testimonia i progressi innovativi compiuti per proteggere le risorse digitali. Se da un lato l’escalation delle minacce guidate dall’IA ci ricorda la natura perenne delle sfide di cybersecurity, dall’altro i progressi delle soluzioni di sicurezza basate sull’IA mantengono la situazione in equilibrio. Con la continua evoluzione di questo settore, i percorsi intrecciati dell’IA e della cybersicurezza promettono di offrire un solido scudo contro il ventre oscuro del mondo digitale.

Cosa significa fare startup oggi?

12/07/2023/in Innovazione/di Giovanni Gaeta

Elementi di base

Cosa significa fare startup oggi è sicuramente una domanda semplice che però necessita di una risposta molto articolata.

Sicuramente non vuol dire avere molto tempo libero e dormire sonni tranquilli ed altrettanto certamente non vuol dire essere rilegati a fare un lavoro sgradevole e sottopagato.

Fare startup oggi è diventato indubbiamente più facile di ieri, se per startup intendiamo quella cerchia di attività imprenditoriali nella loro fase iniziale, il cui oggetto sociale sia legato alla sfera dell’innovazione; e, oggi, fare innovazione è più facile grazie alla proliferazione di Fondi pubblici, VC e business angels. Purtroppo, in Italia, siamo ancora lontani dalla risoluzione del problema dell’accesso al credito per questo tipo di imprenditorialità, anche in virtù del malcostume di alcuni investitori a chiedere poco e pretendere molto (troppo) dai founders.

Oltre ad essere migliorato sensibilmente l’accesso al credito, si deve registrare un piccolo miglioramento anche nell’offerta di servizi per le startup. Questo evento si deve all’azione congiunta svolta dalla nascita di diversi incubatori e di società private i cui servizi sono stati migliorati e calibrati sulle necessità specifiche dell’imprenditorialità innovativa nei suoi primi anni di vita.

Al di là dell’ecosistema che solo in parte qualifica cosa significhi fare startup oggi, queste poche righe nascono per dare una risposta a quali siano gli elementi di base necessari per creare l’alchimia di una startup, rinviando ad altri interventi su questo blog gli approfondimenti in relazione a materie specifiche legate a questo tema.

L’idea

Sicuramente per poter pensare anche solo lontanamente a una startup è necessario avere un’idea. Avere un’idea non vuole dire avere un’intuizione. Un’intuizione è “un atto conoscitivo semplice, istantaneo, sinottico; designa perciò una forma di conoscenza immediata, in contrapposto a ogni conoscenza di carattere discorsivo”; mentre un’idea è un termine molto più complesso che va declinato all’interno del settore dove si cala e, nel significato più ampio e generico, costituisce la rappresentazione di un oggetto nella mente: la nozione che la mente riceve di una cosa reale o immaginaria, frutto della propria coscienza.

Un’idea è qualcosa di più complesso dell’intuizione, si sviluppa da essa ma ne costituisce uno stato più evoluto dove l’intuizione viene filtrata ed elaborata sulla base delle proprie conoscenze e competenze uscendone modificata e, per questo, migliorata rispetto allo stato iniziale.

A volte è necessario attendere mesi prima che un’intuizione si tramuti in un’idea, poiché il processo di elaborazione viene ripetuto ciclicamente, talvolta arricchendolo con il contributo dei primi embrionali elementi del “team” che vedremo in seguito.

Le competenze

Inutile girarci intorno, affinchè il processo di trasformazione di un’intuizione in un’idea dia degli ottimi frutti, è necessario avere le competenze necessarie per il settore che si vuole approcciare. Quasi certamente sarà necessario approfondire tecnicamente le tematiche del settore scelto, in virtù di eventuali protocolli specifici del tema che si vuole trattare, per evitare che le stesse costituiscano un ostacolo allo sviluppo del business model.

Studiare e lavorare sulla materia sono certamente elementi preliminari alla costituzione di una startup, tuttavia, è praticamente impossibile coprire tutte le competenze specifiche necessarie per ogni singolo elemento legato al business model ed è qui che emerge la necessità del prossimo elemento fondamentale, il “team”.

Il team

Il team vede il suo valore manifestarsi già nelle primissime fasi di sviluppo di una startup ma, in realtà ha solo iniziato il suo rapporto con la startup perché sarà fondamentale in ogni singola fase del suo sviluppo.

Scegliere i membri del team è molto difficile e ci sono diverse scuole che in maniera più o meno condivisibile si esprimono sul tema; per questo eviteremo di dilungarci troppo soffermandoci solo un momento per citare un elemento senza il quale, al di là delle scuole, non è certamente possibile formare un team: la fiducia.

Fra i membri del team è necessario che si vada al di là del semplice rispetto, è necessario che ci sia fiducia affinché tutti siano in grado di esprimere al massimo il proprio valore, individuale e come membro del team.

I team è il volano dell’idea, amplifica la portata delle conoscenze e competenze dalle quali viene filtrata l’idea, la quale emerge da questo processo enormemente arricchita e pronta ad essere calendarizzata nelle sue diverse fasi di progettazione e sviluppo, la roadmap.

La roadmap

Fondamentale fin dai primi momenti successivi alla definizione di un’idea è la creazione di una checklist di azioni necessarie per la progressione nella progettazione e nello sviluppo dell’idea e la calendarizzazione di ciascuna azione.

La roadmap ha un ruolo cardine in relazione alla distribuzione delle diverse azioni poiché costituisce anche un elemento di raccordo nel caso un’azione necessiti dell’intervento di soggetti diversi rispetto a quelli originariamente previsti o, nel caso che più azioni convergano per una fase successiva congiunta. Inutile dire quanto sia necessario il rispetto dei tempi fissati nella roadmap e la loro eventuale ri-calendarizzazione nel caso di eventi imprevisti e/o sopraggiunti.

È facilmente intuibile come la roadmap non sia un documento rigido ma, un documento estremamente fluido che deve potersi adattare agli imprevisti, ai rallentamenti e ai pivot, fino alle varie diramazioni che l’idea potrebbe prendere e che potrebbero non convergere su un unico business model.

Gli Advisors

Ultimo elemento di base per la creazione di una startup sono gli Advisors. Gli advisors hanno la funzione di guidare l’azione dei founders e quella del team in generale; si differenziano da quest’ultimo poiché le loro competenze sono fondamentali ma, ai margini dello sviluppo del core business; ne costituiscono una conditio sine qua non per il suo setup ma sono estranee al processo di erogazione del servizio o di vendita del bene.

La motivazione della necessità della loro presenza è lampante, come immediati sono i benefici che ne colgono le startup quando riescono ad inserire nel loro network degli advisor professionisti per ciascuna necessità elementare per una startup: legale, fiscale, finanziaria, di progetto, tecnica.

Fare startup oggi

Per poter fare startup oggi sono estremamente fondamentali questi elementi: L’idea, Le competenze, Il team, La roadmap e Gli advisors. Senza questi elementi essenziali è difficile se non impossibile in condizioni normali di mercato riuscire a superare le fasi iniziali che contraddistinguono la vita di una startup.

Una volta aggregati questi elementi, dopo aver mosso i primi passi nello sviluppo del core business, sarà possibile procedere ad un round di finanziamento della startup, ovvero il suo pre-seed. Tale eventualità è esclusa nel caso la startup pianifichi di portare avanti le fasi iniziali di progettazione e sviluppo del core business con propri mezzi economici o mediante eventuali finanziatori che abbiano fatto ingresso nell’unico momento precedente, ovvero quelli di validazione dell’idea.

Digital Twin: L’Innovazione Che Cambia Le Regole del Gioco e la Sua Sinergia con la Blockchain

21/06/2023/in Innovazione/di Thomas D'Agostino

Nell’evoluto panorama tecnologico del XXI secolo, emerge un concetto rivoluzionario che si sta affermando progressivamente: i digital twin. Questa tecnologia, distante dalle sfere della realtà virtuale o dei videogiochi, si rivela uno strumento potente che sta modificando in maniera radicale le dinamiche operative in svariati settori.

Parliamo di digital twin: cosa sono? Sono repliche virtuali di un’entità fisica, che si tratti di un processo, di un prodotto o di un servizio. Questi modelli, agendo da ponte tra i mondi tangibile e digitale, facilitano l’analisi dei dati e il monitoraggio dei sistemi. Ciò consente di risolvere problemi prima che si manifestino, di prevenire interruzioni, di individuare nuove opportunità e di pianificare il futuro attraverso simulazioni.

Tuttavia, un digital twin non è una semplice rappresentazione digitale statica. È un modello dinamico che riflette ogni dettaglio, modifica e stato del suo corrispondente fisico. Questa funzionalità si estende da oggetti semplici a sistemi complessi, e persino a processi intricati.

Per esemplificare, pensiamo all’industria manifatturiera. Un digital twin di una macchina della linea di produzione potrebbe essere un modello 3D accurato che si evolve in tempo reale, parallelamente all’operatività della sua controparte fisica. Questa sincronizzazione in tempo reale comprende ogni modifica, malfunzionamento o successo operativo, permettendo un’individuazione tempestiva dei problemi e una manutenzione predittiva.

Un caso analogo è quello del settore energetico, dove i digital twin di centrali elettriche o reti possono simulare vari scenari, prevedere risultati e ottimizzare le operazioni. Questo potrebbe portare a un miglioramento della affidabilità, dell’efficienza energetica e della convenienza economica – un chiaro esempio delle potenzialità rivoluzionarie di questa tecnologia.

Completando questo quadro di trasformazione, entra in scena un’altra innovazione pionieristica – la blockchain. Quando si unisce ai digital twin, la tecnologia blockchain può inaugurare un’era di maggiore trasparenza, sicurezza ed efficienza.

Grazie alle sue caratteristiche di decentralizzazione e immutabilità, la blockchain può gestire efficacemente l’enorme quantità di dati prodotti dai digital twin. Utilizzando la blockchain, ogni digital twin può avere una propria identità unica ed criptata, migliorando notevolmente la sicurezza e l’affidabilità.

Inoltre, la struttura decentralizzata della blockchain consente di condividere in modo sicuro un digital twin tra diversi stakeholder. Ogni stakeholder può interagire con il digital twin e aggiornarlo in tempo reale, apportando un livello di trasparenza e tracciabilità senza precedenti nei processi complessi.

Immaginiamo le possibilità nel contesto della catena di fornitura. Ogni prodotto potrebbe avere un digital twin, con il suo ciclo di vita registrato su una blockchain. Questa tracciabilità potenziata potrebbe ridurre drasticamente le frodi, snellire i processi di richiamo e ottimizzare la logistica.

L’integrazione di digital twin e blockchain non è un’ipotesi futuristica, ma una realtà del mondo odierno. Prendiamo come esempio un progetto di Maersk e IBM. Hanno sviluppato una soluzione per la spedizione basata su blockchain che integra l’IoT e i dati dei sensori per un tracciamento in tempo reale, creando essenzialmente dei digital twin dei contenitori di spedizione e migliorando la trasparenza della catena di fornitura.

Sebbene i digital twin e la blockchain offrano benefici unici individualmente, la loro integrazione apre la porta a nuove possibilità. Questa sinergia favorisce la fiducia e la collaborazione, semplifica i processi, riduce le frodi e stimola lo sviluppo di modelli di business all’avanguardia.

Tuttavia, questo potente duo presenta anche delle sfide. Ad esempio, la mole di dati generati dai digital twin potrebbe mettere sotto pressione le infrastrutture IT esistenti. Inoltre, devono essere affrontate complesse questioni legali e regolamentari riguardanti la proprietà dei dati e la privacy.

In conclusione, la combinazione di tecnologia dei digital twin e blockchain ha il potenziale per ridefinire i limiti dell’innovazione. Questo connubio offre un mix unico di trasparenza, sicurezza ed efficienza. Mentre le industrie si sforzano di rimanere competitive e preparate per il futuro, la simbiosi di queste due tecnologie potrebbe essere la bussola che guida la strada.

Le questioni etiche e di privacy della data augmentation in campo medico

07/06/2023/in Innovazione/di Piercosma Bisconti

Le problematiche etiche derivanti dall’uso della data augmentation, o generazione di dati sintetici, nel campo della medicina sono sempre più evidenti. Questa tecnica, che viene anche chiamata synthetic data generation, è un processo in cui vengono creati dati artificiali al fine di arricchire un set di dati di partenza o di superare alcune limitazioni. Questo tipo di tecnologia viene particolarmente usata nel caso in cui debbano essere allenati modelli di AI per il riconoscimento di malattie rare, su cui i dati a disposizione per il training sono scarsi. Tramite la data augmentation, altri dati possono essere artificialmente, rimanendo comunque rappresentativi del campione di partenza.

Dal punto di vista tecnico, la data augmentation viene effettuata utilizzando algoritmi che modificano i dati esistenti o generano nuovi dati basati su quelli esistenti. Ad esempio, nel contesto dell’elaborazione delle immagini, le immagini originali possono essere modificate ruotandole, sfocandole, aggiungendo rumore o cambiando il contrasto. In questo modo, si ottengono diverse varianti di un’immagine originale che possono essere utilizzate per addestrare modelli di intelligenza artificiale. L’utilizzo di questa tecnologia rende sempre più efficace l’utilizzo di AI per il riconoscimento di patologie, come ad esempio alcuni tipi di tumori rari.

Tuttavia, ci sono diverse problematiche etiche che sorgono dall’uso della data augmentation nella medicina. Una delle principali preoccupazioni riguarda la qualità dei dati generati. Se i dati di partenza non sono rappresentativi della popolazione o se contengono errori o bias, l’applicazione della data augmentation potrebbe amplificare tali problematiche. Ad esempio, se il set di dati originali riguarda solo maschi bianchi caucasici, c’è il rischio che il risultato della data augmentation abbia un bias verso tali soggetti, trasferendo le disuguaglianze presenti nei dati originali ai dati generati.

La replicazione dei bias è certamente la questione più critica a riguardo della data augmentation. Se il modello di intelligenza artificiale viene addestrato su dati generati in modo non rappresentativo o con bias intrinseci, il modello stesso potrebbe perpetuare tali bias durante il processo decisionale. Per questo motivo, nella synthetic data generation, la qualità del dataset di partenza è una problematica ancor più critica di quanto non sia in generale per l’artificial intelligence.

La privacy dei dati è un’altra problematica da considerare. L’utilizzo della data augmentation richiede l’accesso ai dati sensibili dei pazienti, che potrebbero includere informazioni personali o riservate. È fondamentale garantire che questi dati vengano adeguatamente protetti e utilizzati solo per scopi specifici. Per affrontare queste preoccupazioni, sono state proposte soluzioni come il federated learning e la multiparty computation. Questi approcci consentono di addestrare modelli di intelligenza artificiale senza dover trasferire i dati sensibili in un unico luogo, proteggendo così la privacy dei pazienti.

Il federated learning è un approccio innovativo all’addestramento dei modelli di intelligenza artificiale che affronta le problematiche legate alla privacy dei dati. Invece di trasferire i dati sensibili dei singoli utenti o dei dispositivi a un server centrale, il federated learning consente di addestrare i modelli direttamente sui dispositivi degli utenti.

Il processo di federated learning funziona nel seguente modo: inizialmente, viene creato un modello globale che viene distribuito a tutti i dispositivi degli utenti partecipanti. Successivamente, questi dispositivi addestrano il modello utilizzando i propri dati locali senza condividerli con il server centrale. Durante l’addestramento locale, i modelli sui dispositivi vengono costantemente aggiornati e migliorati.

Successivamente, invece di inviare i dati grezzi al server centrale, solo i parametri aggiornati del modello vengono inviati e aggregati in un nuovo modello globale. Questa aggregazione avviene in modo sicuro e privato, garantendo che i dati personali non vengano esposti o compromessi.

Infine, è importante sottolineare che ci sono molte altre problematiche etiche correlate all’uso della data augmentation nella medicina. Ad esempio, c’è il rischio che la generazione di dati sintetici possa portare a una semplificazione eccessiva dei problemi medici complessi, ignorando la complessità delle situazioni reali. Nel contesto della futuro AI Act, e delle “Ethics Guidelines for Trustworthy AI” della Commissione Europea, si configura come sempre più fondamentale l’analisi di tecnologie così complesse, e dall’impatto così vasto, come i sistemi di AI al supporto delle decisioni in campo medico.

Fermare l’AI: Un’opportunità per riflettere o un ostacolo al progresso?

24/05/2023/in Innovazione/di Thomas D'Agostino

Nel panorama in continua evoluzione della tecnologia, un dibattito sismico sta scuotendo l’industria tecnologica: la richiesta di una “pausa dell’IA”. Questa discussione è stata scatenata da una lettera aperta che proponeva una sospensione di sei mesi nella progressione dello sviluppo dell’intelligenza artificiale avanzata (AI). La lettera è stata firmata da un gruppo di luminari della tecnologia, tra cui Elon Musk e il co-fondatore di Apple Steve Wozniak. La preoccupazione sottostante che guida questa richiesta è la rapida e potenzialmente pericolosa evoluzione della tecnologia AI.

La lettera aperta è stata orchestrata dal Future of Life Institute, un’organizzazione no-profit dedicata alla mitigazione dei rischi associati alle tecnologie trasformative. La proposta del gruppo era specifica: i laboratori di intelligenza artificiale dovrebbero immediatamente interrompere l’addestramento di sistemi AI più potenti del GPT-4, l’ultima versione del grande modello di linguaggio di OpenAI, per almeno sei mesi. Questa suggerimento è giunto subito dopo il rilascio del GPT-4, sottolineando la preoccupazione per la velocità frenetica con cui la tecnologia AI si sta sviluppando.

Questo passo è una manifestazione delle apprensioni di un gruppo di critici dell’IA che possono essere classificati come “longtermisti”. Questo gruppo, che include figure rinomate come Musk e il filosofo Nick Bostrom, propugna un approccio cauto e riflessivo allo sviluppo dell’IA. Esprimono preoccupazioni riguardo al potenziale danno che l’IA potrebbe causare in caso di deviazione dovuta a malizia umana o errori di ingegneria. Le avvertenze di questi longtermisti vanno oltre piccoli incidenti per evidenziare i possibili rischi esistenziali derivanti da una progressione incontrollata dell’IA.

Tuttavia, la richiesta di una pausa dell’IA è stata accolta con una serie di reazioni, mettendo in evidenza profonde divisioni non solo tra gli entusiasti dell’IA e i critici, ma anche all’interno della comunità di critici dell’IA. Alcuni credono che le preoccupazioni sull’IA, in particolare sui grandi modelli di linguaggio come il GPT-4, siano esagerate. Argomentano che i sistemi AI attuali sono lontani dal tipo di “intelligenza artificiale generale” (AGI) che potrebbe rappresentare una minaccia reale per l’umanità. Questi critici mettono in guardia dal concentrarsi su potenziali catastrofi future, sottolineando che ciò distrae dal affrontare i danni attuali che si manifestano a causa dei sistemi AI in uso oggi. Queste preoccupazioni immediate comprendono problemi come le raccomandazioni tendenziose, la disinformazione e lo sfruttamento non regolamentato dei dati personali.

Dall’altra parte del dibattito, ci sono coloro che considerano la richiesta di una pausa dell’IA fondamentalmente in contrasto con lo spirito imprenditoriale dell’industria tecnologica e con la spinta incessante all’innovazione. Essi sostengono che fermare il progresso dell’IA potrebbe soffocare i potenziali vantaggi economici e sociali promessi da queste tecnologie. C’è anche la preoccupazione che ciò possa creare un’opportunità per altre nazioni, come la Cina, di ottenere un vantaggio nella corsa alla superiorità dell’IA. Inoltre, i critici mettono in dubbio la fattibilità di attuare una moratoria sul progresso dell’IA senza un intervento governativo. Sollevano preoccupazioni sulle ripercussioni di tale intervento sulla politica dell’innovazione, sostenendo che il fatto che i governi fermino tecnologie emergenti che non comprendono appieno costituisce un precedente preoccupante e potrebbe essere dannoso per l’innovazione.

OpenAI, l’organizzazione alla base della creazione del GPT-4, non ha esitato ad ammettere i potenziali rischi dell’IA. Il suo CEO, Sam Altman, ha dichiarato pubblicamente che mentre alcuni individui nel campo dell’IA potrebbero considerare i rischi associati all’AGI come immaginari, OpenAI sceglie di operare sulla base dell’assunzione che questi rischi siano esistenziali.

La posizione di Altman su questa questione è stata ulteriormente consolidata durante la sua recente testimonianza davanti a una sottocommissione del Senato. Ha ribadito le sue preoccupazioni sull’IA, sottolineando il potenziale per causare danni significativi se le cose vanno storte. Ha sottolineato la necessità di un intervento regolamentare per mitigare i rischi derivanti dai modelli sempre più potenti. Altman ha anche approfondito gli impatti socio-economici potenziali dell’IA, inclusi i suoi effetti sul mercato del lavoro. Pur riconoscendo che l’IA potrebbe portare a perdite di posti di lavoro, ha espresso ottimismo sul fatto che creerà anche nuovi tipi di lavoro, che richiederanno una forte partnership tra l’industria e il governo per essere affrontati.

Inoltre, Altman ha evidenziato l’uso improprio dell’IA generativa nel contesto della disinformazione e dell’interferenza nelle elezioni. Ha espresso serie preoccupazioni sul potenziale utilizzo dell’IA per manipolare gli elettori e diffondere disinformazione, soprattutto in vista delle prossime elezioni. Tuttavia, ha assicurato che OpenAI ha adottato misure per mitigare questi rischi, come il limitare l’uso di ChatGPT per generare grandi quantità di materiale di campagna.

In sintesi, la richiesta di una pausa nell’IA ha scatenato un dibattito complesso e sfaccettato che riflette la vasta gamma di opinioni sul futuro dell’IA. Alcuni vedono questa come una misura necessaria per garantire che stiamo progredendo in modo sicuro e vantaggioso per tutta la società. Altri lo considerano un ostacolo al progresso, che potrebbe soffocare l’innovazione e mettere gli Stati Uniti in svantaggio sullo scenario globale. Mentre non c’è un consenso su come procedere, ciò che è chiaro è che questo dibattito sottolinea le profonde implicazioni e il potenziale trasformativo della tecnologia dell’IA. Mentre continuiamo a navigare in questo terreno complesso, è fondamentale mantenere un dialogo equilibrato che tenga conto delle opportunità e delle sfide poste dalla tecnologia dell’IA.

Come Minecraft ha quasi distrutto Internet

05/04/2023/in Innovazione/di Cristiano Frassineti

La vulnerabilità di Log4j e il suo impatto su Minecraft

Minecraft, il popolarissimo videogioco sandbox creato da Mojang Studios, ha affascinato milioni di giocatori in tutto il mondo con la sua creatività senza limiti e i suoi ampi mondi virtuali. Tuttavia, alla fine del 2021, una vulnerabilità in una libreria di log ampiamente utilizzata, chiamata Log4j, ha minacciato la stabilità del gioco e, cosa più allarmante, la sicurezza dell’intero Internet. In questo post ci addentreremo nei dettagli della vulnerabilità Log4j, esploreremo il modo in cui ha colpito Minecraft e discuteremo le lezioni apprese da questa crisi di cybersicurezza.

La vulnerabilità Log4j: Una breve panoramica

Log4j è un’utilità di registrazione open-source basata su Java e sviluppata dalla Apache Software Foundation. È ampiamente utilizzata dagli sviluppatori per registrare gli eventi di sistema e monitorare le applicazioni software. Nel dicembre 2021 è stata scoperta in Log4j una vulnerabilità critica nota come Log4Shell (CVE-2021-44228).

Questa vulnerabilità consentiva agli aggressori di eseguire da remoto un codice arbitrario sui sistemi interessati semplicemente inviando una stringa appositamente creata all’applicazione vulnerabile.

La gravità della vulnerabilità di Log4j derivava dal suo uso diffuso e dalla facilità con cui poteva essere sfruttata. Nel giro di pochi giorni dalla sua scoperta, la vulnerabilità è stata sfruttata da attori malintenzionati, portando a diffusi attacchi a varie organizzazioni, tra cui agenzie governative e aziende private.

Minecraft e la vulnerabilità Log4j

Minecraft, che gira su Java e utilizza Log4j per le registrazioni, è stato uno dei bersagli più importanti della vulnerabilità Log4Shell. Non appena la vulnerabilità è stata resa pubblica, gli hacker hanno iniziato a prendere di mira i server Minecraft, sfruttando la falla Log4j per eseguire codice dannoso, rubare dati sensibili e interrompere le operazioni dei server.

La situazione si è ulteriormente complicata a causa dell’enorme base di giocatori di Minecraft e dell’enorme numero di server ospitati dalla comunità, molti dei quali gestiti da hobbisti con conoscenze limitate in materia di sicurezza informatica. Questo ha reso difficile per Mojang Studios e per la più ampia comunità di Minecraft rispondere in modo rapido ed efficace alla minaccia.

Come Minecraft ha reagito alla minaccia

Mojang Studios, lo sviluppatore del gioco, e Microsoft, la sua società madre, sono intervenuti immediatamente per risolvere la vulnerabilità di Log4j. Hanno rilasciato una serie di patch sia per i server ufficiali del gioco sia per il software lato client per ridurre il rischio di sfruttamento. Inoltre, hanno fornito indicazioni chiare alla comunità su come aggiornare i server e proteggere gli utenti.

Tuttavia, la risposta non è stata priva di difficoltà. A causa della natura decentralizzata dei server Minecraft, molti server ospitati dalla comunità sono stati lenti nell’applicare le patch, lasciandoli esposti ad attacchi continui. In alcuni casi, gli aggressori hanno approfittato di questo ritardo creando patch false contenenti malware, aggravando ulteriormente il problema.

Le conseguenze e le lezioni apprese

La vulnerabilità di Log4j in Minecraft ci ricorda le potenziali conseguenze di una singola vulnerabilità software nel nostro mondo digitale interconnesso. Sebbene non siano state segnalate distruzioni diffuse a causa dell’exploit Log4j in Minecraft, l’incidente ha evidenziato l’importanza di solide pratiche di cybersicurezza nei giochi e non solo.

Ecco alcune lezioni chiave che possiamo trarre dalla crisi di Minecraft Log4j:

Aggiornare regolarmente il software e applicare le patch di sicurezza: Assicurarsi che il software sia aggiornato con le ultime patch di sicurezza è fondamentale per prevenire lo sfruttamento delle vulnerabilità. Nel caso di Minecraft, l’applicazione delle patch ufficiali rilasciate da Mojang Studios avrebbe evitato molti dei problemi incontrati dai server ospitati dalla comunità.
Aumentare la consapevolezza delle migliori pratiche di cybersecurity: Molti amministratori di server e utenti potrebbero non essere consapevoli dell’importanza di applicare le patch o dei potenziali pericoli derivanti dal download di patch non ufficiali. La sensibilizzazione alle migliori pratiche di sicurezza informatica può contribuire a ridurre i rischi associati a incidenti come la vulnerabilità di Log4j.
Rafforzare la collaborazione tra gli sviluppatori e la comunità: L’incidente di Minecraft Log4j ha sottolineato la necessità di una migliore comunicazione e collaborazione tra gli sviluppatori di software, come Mojang Studios, e la più ampia comunità di utenti. Promuovendo un forte rapporto con gli utenti e incoraggiando il feedback, gli sviluppatori possono affrontare più efficacemente i problemi di sicurezza e fornire un supporto tempestivo durante le crisi.
Sottolineare l’importanza della sicurezza a più livelli: Sebbene la risoluzione della vulnerabilità di Log4j in Minecraft sia stata fondamentale, è essenziale ricordare che nessuna singola misura di sicurezza è infallibile. L’adozione di un approccio alla sicurezza a più livelli, che combina diverse misure difensive, può aiutare a proteggere le risorse e i sistemi digitali da potenziali attacchi.
Incoraggiare le gli audit sui software open-source: La vulnerabilità di Log4j è rimasta inosservata per anni, nonostante l’uso diffuso della libreria. Incoraggiare e finanziare verifiche regolari del software open-source può aiutare a identificare e correggere le vulnerabilità prima che possano essere sfruttate da soggetti malintenzionati.
Promuovere una cultura della divulgazione responsabile delle vulnerabilità: la tempestiva divulgazione pubblica della vulnerabilità di Log4j da parte dei suoi scopritori ha permesso agli sviluppatori e alle organizzazioni di agire rapidamente per risolvere il problema. Incoraggiare una cultura di divulgazione responsabile delle vulnerabilità, in cui i ricercatori di sicurezza e le organizzazioni collaborano per rimediare alle vulnerabilità prima di renderle pubbliche, può aiutare a prevenire l’armamento di tali falle.

Conclusione

La vulnerabilità di Log4j in Minecraft ha dimostrato il profondo impatto che una singola falla del software può avere sul mondo digitale. Sebbene l’incidente non abbia portato alla distruzione di Internet come lo conosciamo, ha evidenziato l’importanza di solide pratiche di sicurezza informatica e la necessità di collaborazione tra sviluppatori, utenti e comunità di sicurezza informatica. Imparando da questa esperienza e adottando misure proattive per proteggere le nostre risorse digitali, possiamo sperare di ridurre i rischi associati alle future minacce alla sicurezza informatica.

L’intelligenza artificiale nel mondo legale

15/03/2023/in Innovazione/di Thomas D'Agostino

Comprendere il potenziale della combinazione tra diritto e intelligenza artificiale.

L’industria legale sta evolvendo a un ritmo senza precedenti, e l’IA sta giocando un ruolo vitale in questa trasformazione. Un ottimo esempio di questo è uno studio di caso simulato di uno studio legale di medie dimensioni chiamato ABC Law, specializzato in diritto del lavoro. Lo studio ha un numero crescente di clienti in diversi settori e cerca sempre modi per migliorare i suoi servizi legali.

Uno dei primi strumenti alimentati da AI che ABC Law ha adottato è stato un strumento di ricerca legale. Questo strumento ha permesso loro di scansionare grandi database di casi legali e identificare rapidamente precedenti pertinenti e giurisprudenza. Ciò ha permesso loro di risparmiare del tempo e migliorato la loro analisi legale, consentendo di fornire servizi legali più completi ai loro clienti.

ABC Law ha anche utilizzato strumenti di analisi dei contratti alimentati da AI per rivedere i contratti di lavoro dei loro clienti. Questi strumenti potevano identificare clausole problematiche e segnalare problemi, consentendo ad ABC Law di fornire ai loro clienti servizi legali più completi. Utilizzando strumenti alimentati da AI, ABC Law ha potuto identificare potenziali rischi e prevenire dispute legali.

Un altro settore in cui l’IA si è rivelata preziosa per ABC Law è stata l’analisi predittiva. Hanno utilizzato algoritmi di apprendimento automatico per analizzare le tendenze e prevedere potenziali problemi legali prima che si presentassero. Ciò ha permesso ad ABC Law di concentrarsi su clienti ad alto rischio e fornire loro servizi legali più proattivi. Ad esempio, la piattaforma poteva prevedere quali aziende erano più probabilmente oggetto di cause legali in base alla storia delle precedenti azioni legali.

Per semplificare il processo di creazione dei documenti, ABC Law ha iniziato a utilizzare strumenti alimentati da AI per l’automazione dei documenti. Questi strumenti potevano automatizzare il processo di creazione dei documenti, risparmiando tempo e riducendo gli errori. Ad esempio, potevano utilizzare strumenti alimentati da AI per creare contratti di lavoro e manuali per dipendenti rapidamente.

Infine, ABC Law ha iniziato a utilizzare un assistente virtuale alimentato da AI per automatizzare le attività amministrative. Ciò ha contribuito a risparmiare tempo ai loro avvocati e ha permesso loro di concentrarsi su compiti più importanti, come fornire ai loro clienti servizi legali di alta qualità. L’assistente virtuale poteva programmare incontri, gestire e-mail e fornire supporto di ricerca legale.

In conclusione, l’IA sta rivoluzionando l’industria legale e ABC Law è un ottimo esempio di come gli studi legali possono adottare strumenti e tecnologie alimentati da AI per diventare più efficienti e fornire servizi legali migliori ai loro clienti. Utilizzando strumenti alimentati da AI, gli studi legali possono rimanere competitivi nell’industria legale in continua evoluzione e aiutare i loro clienti a navigare le complesse questioni legali con maggiore sicurezza. Mentre l’IA continua a evolversi, ci aspettiamo di vedere sviluppi ancora più eccitanti che aiuteranno gli studi legali a soddisfare le esigenze del moderno panorama aziendale.

I diritti del Consumatore nel Web3

22/02/2023/in Innovazione/di Sara Brogioni

Gli interventi legislativi in materia di tutela del consumatore sono in netto ritardo rispetto alla realtà degli eventi che vede sempre più accelerarsi acquisti nel web3, in particolar modo considerata l’espansione di acquisto di NFT.

Gli obblighi informativi previsti dal Codice del Consumo e dal diritto europeo impongono ai professionisti che forniscono beni o servizi ai consumatori di fornire informazioni agli stessi in linguaggio chiaro e comprensibile, prima della conclusione del contratto.

L’assolvimento di tale obbligo può rivelarsi complesso in virtù del carattere innovativo di questi beni e comprendere per il consumatore cosa acquista realmente, senza un’adeguata opera di informazione preventiva potrebbe dar vita a un numero sempre maggiore di contenziosi.

Il legislatore europeo ha adottato norme specifiche applicabili ai contratti di fornitura di contenuti digitali, con la Direttiva (UE) 2019/771, recepita dal nostro ordinamento con il d.lgs. n. 170/21 che modifica il Codice del Consumo.

La nuova disciplina si occupa espressamente di “beni con elementi digitali” e cioè quei beni dotati di una componente digitale in assenza della quale non possono funzionare. La componente digitale può essere interna al bene, incorporata, o esterna, interconnessa, ma in entrambi i casi deve presentare il carattere della essenzialità per il bene, che non deve poter svolgere le proprie funzionalità senza l’elemento digitale.

Nello specifico contesto di vendita di beni digitali i nuovi requisiti soggettivi e oggettivi di conformità impongono che le caratteristiche del contenuto digitale devono corrispondere, rispettivamente, a quanto previsto dal contratto e a quanto si possa ragionevolmente ed oggettivamente attendere dal contenuto digitale stesso.

La direttiva europea inoltre stabilisce che il venditore deve garantire che al consumatore siano forniti gli aggiornamenti, compresi quelli di sicurezza, necessari per mantenere tali beni conformi per il periodo di tempo che il consumatore può ragionevolmente aspettarsi, tenuto conto del tipo e della finalità dei beni e degli elementi digitali, nonché delle circostanze e della natura del contratto.

Il venditore dovrà quindi assolvere uno stringente obbligo informativo circa gli aggiornamenti disponibili in modo da andare esente da responsabilità per difetto di conformità nel caso in cui il consumatore, nonostante l’informazione ricevuta, non provveda agli aggiornamenti o installazioni necessarie.

Nel caso specifico di acquisto di NFT può ravvisarsi la non-conformità del bene quando il contenuto non è disponibile o è alterato.

Dubbi interpretativi circa la non conformità del bene invece si ravvisano quando l’NFT non presenti le caratteristiche di rarità promesse; la scarsità che attiene l’NFT è infatti fondamentale per la quantificazione del suo valore, e un grado di rarità nettamente inferiore rispetto a quanto atteso dal consumatore potrebbe rendere il bene non idoneo all’uso e pertanto non conforme secondo i requisiti soggettivi.

Le condizioni contrattuali di vendita dell’NFT dovrebbero pertanto stabilire con precisione quale grado di rarità dovrà essere garantito in futuro per l’NFT alienato, e rispettare il requisito di buona fede e trasparenza contrattuale riguardo a molteplici altri questioni, spesso sottovalutate, quali, a mero titolo di esempio le eventuali conseguenze in caso di fallimento della blockchain e l’azione di risarcimento del danno.

Altra questione che sarà dirimente per l’applicazione delle tutele previste dalla normativa di protezione per il consumatore è risolvere, negli acquisti di NFT, la qualifica di consumatore.

Il codice del consumo, all’art. 3 definisce consumatore o utente “la persona fisica che agisce per scopi estranei all’attività imprenditoriale, commerciale, artigianale o professionale eventualmente svolta”.

Nella prassi tuttavia assistiamo a un sempre più largo uso di NFT a scopo pubblicitario o di marketing, e la categoria degli acquirenti si divide in occasionali e acquirenti “speculativi” o “da collezione”, i quali potrebbero non essere considerati consumatori ma bensì “professionisti”.

Questa prima distinzione sarà la base per gli interpreti del diritto per l’applicazione di molteplici altre questioni che attualmente non trovano applicazione pratica in quanto le norme europee sulla tutela dei consumatori sono state concepite per la conclusione di contratti “tradizionali”, non tramite smart contract: si pensi alla questione delle c.d. clausole vessatorie e all’impossibilità della doppia sottoscrizione di clausole richiesta dall’art. 1341 c.c.; oppure al c.d. foro del consumatore, ad oggi è arduo stabilire il domicilio dell’acquirente/consumatore nel mondo crypto, proprio per l’anonimia che caratterizza gli ambienti blockchain.

Il nuovo Regolamento dell’Unione europea relativo ai mercati delle cripto-attività (Markets in Crypto-Assets Regulation, c.d. « MiCA ») potrebbe in parte fornire una soluzione, in quanto vieta l’anonimia dei possessori delle cripto-attività per l’ammissione a piattaforme di negoziazione, ma gli NFT saranno esclusi dall’ambito di applicazione, a meno che rientrino nelle categorie di cripto-attività esistenti.

La Commissione europea avrà il compito di preparare una valutazione globale e, se lo ritiene necessario, una proposta legislativa specifica, proporzionata e orizzontale per creare un regime per gli NFT e affrontare i rischi emergenti di questo nuovo mercato.

Acquisto di NFT e diritto di recesso

Altra questione dirimente per la tutela del consumatore e gli acquisti nel web3, riguarda il diritto di recesso.

Ai sensi della direttiva 2011/83/UE sui diritti dei consumatori, il consumatore deve essere informato della possibilità e sulle modalità di esercizio il diritto di recesso, ovvero la facoltà di recedere da un contratto a distanza entro quattordici giorni, senza dover fornire alcuna giustificazione.

Lo smart contract con cui viene solitamente venduto un NFT non permette l’esercizio del diritto di recesso, non essendo possibile arrestarne l’esecuzione per inadempimento o in caso di ripensamento.

Lo smart contract infatti utilizza la formula “if this/then that”, in forza della quale, al verificarsi di un dato evento (this), si producono certi effetti (that), i quali sono predeterminati dalle parti medesime, sulla base di istruzioni rigide.

Nella prassi applicativa pertanto assistiamo a numerose transazioni a cui si affiancano condizioni contrattuali generali che esplicitamente escludono il diritto di recesso.

Tale esclusione viene giustificata facendo ricadere l’ipotesi di acquisto NFT nelle eccezioni previste nell’art. 59, lettere a), b) i), m) ed o) del D.Lgs. n. 206/2005 (Codice del Consumo).

Al riguardo si ricorda che il diritto di recesso è escluso (lett. a) nei contratti di servizi dopo la completa prestazione del servizio se l’esecuzione è iniziata con l’accordo espresso del consumatore e con l’accettazione della perdita del diritto di recesso a seguito della piena esecuzione del contratto da parte del professionista e (lett. b) nel caso in cui il bene del prezzo sia legato a fluttuazioni nel mercato finanziario che il professionista non è in grado di controllare e che possono verificarsi durante il periodo di recesso.

Inoltre, il diritto di recesso è escluso (lett. i) con riferimento alla fornitura di registrazioni audio o video sigillate o di software informatici sigillati che sono stati aperti dopo la consegna, o (lett. m) con riferimento ai contratti conclusi in occasione di un’asta pubblica.

Altra eccezione (lett. o) si ha per fornitura di contenuto digitale (come l’NFT) mediante un supporto non materiale (come ad es. una chiave privata per un NFT o altro codice di riscatto dell’NFT) se l’esecuzione è iniziata e, se il contratto impone al consumatore l’obbligo di pagare, qualora siano soddisfatte tre condizioni cumulative:

il consumatore ha dato il suo previo consenso espresso a iniziare la prestazione durante il periodo di diritto di recesso;
il consumatore ha riconosciuto di perdere così il proprio diritto di recesso;
il professionista ha fornito la conferma della conclusione del contratto in conformità con le modalità previste dalla direttiva 2011/83/UE per i contratti a distanza.

Una possibile soluzione per permettere ai consumatori di esercitare il diritto di ripensamento potrebbe ricercarsi nel nuovo standard di NFT, che permetterebbe di garantire i relativi acquisti contro le truffe (meglio noti come “rug-pull”) nonché la possibilità di chiederne il rimborso in caso di recesso entro la scadenza del termine stabilito.

Con il termine rug-pull (letteralmente, “tiro del tappeto”) si indica un tipo di truffa che si verifica generalmente quando gli sviluppatori di un progetto, dopo aver creato il token crittografico, ne aumentano il valore al fine di attrarre il maggior numero di investitori possibili, per poi prelevare tutti i fondi ed abbandonare il progetto fraudolento.

Quando si parla di uno standard per NFT invece, si ricorda che ci si riferisce all’identificazione univoca di un token rispetto ad altri dello stesso smart contract, denominato “ERC-721”, introdotto, come noto nel 2017, da Ethereum, quale primo protocollo per la creazione di NFT e sino ad oggi il più utilizzato che rappresenta un bene unico ed infungibile.

La pubblicazione di un nuovo standard anti rug-pull, ERC-721R, ufficialmente rilasciato in data 11 aprile 2022 e volto, tra le altre cose, a contrastare i progetti fraudolenti nel settore degli NFT, potrebbe conferire all’utente un diritto di ripensamento rispetto al proprio acquisto e, quindi, vedersi rimborsato il prezzo corrisposto per l’NFT coniato (mintato).

In particolare, tale meccanismo avviene tramite un vincolo sul deposito delle somme poste a garanzia dallo smart contract. Tali fondi possono essere prelevati, dai creatori, solo dopo il decorso di un periodo di tempo (come i 14 giorni previsti per il diritto di recesso negli acquisti al di fuori dei locali commerciali) che consente agli acquirenti di restituire il proprio NFT e di ricevere un rimborso dal contratto intelligente sottoscritto.

Questa nuovo standard rappresenta una possibilità sia in termini di apertura verso soluzioni innovative riguardanti il diritto di ripensamento da parte dell’utente e il conseguente esercizio del diritto di recesso, sia in termini di garanzia verso alcune pratiche fraudolente: pur essendo l’acquisto dell’NFT irreversibile, se durante tale periodo di tempo i creatori decidono di fare rug-pull, gli acquirenti potranno richiedere il rimborso dei loro fondi entro la scadenza del periodo di attesa, perdendo solo le gas fees sostenute per i costi di transazione.

L’utilizzo di tale nuovo protocollo per la generazione di NFT, oltre che più vantaggioso per gli acquirenti, in quanto limiterebbe eventuali perdite alle sole commissioni per elaborare e convalidare le transazioni sulla blockchain, presenta una concreta opportunità per i fornitori di servizi commerciali per la promozione delle proprie attività anche nel mondo delle criptoattività, creando fiducia nel mercato ed attraendo un maggior numero di investitori.

DIRITTO DI RECESSO E VENDITA DI NFT

08/02/2023/in Innovazione/di Giovanni Gaeta

La vicenda

La recente collezione NFT di Porsche ha fatto molto rumore. Nei ToS presenti al momento del minting c’è un punto che consente agli utenti di ottenere il diritto di recesso entro 14 giorni dal rilascio della collezione, qualunque sia il nuovo ” floor price” successivo al conio.

Cos’è il diritto di recesso?

Il diritto di recesso, detto comunemente “diritto al ripensamento”, è uno dei più importanti diritti attribuiti al consumatore dal Codice del consumo.

Il diritto di recesso consente al consumatore di cambiare idea sull’acquisto effettuato al di fuori dei locali commerciali del venditore, liberandosi dal contratto concluso senza fornire alcuna motivazione entro 14 giorni dall’acquisto. In tal caso, il consumatore potrà restituire il bene e ottenere il rimborso di quanto pagato.

Qual è la normativa di riferimento per il diritto di recesso applicabile alla vendita di NFT?

In Europa la materia è disciplinata dalla direttiva 2011/83/UE sui diritti dei consumatori. La direttiva 2011/83/UE, sostituisce la direttiva sulla vendita a distanza (97/7/CE) e la direttiva sulle vendite a domicilio (85/577/CEE) armonizzando delle norme in materia di contratti tra consumatori e venditori.

Aggiornata con la direttiva (UE) 2019/2161, si tratta di un regime applicabile a un’ampia gamma di contratti conclusi tra professionisti e consumatori, in particolare contratti di vendita, contratti di servizio, contratti per contenuti digitali online e contratti per la fornitura di acqua, gas, elettricità e teleriscaldamento; essa riguarda sia i contratti conclusi nei negozi e sia quelli conclusi fuori sede (ad es. presso l’abitazione del consumatore) o a distanza (ad esempio, online).

L’aggiornamento operato con la direttiva (UE) 2019/2161 ha esteso il campo di applicazione ai contratti in base ai quali il professionista fornisce o si impegna a fornire servizi digitali o contenuti digitali al consumatore, e il consumatore fornisce o si impegna a fornire dati personali. La normativa stabilisce, tra l’altro, una serie di obblighi di informazione a carico dei professionisti. In particolare, essi, prima di concludere un contratto, devono fornire ai consumatori, in un linguaggio semplice e comprensibile, informazioni quali:

l’identità e dati di contatto del professionista;
le caratteristiche principali del prodotto; e
le condizioni applicabili, compresi i termini di pagamento, i tempi di consegna, le
prestazioni, la durata del contratto e le condizioni di recesso.

È infine previsto che i venditori online informino i consumatori se si è un professionista o non professionista, avvertendo il consumatore della non applicabilità delle norme di tutela del consumatore dell’UE ai contratti conclusi con non professionisti.

La direttiva 2011/83/UE include un articolato complesso di disposizioni in materia di recesso, in forza del quale, tra l’altro, i consumatori possono recedere da contratti a distanza e fuori sede entro 14 giorni dalla consegna della bene o dalla conclusione del contratto di servizio, con determinate eccezioni, senza alcuna spiegazione o costo; se il consumatore non è portato a conoscenza dei suoi diritti, il periodo di recesso è prorogato a 12 mesi.

L’Europa non è l’unica comunità che si è dotata di norme fortemente protettive per la parte contraente debole, molti paesi come ad esempio il Regno Unito, hanno adottato legislazioni che ricalcano una tutela identica o molto simile.

Quali società sono obbligate all’applicazione del diritto di recesso?

L’art. 3, paragrafo 4, della direttiva 2011/83/UE, definisce l’ambito di applicazione oggettivo della disciplina facendo riferimento a “qualsiasi contratto” concluso tra un professionista e un consumatore.

Pertanto, anche i progetti che hanno sede al di fuori del dell’Unione Europea nonché di altre nazioni (ad es. del Regno Unito) possono comunque essere soggetti alle leggi sui consumatori (del Regno Unito) e dell’Unione Europea e degli stati con simili normative quando vendono beni o servizi ai consumatori di questi stati. Questo perché il perimetro di applicazione di queste leggi comprende qualsiasi azienda che offra beni o servizi ai consumatori degli stati che offrono questa protezione, indipendentemente dal luogo in cui si trova l’azienda.

Ciò significa che le aziende internazionali che vendono ai consumatori, ad es. del Regno Unito e dell’UE, devono rispettare le leggi sui consumatori del Regno Unito e dell’UE. La mancata osservanza di queste leggi può comportare sanzioni per l’azienda, tra cui multe e azioni legali.

È possibile escludere il diritto di recesso?

Esiste una casistica che, in alcuni specifici casi, permette l’esclusione del diritto di recesso. Ad esempio, per la materia qui individuata, l’articolo 16 della direttiva 2011/83/UE lett. M), ci dice che “gli Stati membri non prevedono il diritto di recesso per i contratti a distanza e i contratti negoziati fuori dei locali commerciali relativamente a […] la fornitura di contenuto digitale mediante un supporto non materiale se l’esecuzione è iniziata con l’accordo espresso del consumatore e con la sua accettazione del fatto che avrebbe perso il diritto di recesso”. Una previsione molto specifica che, qualora interpretata correttamente, permetterebbe al professionista di evitare conseguenze pesantemente negative per l’economia del progetto rimanendo all’interno di un perimetro di legal compliance.

Deep dive nella cybersec: exploits

11/01/2023/in Innovazione/di Cristiano Frassineti

In termini generali, un exploit è una serie di azioni eseguite per trarre il massimo beneficio da una risorsa preesistente.

Nella cybersecurity potremmo definire un exploit come un pezzo di software, un chunk di dati o una sequenza di comandi che sfrutta un bug o una vulnerabilità al fine di causare un comportamento non previsto o non prevedibile su software o hardware del computer. Ciò può includere la fuga di dati, l’escalation dei privilegi, l’esecuzione di codice arbitrario (spesso utilizzato come parte di un attacco zero-day), attacchi denial-of-service e virus.

Per andare ancora più a fondo, questo termine viene utilizzato per descrivere l’uso di istruzioni software di basso livello che vanno oltre la funzione o la progettazione prevista di un programma informatico.

Gli hacker sono sempre alla ricerca di vulnerabilità. Utilizzano gli exploit per ottenere dati personali, come numeri di carte di credito, accessi a conti bancari, numeri di previdenza sociale e ogni tipo di informazione sensibile.

Il vettore più comune per un exploit è l’iniezione:

Un’iniezione SQL, in cui un malintenzionato (o qualcuno che si spaccia per tale) inietta codice dannoso in un campo di immissione per estrarre dati da un database.
Un attacco XSS, in cui un malintenzionato inietta bit dannosi nel codice sorgente di un sito web per estrarre dati dal database o dal server del sito.

Exploit famosi

Ci sono molti exploit e hack famosi: alcuni di quelli che hanno fatto più scalpore sono Heartbleed, Sony PlayStation Network Hack, Target Security Breach, Eternalblue (che ha dato il via alla tendenza del Ransomware).

Heartbleed è una vulnerabilità di OpenSSL scoperta il 7 aprile 2014: si trattava di un bug nel protocollo che permetteva agli aggressori di rubare informazioni dai server senza essere rilevati. Questo exploit ha colpito oltre il 66% di tutti i server web a livello globale, compresi siti come Yahoo!, Facebook, Google e Amazon.

Quello del PSN (PlayStation Network) di Sony è avvenuto anche prima: nel 2011 un gruppo di hacker ha rubato le informazioni personali di 77 milioni di account. Gli hacker sono stati in grado di farlo in seguito all’ottenimento dei dati di accesso al PSN da parte di un soggetto esterno che si era introdotto nella rete di Sony all’inizio dello stesso anno.

La violazione della sicurezza di Target (nota catena commerciale statunitense) si è verificata durante le festività natalizie del 2013 e ha visto il furto di 40 milioni di carte di credito dai suoi sistemi: in quel caso gli hacker hanno utilizzato un malware inviato ai POS di Target per rubare i dati delle carte mentre venivano inseriti nel sistema.

Un altro esempio famoso è stato l’exploit WannaCry, veicolato da Eternalblue, una vulnerabilità scoperta dall’NSA e tenuta segreta fino a quando non è stata trapelata da un gruppo chiamato Shadow Brokers. Si tratta di un exploit di sicurezza che colpisce Microsoft Windows e che, al momento della divulgazione, non era ancora stato patchato. L’exploit Eternalblue è stato uno degli exploit più pericolosi al mondo, venendo per creare alcuni degli attacchi ransomware più devastanti come WannaCry, NotPetya e BadRabbit.

Per capirne la pericolosità il ransomware è un tipo di virus che blocca i dati nel computer della vittima e richiede un pagamento per sbloccarli. Di solito si diffonde attraverso allegati di posta elettronica, download da fonti non attendibili o, in generale, attraverso una o più vulnerabilità del sistema.

Stare al sicuro

Con l’aumento del numero di persone e dispositivi connessi a Internet, è aumentato anche il numero di attacchi informatici: i criminali informatici sono sempre alla ricerca di nuovi modi per sfruttare le vulnerabilità del sistema.

Per prevenirli, è importante adottare misure per assicurarsi di non essere vulnerabili:

aggiornare sempre regolarmente il software e l’hardware
utilizzare password forti e cambiarle regolarmente
utilizzare l’autenticazione a due fattori quando possibile
installare una suite di sicurezza che includa una protezione antivirus e impostazioni di firewall che bloccano l’accesso al sistema da parte di programmi sospetti o dannosi.

Quest’ultimo aspetto è particolarmente importante per gli utenti di Windows, ma ciò non significa che gli utenti Linux e macOS debbano sentirsi al sicuro: man mano che l’uso e la distribuzione di sistemi basati su Unix aumentano e guadagnano popolarità, aumentano anche le ricerche sui possibili vettori di attacco.

Gli aggiornamenti sono una parte fondamentale per mantenere il dispositivo protetto. Questi aggiornamenti non solo bloccano gli exploit, ma migliorano la sicurezza del dispositivo e lo proteggono dai vettori di attacco conosciuti: la maggior parte degli exploit più devastanti sono stati effettuati a causa di sistemi non aggiornati (anche dopo la distribuzione delle patch).

Internet è un mondo digitale che è sia benefico che dannoso. È stato creato per mettere in contatto persone di tutto il mondo, ma ha anche creato uno spazio per gli hacker per sfruttare le vulnerabilità, mettendo a rischio tutti coloro che non hanno una conoscenza adeguata del problema e dei rischi. Ecco perché è fondamentale imparare a proteggere la propria privacy e i propri dati e acquisire consapevolezza sulla sicurezza e sulle minacce online.

La conoscenza è potere, in questo caso il potere di difendere i propri dati da attacchi malevoli.