Il caso Php: la falla di Internet era aperta da tempo ma nessuno l'aveva vista, finché non è arrivata l'IA

Immaginiamo un grande edificio costruito molti anni fa, dove ogni giorno entrano milioni di persone. Per farlo, mostrano un'autorizzazione, una carta d'identità, usano lo SPID: ogni ingresso è controllato, registrato, protetto. Entrano per pagare una bolletta, prenotare una visita, iscrivere un figlio a scuola. Eppure, per oltre un decennio, nessuno si accorge che una porta sul retro è sempre rimasta aperta.

È ciò che è accaduto a PHP, il linguaggio di programmazione che alimenta circa il 70% dei siti e applicazioni web del mondo. Secondo i ricercatori, quella porta avrebbe permesso a un malintenzionato di prendere il controllo di un server o leggere password e chiavi di accesso, senza alcuna autorizzazione.

Poi qualcuno la nota. Ma invece di annunciarlo, avvisa in silenzio i custodi. Si attiva la divulgazione coordinata: il team di PHP lavora alla correzione, mentre le grandi aziende tecnologiche, informate in anticipo, attendono e si preparano. Per settimane la notizia non trapela. Il 21 ottobre la scoperta diventa pubblica e vengono rilasciati gli strumenti per chiuderla. A chi gestisce un sito si chiede semplicemente di aggiornare. Ma parliamo di miliardi di applicazioni di comuni, ospedali, università, aziende private. Quante resteranno aperte, nessuno può dirlo.

Perché nessuno se n'era accorto prima? Perché attraversare quella porta richiedeva una sequenza di mosse tanto intricata da scoraggiare quasi chiunque. Era una sicurezza per fatica. Questa volta, però, a fare la differenza è stata l'intelligenza artificiale: i ricercatori l'hanno usata non solo per scoprire la porta aperta, ma per capire come attraversarla e in pochi giorni hanno trovato la strada per chiuderla anche in edifici costruiti in modo diverso.

Il punto, però, va oltre l'informatica. Uno strumento capace di setacciare enormi quantità di dettagli potrebbe fare lavori analoghi in molte discipline: in medicina, rileggere decenni di studi clinici per far emergere interazioni tra farmaci rimaste in ombra; nel diritto, trovare contraddizioni tra leggi accumulate nel tempo; nella manutenzione di infrastrutture, cogliere piccoli segnali prima che diventino guasti. Ovunque ci sia una complessità che nessuno ha il tempo di esplorare, una macchina instancabile come l'IA può cercare.

Ma la stessa pazienza serve anche a chi attacca. Finora, per sfruttare una falla così, serviva un esperto con molto tempo a disposizione. Con l'IA quella barriera si abbassa: molti più soggetti, con competenze sempre minori, potrebbero tentare ciò che prima era per pochissimi. È come se, invece di un solo scassinatore capace di forzare una serratura rarissima, chiunque potesse affittare uno strumento che prova tutte le porte, senza stancarsi mai. La corsa non è più solo tra chi difende e chi attacca, ma tra chi trova per primo le porte aperte.

*Direttore Digital Learning e Multimedia, Università di Padova