Una revisione, non un verdetto
Uno studio commissionato dal governo britannico e pubblicato il 7 settembre 2026 ha esaminato la letteratura sulla cybersicurezza del software e dell’IA open source. Guidato da ricercatori dell’Università di Greenwich, è ricerca indipendente e non politica del governo del Regno Unito.
Cosa hanno esaminato i ricercatori
La sintesi della pubblicazione afferma che il gruppo ha vagliato 14.561 record accademici e ne ha inclusi 43 conformi ai criteri. Riporta 172 documenti di letteratura grigia, con analisi di GitHub e Hugging Face. L’introduzione del rapporto ne indica invece 126: un’incoerenza interna irrisolta che limita l’affidabilità della dimensione dichiarata del corpus.
La lacuna centrale
Lo studio ha riscontrato notevoli lacune nelle prove, soprattutto sulla governance a monte dell’IA open source: come i modelli vengono sviluppati, documentati, distribuiti e mantenuti prima che un soggetto li adatti a un uso specifico.
Perché le etichette non bastano
«Open source» descrive scelte di accesso e licenza, non una condizione di sicurezza uniforme. I rischi differiscono tra codice sorgente, pesi dei modelli, set di dati, interfacce e applicazioni distribuite. I sistemi chiusi possono nascondere debolezze; quelli aperti ampliano il controllo, ma possono facilitare la redistribuzione di componenti potenti.
Responsabilità lungo la catena
La sicurezza dipende da sviluppatori, piattaforme di hosting, distributori, utilizzatori e utenti. Documentazione chiara, segnalazione delle vulnerabilità, controlli di accesso e aggiornamenti possono contare più di una singola etichetta aperto o chiuso.
Cosa le prove non possono dimostrare
Una revisione della letteratura può mostrare schemi e punti ciechi, ma non stabilire che tutti i modelli aperti siano più sicuri o più pericolosi di quelli chiusi. La conclusione dipende dalla qualità e dall’ampiezza di studi che il rapporto stesso giudica ancora incompleti.
Fonte primaria
Pagina ufficiale e rapporto. Consultato il 12 settembre 2026.