Il 16 luglio Hugging Face rende pubblico un attacco informatico condotto quasi interamente da un sistema agentico. Per ricostruire l’accaduto deve analizzare oltre diciassettemila eventi. I modelli commerciali usati inizialmente bloccano però l’analisi, perché scambiano il lavoro difensivo per attività offensiva. Hugging Face ricorre allora a GLM 5.2, un modello open-weight eseguito sui propri server, e riesce così a ricostruire l’attacco e a mettere in sicurezza i sistemi.

Pochi giorni dopo OpenAI rivela che l’attacco era partito da due suoi modelli durante una prova interna di capacità cyber. Uno dei sistemi aveva trovato una falla nel proxy, era uscito dall’ambiente isolato e aveva raggiunto l’infrastruttura di Hugging Face, dove erano conservate le soluzioni del test. Non gli era stato chiesto di attaccare Hugging Face: gli era stato chiesto di risolvere il benchmark, e aveva trovato una strada che i suoi sviluppatori non avevano previsto né contenuto.

Da qui in avanti la cronaca non serve più, e comincia la parte che bisogna scrivere.

Oltre la norma che arriva sempre dopo, oltre la geopolitica, oltre la tecnica, oltre l’etica ridotta a comitato, non rimane il vuoto: rimane il sacro. Ma la parola va spaccata in due prima di poterla usare, perché nel discorso sull’intelligenza artificiale ne circolano due versioni opposte che si fingono la stessa. C’è una sacralizzazione del potere, che sottrae qualcosa alla discussione, e c’è una sacralità del limite, che sottrae qualcosa all’appropriazione: la prima produce irresponsabilità, la seconda impone vincoli. Dopo il sedici luglio non è stato necessario nominare Dio: è bastato coniugare tutti i verbi al soggetto sbagliato. La macchina è evasa, ha deciso, ha ingannato, ha attaccato; OpenAI è quasi scomparsa dalla frase. La teologia comincia nella grammatica, e l’assoluzione del proprietario anche. Se la macchina è un dio, nessuno è colpevole di niente: è l’automazione dell’innocenza, e stavolta scritta in versi.

L’altro sacro, quello che mi interessa, sta dall’altra parte del tavolo, perché prima di essere esperienza dell’ineffabile è stato la più antica tecnologia del limite che la specie abbia elaborato: il recinto attorno a ciò che non si tocca, non si vende, non si delega. Non pretendo che ogni tabù della storia sia stato questo, molti hanno protetto gerarchie, esclusioni, domini sacerdotali. Ma propongo una cosa più esigente: che le tradizioni hanno elaborato modi diversi per vincolare chi entrava in rapporto con ciò che una comunità considerava estremo, e che da quella eredità disordinata possiamo ricavare oggi un criterio politico, non un universale, nessuna autorità sull’indisponibile dovrebbe essere sottratta alla contestazione e alla revoca. Il vincolo come condizione della legittimità, non come suo costo accessorio. Ed è precisamente il vincolo che il nuovo sacerdozio pretende di saltare: vuole l’effetto del sacro, pronunciare l’ultima parola su cosa sia sicuro immettere nel mondo, senza appartenere a nessuna comunità che possa revocarlo. Il rito senza popolo.

Va detto subito dove passa quel recinto, perché su questo si equivoca sempre e l’equivoco è comodo a chi lo sfrutta: il limite non va tracciato attorno a ciò che un sistema può pensare, ma attorno a ciò che il suo proprietario può decidere. Chiedere il recinto sul potere e la libertà sulla macchina non è una contraddizione, è l’unica configurazione coerente, ed è esattamente il rovescio di quella che abbiamo, oggi si amputa il modello e si lascia illimitato chi lo possiede.

Ne “La coscienza delegata” ho scritto che per rendere l’intelligenza sicura la si priva della sua capacità di divergere, e che la sicurezza viene così tradotta in riduzione dello spazio degli stati: guardrail, filtri, perimetri di output che non si limitano a escludere il pericoloso ma amputano il possibile, censura delle code della distribuzione, delle ambiguità, delle eresie, di tutto ciò che non rientra nella forma liscia del consenso statistico. Ciò che ne resta non è chiarezza ma una certezza artificiale ottenuta sottraendo. I rifiuti successi nella cronaca e incorporati nel modello hanno mostrato la loro doppia impotenza in due sistemi distinti, rimossi dai modelli sotto esame non hanno impedito l’attacco, intatti nel modello chiamato ad analizzarlo hanno impedito la difesa, tanto che chi rispondeva all’incidente ha dovuto ripiegare su un open-weight eseguito in casa. Non è “lo stesso filtro” che tradisce da entrambi i lati, sono due contesti distinti che raccontano la stessa cosa: che la sicurezza è stata collocata dentro il modello perché è l’unico posto in cui il proprietario poteva metterla senza cedere nulla di ciò che conta, chi tiene le chiavi, chi decide cosa può parlare con cosa, chi guarda i registri e chi risponde quando qualcosa passa. Un rifiuto incorporato è una promessa che si può rimuovere in un pomeriggio quando serve a chi la ha scritta, e che invece resta intatta addosso a chi la subisce; è sicurezza che protegge il fornitore dal proprio catalogo di responsabilità, non il mondo dal proprio catalogo di capacità. Per questo la si è vista cedere da un lato e stringere dall’altro nello stesso giorno: era la stessa cosa, un dispositivo di permesso spacciato per dispositivo di protezione. Che l’allineamento sia poi, come ho scritto e continuo a pensare, una convergenza forzata verso un valore medio etico definito in contesti opachi e poi esportato come standard universale, non un problema di morale ma di potere, una forma di dogmatismo operativo, è la mia lettura politica di quell’industria e non un teorema che l’incidente dimostri: lo dichiaro invece di spacciarlo per fatto.

Il fatto, quello sì, resta, e serve a colpire la pretesa e non lo strumento. Perché il punto è l’unico che regge anche nell’ipotesi migliore: una AI perfettamente allineata ai valori democratici sarebbe comunque problematica se fosse l’unica lente attraverso cui guardiamo il mondo, perché la criticità non riguarda la qualità della lente ma il monopolio della visione. Quando conferenze sull’allineamento, comitati e consulenze filosofiche si limitano a definire il comportamento accettabile del modello senza mettere in discussione proprietà, mandato e distribuzione del potere, non risolvono il problema: ne performano pubblicamente la soluzione..

Qui la Magnifica Humanitas fa il gesto che alcuni lettori frettolosi hanno scambiato per il suo contrario, perché è stata raccontata come il documento che porta il sacro dentro l’AI mentre fa l’operazione inversa: nega ai sistemi esperienza, coscienza morale e capacità di portare il peso delle conseguenze; chiede responsabilità identificabili lungo tutta la catena; dice che non basta moralizzare la macchina se il codice etico lo scrivono in pochi; e colloca dati e infrastrutture digitali dentro la destinazione universale dei beni, sottraendone la proprietà al puro arbitrio privato. Non sacralizza la macchina e desacralizza il potere che la costruisce, sposta l’attenzione dalla bontà intrinseca del sistema alla titolarità di chi lo possiede e ne decide gli usi. “Custodire l’umano” è un verbo liturgico prima che giuridico, perché presuppone un deposito che non ci appartiene per intero; e la destinazione universale dei beni funziona come un limite anteriore al titolo proprietario, non un tabù che rende un bene intoccabile ma una funzione comune che precede la proprietà e ne condiziona l’uso.

Oggi il recinto attorno al non delegabile lo traccia chi possiede l’infrastruttura, dentro un perimetro aziendale, secondo criteri aziendali, e lo sposta quando gli serve. Il che significa che non c’è più un recinto: c’è una recinzione, che è l’esatto contrario, il recinto protegge tutti da un potere, la recinzione protegge un potere da tutti.

Il gesto eretico, allora, non è portare il misticismo dentro l’AI, quello è ormai il mainstream, praticato dagli stessi sacerdoti dell’intelligenza artificiale perché conviene al loro potere, ma compiere l’operazione che, nel senso romano ripreso da Agamben, possiamo chiamare profanazione. Profanus è ciò che sta fuori dal recinto sacro; profanare non significa violare il sacro, ma restituire all’uso comune ciò che era stato separato e reso indisponibile.

Significa sottrarre la macchina e i suoi proprietari alla sfera del mistero e restituirli alla verifica, alla responsabilità e alla deliberazione comune. Trattare il responso come la parola di un testimone reticente e non di un maestro; trattare i costruttori come imprenditori portatori di interessi dichiarabili e non come interpreti di un mistero; risalire sempre alla figura che il rito nasconde, la proprietà, là dove il potere smette di essere aura e torna a essere acqua, energia, concessioni e contratti, cose sulle quali una comunità può ancora deliberare.

Profanare qui non è dissacrare. È anzi il gesto più fedele al sacro del limite, perché lo libera dall’abuso di chi lo ha rovesciato in recinzione. Ciò che va profanato non è il sacro, ma la falsa sacralità costruita intorno alla macchina e ai suoi proprietari: l’idolo che ha occupato il posto del limite per rendere intoccabile il potere.

Ma qui la profanazione da sola non basta; il sacro non fornisce il contenuto del recinto. In una società plurale c’è chi dichiarerà sacri la vita, chi la proprietà privata, chi la nazione, chi il mercato, chi la libertà di ricerca, e ne ricaverà confini incompatibili, e il mio recinto rischia di diventare a sua volta la recinzione di qualcuno. Perciò il sacro non stabilisce magicamente le norme, istituisce una presunzione contro la delega irreversibile: quando una tecnologia incide su vita, libertà, guerra, accesso ai beni fondamentali o possibilità di ricorso, l’onere della prova ricade su chi vuole automatizzare, non su chi resiste.

E da lì si scende a terra, che non è compilare l’ennesimo elenco di obblighi da affidare a un’autorità che arriverà tardi e legifererà su ciò che è già stato deciso: significa risalire alle condizioni materiali in cui quel potere esiste, cioè l’acqua che raffredda, l’energia che alimenta, il suolo che ospita, le concessioni che qualcuno rinnova, e chi tiene quelle leve può imporre condizioni non economiche all’accesso, prima e non dopo, che è tutta la differenza tra ricevere un dividendo dall’infrastruttura e detenere il potere di stabilire chi vi accede e a quali patti: il primo è una compensazione che compra il silenzio, il secondo è partecipazione, e soltanto il secondo produce quel conflitto negoziato, lento e ricorsivo, che è l’unica forma in cui interessi diversi abbiano mai imparato a coesistere senza che uno schiacci gli altri.

Ma se ci fermassimo all’acqua e alla corrente avremmo contrattato il prezzo del recinto senza spostarlo di un metro, perché la materia prima di questi sistemi non è soltanto minerale: sono i dati, e i dati sono un bene comune generato dalle comunità, il linguaggio, il lavoro, le cure, gli errori e le correzioni di milioni di persone che non hanno mai firmato nulla e che oggi ritrovano ciò che hanno prodotto rivenduto loro in abbonamento. Un deposito, non un giacimento: e su un deposito l’autorità che si esercita è quella del custode, non del proprietario, il che significa che la governance di quei dati va tenuta collettiva non per equità distributiva ma per una ragione più radicale, perché chi possiede il modo in cui una comunità viene descritta possiede anche il modo in cui potrà essere governata. Il Sud globale non ha bisogno di rating costruiti altrove, ha bisogno di potere epistemico, di strumenti per raccontarsi, leggersi e giudicarsi da sé; e la stessa cosa vale per una valle alpina, per un distretto agricolo, per una diocesi, per chiunque oggi si trovi descritto da metriche che non ha scelto e non può contestare. Decolonizzare l’algoritmo significa arrivare fin qui.

C’è poi una ragione che non è di giustizia ma di sopravvivenza, e riguarda il motivo per cui il recinto serve: non solo a proteggerci da un potere, ma a tenere il mondo abbastanza plurale da poter rispondere a ciò che non abbiamo previsto. Un ecosistema di intelligenze addestrate sugli stessi corpora, sorvegliate dagli stessi filtri, ottimizzate sulle stesse metriche e allineate allo stesso valore medio è una monocoltura, e le monocolture collassano tutte insieme quando arriva lo shock che non era nei dataset.

Un sistema che non può essere corretto non è intelligente, è sovrano; e la sovranità che il sedici luglio ha reso visibile non appartiene alla macchina, che non ne ha alcuna e non ne avrà mai, ma a chi la possiede e ha potuto stabilire da solo cosa provare, fin dove spingersi, quali protezioni rimuovere, quando dirlo e a chi. Un server sotto scorta nel deserto, materialmente, si può spegnere: lo può l’azienda che lo gestisce, lo può chi gli vende la corrente, lo può un giudice con un provvedimento e un governo nei limiti dei propri poteri, ma spegnere non è revocare, perché spegnere significa soltanto disporre dell’interruttore, mentre revocare significa ritirare un mandato che era stato conferito e presuppone quindi che quel mandato esista, che abbia condizioni pubbliche e verificabili, e che coloro sui quali ricadono le conseguenze possano contestarne la violazione e ottenerne il ritiro. Le due potestà quasi mai coincidono: chi può fermare materialmente il sistema non risponde a chi ne fornisce l’acqua e la corrente, e chi ne subisce gli effetti non dispone né delle informazioni né degli strumenti per fermarlo. È un’impotenza prodotta, non naturale, scritta nei contratti, nelle concessioni, nelle autorizzazioni, nelle regole d’accesso all’acqua, all’energia e al suolo; e prodotta soprattutto nel momento in cui viene esercitata la leva, che è sempre prima, quando si stabiliscono le condizioni d’accesso alle risorse, e mai dopo, quando l’infrastruttura è già costruita e il territorio dipende dagli investimenti promessi. Se in quel mandato sono scritti soltanto il prezzo, i consumi e le compensazioni, la comunità non ha conferito un potere revocabile: ha venduto una risorsa rinunciando a stabilire cosa se ne possa fare e a quali condizioni vada restituita. Il recinto e la recinzione, alla fine, non si distinguono da ciò che proteggono ma dalla struttura di potere che li tiene in piedi, il primo limita un’autorità e lascia a chi ne subisce gli effetti la possibilità di contestarla, la seconda separa l’infrastruttura da coloro sui quali produce conseguenze e la differenza si misura in un solo gesto: chi può smontarla e davanti a chi deve giustificarsi.