Narrazioni AI: il nuovo vettore di minaccia per le aziende

Un’azienda si sveglia con una notizia che annuncia un grave data breach. I dettagli sono specifici, tecnici e convincenti: sistemi compromessi, dati trafugati. Ma la realtà è ben diversa: nessun attacco è avvenuto. La notizia è stata generata da un modello linguistico, che ha inventato ogni dettaglio in modo plausibile. Prima ancora che l’azienda possa rendersene conto, un giornalista di un’importante testata chiede un commento. In poche ore, l’ufficio comunicazione si mobilita per affrontare un’emergenza che non esiste.

Un secondo caso parte da un evento reale. Anni fa, un’azienda aveva subito un cyberattacco ampiamente riportato dalla stampa. L’incidente era stato indagato, risolto e archiviato. Poi, un sito di informazione ha ridisegnato la propria struttura, aggiornando gli URL degli articoli e i timestamp. I motori di ricerca hanno reindicizzato i contenuti come nuovi, e gli aggregatori basati su AI li hanno segnalati come breaking news. L’azienda si è ritrovata a dover rispondere a domande su un incidente ormai chiuso.

Un terzo episodio introduce un ulteriore livello di complessità. Una rivista di cybersecurity ha pubblicato un articolo su un attacco BEC (Business Email Compromise) che avrebbe causato perdite per quasi un miliardo di sterline a un’azienda britannica. L’articolo citava un noto ricercatore di sicurezza, ma in realtà questi non aveva mai rilasciato dichiarazioni alla testata. Le citazioni erano state inventate da un’intelligenza artificiale, che le aveva attribuite con assoluta sicurezza, e la rivista le aveva pubblicate come vere.

Questi tre episodi rivelano una minaccia che molte organizzazioni non hanno ancora considerato: l’AI è in grado di creare incidenti di sicurezza convincenti dal nulla, con dettagli tecnici, fonti nominate e una credibilità tale da scatenare risposte di emergenza complete. Trattare questo fenomeno come un problema teorico o lontano espone le aziende a un rischio concreto: la finzione generata dall’AI può trasformarsi in una crisi reale in tempi rapidissimi.

Il crollo di un assioma: la risposta alle crisi non è più lineare

Fino a oggi, la gestione delle crisi informatiche si basava su un principio semplice: qualcosa di reale accade, poi si interviene. Oggi, questo assioma è in crisi. I sistemi di AI generano, amplificano e validano affermazioni prima ancora che i team di sicurezza possano verificarle.

Una volta che una narrazione entra nell’ecosistema informativo, può essere assorbita da:

• Feed di threat intelligence
• Piattaforme di valutazione dei rischi
• Flussi di lavoro automatizzati

Ciò che era finzione diventa un segnale credibile. Per i team di sicurezza, questo introduce una nuova classe di false positive: non un semplice allarme generato da un tool mal configurato, ma una narrazione esterna completamente formata e apparentemente attendibile.

Una breach inventata può innescare:

• Indagini interne
• Coinvolgimento dei vertici aziendali
• Azioni difensive immediate

Tempo e risorse vengono spesi per smentire qualcosa che non è mai successo. Peggio ancora, queste narrazioni possono influenzare il comportamento degli attaccanti reali. Gli attori malevoli possono sfruttare queste storie false come pretesto per attacchi più convincenti. Ad esempio, una phishing email che fa riferimento a un «incidente noto» risulta più credibile, così come l’imitazione di team IT o di risposta agli incidenti. La narrazione diventa parte integrante della superficie di attacco.

Le implicazioni per la sicurezza aziendale

La diffusione di notizie false generate dall’AI rappresenta una sfida senza precedenti per le organizzazioni. Le aziende devono adattare le proprie strategie di risposta alle crisi, considerando che:

• Le emergenze possono nascere da narrative artificiali, non da eventi reali
• Le fonti di informazione tradizionali non sono più l’unico vettore di diffusione
• Gli aggregatori basati su AI possono amplificare falsi positivi a livello globale
• Le difese devono evolversi per distinguere tra segnale reale e rumore generato

La soluzione non è ignorare il problema, ma prepararsi a un nuovo tipo di minaccia: quella in cui la realtà viene scritta dall’intelligenza artificiale, e le aziende devono essere pronte a difendersi da narrative che non esistono.