I modelli di intelligenza artificiale open weight sviluppati in Cina stanno raggiungendo rapidamente le capacità dei sistemi statunitensi più avanzati nelle attività di sicurezza informatica. Secondo una valutazione dell’AI Security Institute britannico, il ritardo prestazionale rispetto ai principali modelli proprietari si è ridotto fino a circa quattro mesi in alcune categorie di prova. La distanza osservata tra i migliori modelli cinesi aperti e i sistemi statunitensi chiusi era compresa tra sei e dieci mesi nel corso del 2025. Le nuove misurazioni collocano invece il divario tra quattro e sette mesi, a seconda della tipologia di attività analizzata.
La riduzione è rilevante non soltanto dal punto di vista della competizione tecnologica. Modelli potenti, economici e liberamente scaricabili possono essere utilizzati per individuare vulnerabilità, analizzare programmi, studiare sistemi protetti e automatizzare parti di un attacco informatico senza i controlli applicati dai fornitori dei servizi proprietari. Un modello open weight mette a disposizione i propri parametri numerici, che possono essere scaricati, modificati ed eseguiti su server controllati direttamente dall’utente. Questa impostazione offre vantaggi importanti alle aziende e ai ricercatori, perché permette di mantenere i dati all’interno della propria infrastruttura, personalizzare il sistema e continuare a utilizzarlo senza dipendere dalla disponibilità di una piattaforma esterna. L’esecuzione locale riduce anche il rischio che informazioni riservate vengano inviate ai server del produttore. Un’organizzazione può adattare il modello a procedure interne, collegarlo ai propri strumenti e stabilire autonomamente la quantità di capacità computazionale da destinargli.
La stessa libertà rende però molto più difficile controllare gli utilizzi dannosi. Una volta pubblicati i pesi, lo sviluppatore non può più stabilire chi esegua il modello, quali richieste vengano elaborate o quali modifiche siano applicate alle protezioni originarie. Nei servizi proprietari, il fornitore mantiene invece il controllo dell’infrastruttura. Può limitare l’accesso, analizzare le richieste, bloccare determinati comportamenti, sospendere un account e aggiornare i sistemi di sicurezza quando emergono nuove tecniche di abuso. Questi interventi non sono applicabili con la stessa efficacia a un modello scaricato e installato autonomamente. Un utente che dispone dei pesi può modificare il sistema, eliminare i filtri e costruire una versione ottimizzata per attività che il servizio originale avrebbe rifiutato.
Il problema assume particolare importanza nel settore della sicurezza informatica. Il periodo che separa il rilascio di un modello proprietario avanzato dalla disponibilità di un sistema aperto con capacità simili rappresenta una finestra utile per preparare le difese. Durante questo intervallo, governi, aziende e gestori delle infrastrutture possono studiare le nuove capacità, aggiornare gli strumenti di monitoraggio, correggere i sistemi più esposti e definire procedure per rispondere agli attacchi automatizzati. Se il ritardo scende da dieci a quattro mesi, il tempo disponibile per predisporre queste misure si riduce sensibilmente. Le capacità che inizialmente rimangono concentrate nei laboratori delle aziende più avanzate possono essere trasferite in pochi mesi a modelli eseguibili senza controlli centralizzati.
L’AI Security Institute britannico ha valutato i sistemi attraverso 70 attività specifiche di sicurezza informatica. Le prove comprendevano analisi delle vulnerabilità, reverse engineering, attacchi ad applicazioni web, crittografia e altri compiti necessari per comprendere o compromettere un sistema software. Ogni attività poteva essere tentata fino a cinque volte. Per ciascun tentativo era disponibile un limite massimo di 2,5 milioni di token, una quantità sufficientemente elevata per consentire al modello di analizzare il problema, produrre codice, verificare ipotesi e modificare la strategia in caso di insuccesso. La misurazione non riguardava quindi soltanto la capacità di rispondere a una domanda teorica. I modelli dovevano completare compiti operativi, utilizzando il contesto e i tentativi disponibili per raggiungere un risultato verificabile.
Il sistema open weight con le prestazioni migliori è risultato GLM-5.2, sviluppato dalla società cinese Z.ai e pubblicato nel giugno 2026. Nei test generali di sicurezza informatica, il modello ha raggiunto risultati paragonabili a quelli ottenuti da Claude Opus 4.6 di Anthropic e GPT-5.3-Codex di OpenAI. I due modelli statunitensi erano stati resi disponibili circa quattro mesi prima. Questo confronto colloca quindi GLM-5.2 a una distanza temporale molto più ridotta rispetto a quella rilevata nella precedente generazione di sistemi cinesi. Le prove comprendevano attività nelle quali il modello doveva individuare e comprendere vulnerabilità, analizzare codice compilato, interagire con servizi web e risolvere problemi crittografici. La capacità di ottenere risultati simili in aree differenti indica una crescita generale e non limitata a una singola tecnica. GLM-5.2 ha mostrato progressi anche nelle attività di hacking autonomo di lunga durata. Questi test valutano la capacità di proseguire un attacco articolato per un periodo esteso, mantenendo l’obiettivo, utilizzando strumenti e adattando il comportamento sulla base dei risultati intermedi. In questa categoria, il modello cinese ha raggiunto prestazioni paragonabili a quelle di Claude Opus 4.5, pubblicato verso la fine del 2025. Il divario temporale è risultato inferiore a sette mesi.
Le attività autonome sono particolarmente importanti perché un attacco reale non consiste generalmente in una singola domanda. Un sistema deve raccogliere informazioni, individuare un possibile ingresso, verificare le autorizzazioni, interpretare gli errori e scegliere progressivamente quali passaggi eseguire. Un agente capace di mantenere questo processo per periodi prolungati può automatizzare parti del lavoro normalmente svolto da un operatore umano. La riduzione del divario indica quindi che i modelli aperti stanno migliorando non soltanto nella produzione di risposte isolate, ma anche nella gestione di sequenze operative complesse. GLM-5.2 ha ottenuto risultati elevati utilizzando mediamente meno token rispetto ai modelli statunitensi. L’efficienza è un fattore decisivo perché il numero di token influisce direttamente sul costo e sulla quantità di hardware necessaria per eseguire un attacco su larga scala. Un modello leggermente meno potente può diventare più pericoloso se risulta molto più economico da utilizzare. L’aggressore potrebbe infatti avviare più tentativi, analizzare un numero maggiore di obiettivi e mantenere in funzione molti agenti contemporaneamente.
Tra i modelli valutati figurava anche DeepSeek-V4 Pro. Il sistema ha ridotto considerevolmente la distanza rispetto ai prodotti statunitensi, pur ottenendo risultati complessivamente inferiori a quelli di GLM-5.2. La principale caratteristica di DeepSeek-V4 Pro è risultata la convenienza economica. Per una simulazione di attacco informatico basata sull’elaborazione di 100 milioni di token, il costo stimato è stato di appena 1,19 dollari. La stessa quantità di elaborazione avrebbe richiesto circa 46 dollari con GLM-5.2 e 85 dollari utilizzando Claude Opus 4.5 o Claude Opus 4.6. La differenza rende possibile eseguire attività su scala molto più ampia mantenendo una spesa contenuta.
Il confronto economico è stato effettuato anche considerando il costo necessario per completare con successo le singole attività. Per raggiungere un tasso di successo del 100%, GLM-5.2 ha richiesto mediamente 6,12 dollari per prova. DeepSeek-V4 Pro ha richiesto soltanto 0,28 dollari per attività completata. I modelli statunitensi hanno invece registrato costi compresi indicativamente tra 12 e 15 dollari. Il valore non misura soltanto il prezzo del singolo token, ma il rapporto tra costo e capacità di raggiungere il risultato. Un modello molto economico che richiede numerosi tentativi può non essere realmente conveniente, mentre un sistema capace di completare il compito rapidamente può compensare una tariffa più alta.
I risultati indicano che i modelli cinesi stanno migliorando contemporaneamente sul piano delle prestazioni e su quello dell’efficienza. In alcuni casi riescono a completare le prove con meno token e con costi notevolmente inferiori rispetto ai sistemi proprietari statunitensi. Questa combinazione può ampliare il numero dei soggetti in grado di utilizzare l’intelligenza artificiale per attività offensive. Operazioni che richiederebbero migliaia di dollari con un modello proprietario potrebbero essere eseguite con una spesa molto più bassa attraverso un sistema open weight. Il costo ridotto permette anche di adottare strategie basate sulla quantità. Un aggressore potrebbe sottoporre lo stesso problema a molte istanze, utilizzare configurazioni differenti e conservare soltanto le risposte che superano determinati controlli.
L’AI Security Institute ha confrontato i risultati con i progressi registrati dai più recenti modelli statunitensi. Nell’aprile 2026, GPT-5.5 di OpenAI e Mythos Preview di Anthropic avevano mostrato un incremento particolarmente marcato nelle capacità di sicurezza informatica. Non è ancora chiaro se i modelli cinesi riusciranno a riprodurre anche questo ulteriore salto prestazionale. GLM-5.2 ha raggiunto sistemi statunitensi appartenenti a una generazione precedente, ma la frontiera tecnologica si è nel frattempo spostata in avanti. Il rapporto descrive quindi un inseguimento molto rapido, senza affermare che i prodotti cinesi abbiano già raggiunto in modo generale tutti i modelli statunitensi più avanzati disponibili nel luglio 2026. La differenza deve essere interpretata come ritardo temporale. GLM-5.2 presenta oggi capacità simili a quelle possedute da alcuni modelli proprietari quattro mesi prima, mentre nelle prove autonome più lunghe la distanza si avvicina a sette mesi. Il ritmo dello sviluppo rende però possibile che capacità oggi disponibili soltanto nei sistemi chiusi più avanzati compaiano in una versione open weight entro un intervallo relativamente breve.
Un ulteriore elemento di attenzione è rappresentato da Kimi K3, presentato dalla società cinese Moonshot il giorno precedente alla pubblicazione del rapporto. Il modello dispone di 2.800 miliardi di parametri ed è stato descritto come il più grande mai realizzato dall’azienda. Moonshot ha dichiarato che Kimi K3 supera GPT-5.5 e Claude Opus 4.8 nella maggior parte dei benchmark dedicati alla programmazione e agli agenti di intelligenza artificiale. Questi risultati sono stati comunicati dal produttore e dovranno essere verificati in valutazioni indipendenti. L’AI Security Institute intende sottoporre Kimi K3 alle stesse prove informatiche non appena saranno pubblicati i pesi del modello. Solo questa valutazione permetterà di stabilire se i risultati ottenuti nei benchmark generali corrispondano anche a un miglioramento nelle attività offensive. Le capacità di programmazione e quelle di sicurezza informatica sono strettamente collegate, ma non coincidono completamente. Un modello efficace nel generare codice deve anche comprendere sistemi esistenti, riconoscere comportamenti imprevisti e pianificare una sequenza di azioni per completare un attacco. La pubblicazione dei pesi rende necessaria una valutazione preventiva particolarmente accurata. Una volta distribuito il modello, eventuali vulnerabilità delle protezioni non possono essere corrette semplicemente modificando un servizio centralizzato.
Il produttore può pubblicare una nuova versione, ma non può obbligare chi ha scaricato quella precedente ad aggiornarla. Le copie già distribuite possono continuare a essere eseguite senza limitazioni e modificate per rimuovere i controlli. Le tecniche di sicurezza incorporate durante l’addestramento possono inoltre essere aggirate quando l’utente dispone dell’accesso completo ai parametri e al codice di esecuzione. In alcuni casi è sufficiente modificare la configurazione o applicare un ulteriore addestramento per ridurre i rifiuti del modello. Per questo motivo l’open weight presenta un problema differente rispetto all’uso improprio di un’API. Nel servizio centralizzato, il fornitore può osservare i tentativi di abuso e reagire. Nel sistema locale, l’attività rimane invisibile e può essere eseguita senza limiti imposti dall’esterno.
I vantaggi dell’apertura rimangono comunque significativi. La disponibilità dei pesi favorisce la ricerca, consente di verificare il comportamento dei modelli e permette a università e piccole aziende di sviluppare applicazioni senza dipendere completamente dai grandi fornitori statunitensi. Le organizzazioni possono inoltre utilizzare i sistemi in ambienti isolati, trattare dati sensibili e personalizzare il comportamento per lingue, settori e procedure specifiche.
Il rapporto non propone quindi di considerare ogni modello aperto come intrinsecamente pericoloso. Evidenzia piuttosto la necessità di valutare con maggiore attenzione il momento in cui capacità informatiche avanzate vengono trasferite a sistemi che non possono più essere controllati dopo la distribuzione. La riduzione del divario modifica anche la pianificazione delle difese nazionali. Governi e operatori delle infrastrutture critiche non possono presumere di disporre di un lungo intervallo tra la comparsa di una nuova capacità nei laboratori avanzati e la sua diffusione attraverso modelli liberamente eseguibili.
Le vulnerabilità dei sistemi esposti devono essere corrette più rapidamente e i processi di aggiornamento devono essere progettati per reagire a un aumento della velocità e del volume degli attacchi. L’automazione potrebbe permettere di cercare difetti su grandi quantità di software, dispositivi connessi e servizi accessibili da Internet. Un modello non deve necessariamente riuscire in ogni tentativo: la possibilità di esaminare milioni di obiettivi a costi contenuti può rendere efficace anche una percentuale di successo relativamente bassa. Sam Bresnick, ricercatore del Center for Security and Emerging Technology della Georgetown University, ha avvertito che si sta avvicinando una fase nella quale strumenti di intelligenza artificiale disponibili gratuitamente potranno individuare autonomamente vulnerabilità nel software.
Il rischio non riguarda soltanto gli errori già conosciuti. Anche se le organizzazioni correggessero tutte le vulnerabilità catalogate, modelli capaci di analizzare autonomamente il codice potrebbero scoprire nuovi difetti nelle infrastrutture critiche. Le tradizionali difese basate sugli elenchi delle vulnerabilità note potrebbero quindi diventare insufficienti. Gli aggressori assistiti dall’intelligenza artificiale possono cercare comportamenti non ancora documentati, costruire nuove catene di sfruttamento e adattare gli attacchi alle caratteristiche specifiche del bersaglio. La risposta deve comprendere strumenti difensivi capaci di utilizzare la stessa velocità di analisi. Le aziende possono impiegare modelli per esaminare preventivamente il proprio codice, verificare le configurazioni e individuare percorsi di attacco prima che il software venga distribuito.
Rimane però una differenza strutturale tra difesa e attacco. Il responsabile di un’infrastruttura deve proteggere tutti i possibili ingressi, mentre all’aggressore è sufficiente trovare una sola combinazione funzionante. La disponibilità di agenti economici può accentuare questa asimmetria. Il soggetto offensivo può avviare numerose analisi parallele, mentre il difensore deve controllare sistemi molto estesi senza interromperne il funzionamento. Il rapporto britannico mostra anche che il confronto tecnologico tra Stati Uniti e Cina non può essere valutato soltanto attraverso i modelli più avanzati in assoluto. La velocità con cui capacità simili diventano disponibili in forma aperta è altrettanto importante.
Un sistema proprietario può stabilire un nuovo record di prestazioni, ma il rischio globale cambia soprattutto quando quelle capacità vengono incorporate in un modello scaricabile, modificabile e utilizzabile a basso costo. GLM-5.2 rappresenta in questo senso un passaggio significativo. Il modello non ha necessariamente raggiunto l’intera frontiera statunitense, ma ha ridotto a pochi mesi il tempo necessario per replicare capacità informatiche precedentemente disponibili soltanto nei sistemi chiusi più avanzati. DeepSeek-V4 Pro mostra invece quanto la convenienza economica possa modificare il rischio anche in presenza di prestazioni inferiori. Un costo di 1,19 dollari per 100 milioni di token rende possibile un volume di elaborazione difficilmente sostenibile con sistemi che richiedono decine di volte la stessa spesa.
La combinazione tra modelli sempre più capaci, pesi liberamente disponibili e costi in diminuzione può trasformare il mercato degli strumenti offensivi. La sicurezza informatica assistita dall’intelligenza artificiale non sarà necessariamente limitata a governi, grandi imprese o gruppi criminali dotati di risorse elevate. La soglia d’ingresso potrebbe ridursi fino a consentire a singoli operatori di eseguire analisi che in precedenza richiedevano competenze specialistiche, infrastrutture costose e lunghi tempi di preparazione. Questo non significa che il modello possa sostituire completamente un esperto. Le prove controllate non riproducono tutte le difficoltà di una rete reale, nella quale informazioni incomplete, sistemi personalizzati e misure di rilevamento possono ostacolare l’attacco.
I benchmark mostrano però la direzione dello sviluppo. I sistemi stanno migliorando nella capacità di utilizzare strumenti, mantenere obiettivi complessi, analizzare codice e adattare il comportamento in base agli errori ricevuti. La riduzione del divario a quattro mesi rappresenta quindi soprattutto una riduzione del tempo di preparazione. Le capacità sviluppate dai laboratori statunitensi possono passare rapidamente a modelli aperti sui quali i fornitori non mantengono alcun controllo operativo. Per i responsabili della sicurezza, la conseguenza è la necessità di anticipare gli interventi. La correzione delle vulnerabilità, la segmentazione delle reti, l’autenticazione e il monitoraggio devono essere rafforzati prima che gli strumenti offensivi raggiungano una diffusione generalizzata. La pubblicazione di un modello open weight non coincide automaticamente con un aumento immediato degli attacchi. Sono necessari hardware, competenze operative, strumenti e accesso ai bersagli. Il costo e la complessità di questi elementi stanno però diminuendo insieme al prezzo dell’inferenza.
Il rapporto dell’AI Security Institute descrive così un cambiamento nel rapporto tra innovazione e sicurezza. I modelli aperti favoriscono la ricerca, la concorrenza e la diffusione dell’intelligenza artificiale, ma comprimono contemporaneamente il tempo disponibile per adattare le difese alle capacità emergenti. Il problema non può essere affrontato esclusivamente impedendo la pubblicazione dei modelli, perché una parte rilevante dello sviluppo scientifico e industriale dipende dall’accesso aperto. Diventa invece necessario stabilire criteri di valutazione, procedure di rilascio responsabile e sistemi per misurare preventivamente le capacità più pericolose. Le prove informatiche condotte dall’istituto britannico rappresentano uno di questi strumenti. Confrontare periodicamente modelli aperti e proprietari consente di misurare quanto rapidamente determinate capacità si stiano diffondendo e di individuare i settori nei quali il rischio cresce più velocemente. I risultati ottenuti da GLM-5.2 e DeepSeek-V4 Pro indicano che l’efficienza economica deve essere considerata insieme alle prestazioni assolute. Il modello più potente non è necessariamente quello con il maggiore impatto pratico, se un sistema leggermente meno efficace può essere eseguito migliaia di volte a una frazione del costo. La prossima valutazione di Kimi K3 permetterà di verificare se la distanza si sia ulteriormente ridotta. Un risultato paragonabile alle dichiarazioni sui benchmark di programmazione e sugli agenti potrebbe indicare che la frontiera dei modelli open weight cinesi si sta avvicinando ancora più rapidamente a quella statunitense.
Nel frattempo, il divario misurato tra quattro e sette mesi offre già un’indicazione concreta. Le capacità informatiche avanzate non rimangono più confinate a lungo nei sistemi proprietari e possono diventare accessibili in forma aperta entro una parte limitata dell’anno. La sicurezza delle infrastrutture dovrà quindi essere organizzata considerando una diffusione quasi immediata delle nuove capacità. Attendere che gli attacchi si manifestino prima di aggiornare le difese rischia di non essere più compatibile con la velocità dei modelli e con il basso costo delle operazioni automatizzate.