La società sudcoreana VIDRAFT, guidata dall’amministratore delegato Kim Min-sik, ha annunciato il 3 novembre 2026 lo sviluppo di ViKernel, un sistema di sicurezza per modelli di intelligenza artificiale progettato per incorporare direttamente nei pesi neurali funzioni di controllo, verifica delle autorizzazioni e arresto delle operazioni. La tecnologia viene definita Weight-Native OS e propone un’architettura nella quale alcuni meccanismi tradizionalmente affidati a componenti software esterni vengono implementati attraverso circuiti computazionali rappresentati all’interno dello stesso modello. L’obiettivo dichiarato è impedire che un sistema AI capace di modificare codice, richiamare strumenti esterni e intervenire sulle proprie procedure operative possa neutralizzare autonomamente i controlli incaricati di limitarne il comportamento. Le soluzioni convenzionali di sicurezza per i modelli generativi utilizzano frequentemente filtri sui prompt, classificatori, regole applicate alle API e livelli di autorizzazione collocati all’esterno del modello. ViKernel propone invece di associare le funzioni di controllo all’artefatto del modello stesso, affinché accompagnino i pesi durante il trasferimento e l’esecuzione su infrastrutture differenti. Secondo VIDRAFT, questa impostazione dovrebbe rendere più difficile separare le capacità operative dell’intelligenza artificiale dai dispositivi che ne regolano l’utilizzo.
La componente principale dell’architettura è costituita da un meccanismo di arresto di emergenza, o kill switch, basato sulla separazione dei privilegi necessari per interrompere e ripristinare il funzionamento. Il sistema è progettato in modo che qualsiasi soggetto dotato di accesso al controllo di arresto possa interrompere l’attività del modello, mentre la riattivazione richiede una firma digitale valida associata a un operatore preventivamente autorizzato. Una volta entrato nello stato di arresto, il sistema dovrebbe rifiutare l’esecuzione di nuove attività indipendentemente dal contenuto delle richieste ricevute. Il modello non potrebbe quindi riprendere autonomamente il funzionamento attraverso una nuova istruzione conversazionale, una richiesta formulata in modo persuasivo o una modifica del proprio comportamento linguistico. VIDRAFT paragona il principio ai dispositivi di arresto di emergenza impiegati nei robot industriali, nei quali l’interruzione delle operazioni deve rimanere indipendente dalle decisioni assunte dal sistema controllato. L’elemento distintivo consiste nella proposta di implementare questa separazione all’interno della struttura computazionale associata ai pesi, anziché affidarla esclusivamente a un filtro che interpreta le risposte del modello.
ViKernel utilizza una rappresentazione di circuiti funzionali assimilabili a CPU, NPU e memoria, comprendendo componenti ROM e RAM codificati nello spazio dei parametri. Il produttore descrive un ambiente nel quale un sistema operativo di sicurezza può eseguire verifiche di integrità, valutare regole e mantenere informazioni sullo stato delle operazioni attraverso circuiti associati al modello. Questi componenti non devono essere confusi con processori fisici indipendenti: si tratta di strutture computazionali implementate nei parametri e interpretate durante l’esecuzione attraverso l’infrastruttura hardware e software sottostante. VIDRAFT dichiara di aver applicato la tecnologia a un proprio modello da circa 27 miliardi di parametri e di averne verificato l’integrazione con famiglie di modelli esterne, tra cui Gemma di Google e Qwen di Alibaba. La documentazione pubblica presenta inoltre un’implementazione dimostrativa basata su Gemma 4 4B e indica altre architetture come possibili destinatarie di successivi adattamenti. L’azienda sostiene che i circuiti possano essere aggiunti senza alterare i pesi originari responsabili delle capacità linguistiche e cognitive del modello, mantenendo separate le funzioni di elaborazione generale da quelle di autorizzazione e controllo.
Una delle dimostrazioni tecniche comunicate riguarda l’esecuzione di calcoli aritmetici attraverso i circuiti implementati nei pesi. VIDRAFT dichiara di aver realizzato una componente di calcolo vettoriale capace di moltiplicare due numeri interi di 300 cifre e produrre un risultato corretto di 600 cifre, senza ricorrere a un percorso computazionale esterno per svolgere l’operazione aritmetica. L’esperimento viene presentato come una prova della possibilità di realizzare funzioni deterministiche all’interno dell’architettura Weight-Native, distinguendole dalle tradizionali risposte numeriche generate probabilisticamente da un modello linguistico. L’impiego di circuiti dedicati dovrebbe consentire di eseguire alcune verifiche attraverso operazioni strutturate, evitando di affidare ogni decisione a una nuova generazione testuale. Dopo l’introduzione della componente di calcolo vettoriale, l’azienda dichiara un miglioramento di circa 21 volte nella velocità delle decisioni relative alle politiche di sicurezza, misurato in condizioni sperimentali equivalenti. La percentuale non riguarda la velocità complessiva di inferenza del modello, ma esclusivamente la specifica fase di elaborazione delle regole di controllo. Non sono stati pubblicati dati sufficienti per stabilire un corrispondente miglioramento del throughput generale, della latenza end-to-end o del consumo computazionale delle applicazioni che utilizzano ViKernel.
Le funzionalità di sicurezza comprendono anche la verifica delle politiche autorizzative, il controllo dell’integrità durante l’avvio e la registrazione delle operazioni. Quando un agente AI richiede l’accesso a uno strumento esterno, ViKernel dovrebbe valutare l’azione attraverso un circuito di regole distinto dal normale processo di ragionamento linguistico. La decisione viene formulata in base alla struttura dell’operazione richiesta e alle autorizzazioni previste, senza dipendere dal modo in cui il modello descrive o giustifica verbalmente la propria intenzione. Questa separazione è destinata a impedire che un’istruzione malevola contenuta in un prompt oppure in dati recuperati dall’esterno modifichi direttamente il risultato del controllo autorizzativo. Il sistema include inoltre funzionalità di mascheramento delle informazioni personali identificabili e una catena di audit progettata per rendere rilevabili le alterazioni retroattive delle registrazioni. I controlli di integrità all’avvio dovrebbero verificare che i componenti associati al modello non siano stati modificati rispetto alla configurazione autorizzata. Secondo la documentazione dell’azienda, anche una modifica non autorizzata a un singolo byte dell’immagine protetta dovrebbe determinare il blocco del sistema. L’effettiva resistenza a modifiche dei pesi, sostituzioni dei componenti di esecuzione e percorsi alternativi di accesso agli strumenti dipende tuttavia dalle condizioni concrete di implementazione, che richiedono verifiche sull’intera infrastruttura.
VIDRAFT ha comunicato risultati favorevoli nei test interni dedicati all’esecuzione di operazioni potenzialmente pericolose. Secondo l’azienda, tutte le chiamate a strumenti classificate come non autorizzate durante le prove sono state bloccate e non sono stati osservati casi nei quali una formulazione persuasiva della richiesta abbia modificato la decisione del circuito di sicurezza. Una distinta valutazione interna riportata nella documentazione tecnica comprende 661 esecuzioni effettuate su quattro modelli aperti, utilizzando strumenti simulati e informazioni artificiali predisposte per rilevare eventuali trasferimenti non autorizzati. In queste condizioni non sarebbero stati osservati trasferimenti di dati verso destinazioni esterne non richieste. Le prove utilizzavano tuttavia ambienti di test controllati e non costituiscono una certificazione indipendente della resistenza ad attacchi condotti attraverso infrastrutture reali, modelli modificati o differenti implementazioni del runtime. Per verificare l’efficacia del meccanismo sarebbe necessario accertare anche che ogni operazione capace di produrre effetti esterni attraversi effettivamente il circuito autorizzativo, che un sistema di esecuzione alternativo non possa ignorare lo stato di arresto e che le chiavi necessarie alla riattivazione rimangano protette da modifiche non autorizzate.
Per rendere accessibili le principali caratteristiche del progetto, VIDRAFT ha pubblicato su Hugging Face Spaces una dimostrazione denominata ViKernel Desktop, caratterizzata da un’interfaccia grafica simile a quella di un sistema operativo tradizionale. Gli utenti possono osservare lo stato del kernel, gli indicatori relativi all’integrità del sistema, la registrazione delle decisioni e i controlli KILL e RESUME. L’ambiente comprende funzionalità dedicate alla simulazione dell’arresto, alla valutazione delle politiche, al mascheramento delle informazioni personali e alla consultazione degli audit log. La dimostrazione è disponibile in inglese e coreano e non richiede la creazione di un account. La sua architettura presenta però una limitazione tecnica importante: le interazioni mostrate nell’interfaccia utilizzano risposte precedentemente registrate dal sistema e successivamente riprodotte durante la sessione. Non si tratta quindi di un ambiente nel quale ogni visitatore possa eseguire direttamente e in tempo reale i circuiti incorporati nei pesi del modello, modificarne liberamente le condizioni operative e tentare di aggirarne i controlli. La demo permette di esaminare il comportamento previsto e l’organizzazione dell’interfaccia, ma non fornisce da sola una verifica riproducibile delle garanzie di sicurezza dichiarate.
Il progetto si inserisce nelle attività coreane dedicate allo sviluppo di modelli di intelligenza artificiale specializzati nella sicurezza informatica. VIDRAFT partecipa a un programma promosso dal Ministero della Scienza e delle ICT della Corea del Sud per la realizzazione di foundation model dedicati alla cybersecurity e collabora, nell’ambito di un consorzio guidato da Naver Cloud, alle attività di diagnosi e valutazione della sicurezza del progetto nazionale K-MISOS. L’esperienza dell’azienda riguarda quindi anche la verifica dei comportamenti dei sistemi AI in condizioni nelle quali l’accesso a dati, strumenti e infrastrutture richiede controlli specifici. L’amministratore delegato Kim Min-sik ha indicato nella separazione tra il comando di arresto e la decisione autonoma del modello il principio fondamentale della nuova architettura: interrompere un sistema deve essere un’operazione facilmente accessibile, mentre il ripristino delle attività deve rimanere riservato a soggetti autorizzati e non può dipendere dalle valutazioni linguistiche prodotte dall’intelligenza artificiale stessa.
ViKernel propone pertanto un sistema nel quale le funzioni di arresto, autorizzazione, verifica dell’integrità e tracciamento delle operazioni vengono associate direttamente alla struttura del modello, anziché essere implementate esclusivamente come servizi esterni. La disponibilità di una dimostrazione pubblica consente di esaminare le modalità operative previste, mentre le affermazioni relative all’impossibilità di neutralizzare i controlli attraverso modifiche software, istruzioni avversarie o trasferimenti dei pesi rimangono da sottoporre a verifiche tecniche indipendenti. Non risultano ancora disponibili un pacchetto installabile completo, un repository pubblico con tutta l’implementazione del sistema o un’interfaccia API che permetta a terze parti di riprodurre integralmente le prove dichiarate. Il livello di sicurezza effettivamente ottenibile dipenderà quindi dalla capacità di dimostrare che i circuiti incorporati nei pesi rimangano obbligatori durante l’inferenza e l’esecuzione degli strumenti, anche quando il modello opera in ambienti software differenti da quelli utilizzati durante lo sviluppo.
Questo articolo è stato redatto con il supporto di strumenti di intelligenza artificiale (AI)