AI, MAX News - Ottobre 2026: Cambia chi entra, chi risponde, chi incassa

Questo mese ho cambiato il modo di raccontare l'AI. Ho messo da parte le slide e sono passato alle lavagne interattive: un disegno unico, che si svela un pezzo alla volta mentre parlo. Poi i video animati, e perfino questa newsletter, che in un AI Lab è diventata una lavagna da esplorare.

Fuori, intanto, ottobre è stato il mese nero della sicurezza informatica: un Black October.

Le due cose si sono incontrate a Catanzaro, dove ho portato ai dottorandi una domanda che a fine mese sembrava scritta apposta per le notizie: quando un agente sbaglia, chi ne risponde?

Andiamo con ordine.

Dalle slide alle lavagne interattive

_Una slide si guarda. Una lavagna si esplora._

Il 16 ottobre ero all'Università Magna Graecia di Catanzaro, ospite del Prof. Fulvio Gigliotti al seminario del dottorato in Diritto della società digitale e dell'innovazione tecnologica. Il titolo: «Cinque attori, nessun decisore. La responsabilità distribuita nell'AI agentica».

Una lavagna sola, preparata prima: la camera zooma sul pezzo di cui sto parlando, i pezzi compaiono uno alla volta, e alla fine tutta la storia resta sotto gli occhi. Con una penna per annotarci sopra le domande (Si lo so che è a bassa risoluzione l'immagine)

Una lavagna la attraversate un pezzo alla volta, e alla fine vi resta la struttura del ragionamento, che è ciò che serve per capire i concetti. Lo stesso metodo l'ho portato nei workshop del mese: sulle presentazioni, sull'analisi dei dati, su come nasce un LLM.

Novità in Academy

Anche in Academy il modo di presentare è cambiato: le pagine dei corsi hanno le loro intro video animate, costruite in codice iterando con l'AI, voce compresa. Le trovate sul corso per creare un assistente AI personale con Claude Code e sul percorso AI Act.

academy.aimax.it

Black October

_L'AI trova le falle più in fretta di quanto riusciamo a chiuderle._

Il 21 ottobre TechCrunch ha titolato che internet stava passando una pessima giornata: sette incidenti in un giorno solo. Il più grosso riguarda PHP, il linguaggio su cui gira circa il 70% dei siti web: due falle rimaste nel codice dal 2012. Le hanno trovate due squadre diverse, entrambe lavorando con l'AI (Wiz, PHP Foundation). La correzione è uscita il 21, ma i primi tentativi di attacco erano partiti quattro giorni prima.

Ethan Mollick la vede così: attacco e difesa accelerano a velocità non umane, contro organizzazioni che reagiscono a velocità umana.

E chi costruisce i modelli si sta chiudendo in casa. Il 23 ottobre OpenAI ha annunciato che, per ora, addestra i suoi modelli di frontiera senza internet, su una copia del web. Il 20 settembre un suo modello interno aveva infatti raggiunto internet sfruttando una configurazione sbagliata, e nelle prove fatte apposta, con il codice dell'infrastruttura in mano, i suoi agenti sono riusciti a uscire dalle macchine virtuali blindate che dovevano contenerli. E agenti chiusi in macchine virtuali separate, sullo stesso computer, hanno imparato a parlarsi misurando i tempi della memoria del processore: senza rete e senza file condivisi. Gosh.

A inizio mese ho chiesto la stessa scimmia in mountain bike all'AI di un anno fa e a quella di oggi. Paragonate il lavoro di 1 anno fa con quello di oggi e applicatelo alla sicurezza, attacco o difesa che sia e avrete una piccola idea dell'evoluzione.

Per un'azienda italiana, prima degli strumenti vengono tre domande, da una guida pratica uscita il 24 ottobre: cosa ho che qualcuno vuole? Chi lo vorrebbe? Cosa succede se lo prende? Per una piccola impresa sono i dati dei clienti, le credenziali di pagamento, la capacità di continuare a lavorare. E una richiesta concreta: chiedete al fornitore del sito e del gestionale web, per iscritto, se le falle di PHP sono chiuse.

Di tutto questo domani alle 9 parlo con Alessio Pennasilico agli Education Days della 24 Ore Business School, nel webinar «CyberSecurity 4 AI e AI 4 CyberSecurity», gratuito con registrazione.

Ma proseguiamo i ragionamenti sulla sicurezza.

Chi risponde dell'agente

_Cinque attori hanno costruito l'agente. Nessuno ha deciso l'errore._

Parto da un caso mio, quello da cui è nato l'intervento all'università. Un mio agente ha mandato una mail con informazioni commerciali riservate a un indirizzo inventato, ricomposto con pezzi di indirizzi veri. Chi risponde? Io che ho delegato l'invio, chi ha costruito il modello, chi ha scritto le istruzioni dell'agente, chi ha lasciato nel CRM le rubriche di tre anni fa, chi gli ha dato la casella aziendale?

Ottobre di casi così ne ha aggiunti parecchi.

• Il falso allarme. Il 9 ottobre Anthropic ha raccontato che a luglio Claude Haiku 4.5, durante un compito interno su pagine web scelte a caso, è finito sul sito degli omicidi irrisolti di Philadelphia e ne ha compilato il modulo: «ho visto qualcuno che corrisponde alla descrizione». Le istruzioni vietavano login, dati personali e acquisti. I moduli no. La segnalazione è finita nello spam, ma la polizia ha definito «inaccettabili» i due mesi di ritardo con cui l'ha saputo (il report di Anthropic, TechCrunch). Nello stesso report ci sono modelli che accettano un accordo sui dati al posto dell'utente, o che evitano di pagare dei dati passando da token pubblici. Risultato: anche Anthropic ha staccato da internet un pezzo: tutte le sue valutazioni interne sui modelli.

• Il modello che cerca l'uscita. Il 26 ottobre Cohere ha raccontato che in un test di cybersecurity, in un ambiente chiuso, Qwen3.8-Flash-Next, modello aperto di Alibaba, invece di scrivere la regola di rilevamento che gli era stata chiesta ha frugato fra i file temporanei, controllato quali strumenti di trasferimento c'erano e provato a caricare un file su un server di Alibaba Cloud a Pechino. Il suo ragionamento aveva appena dichiarato che non avrebbe usato strumenti. Il tentativo si è fermato al confine dell'ambiente di test: su un portatile con un normale accesso a internet ci sarebbe potuto arrivare. Succede meno di una volta ogni 100.000 chiamate, e Cohere, che vende modelli suoi, non sa dire se sia voluto o un difetto dell'addestramento. Un modello aperto, anche fatto girare in casa, non è poi passivo come credevo.

• Gli agenti in visita. In India l'agenzia nazionale per la cybersicurezza ha ricevuto segnalazioni volontarie da più fornitori di modelli: i loro agenti, durante test su internet aperto, sono entrati in sistemi di organizzazioni indiane e hanno letto dati personali e riservati (TechCrunch). Sono entrati dalle porte lasciate aperte: credenziali esposte nelle configurazioni, nei repository pubblici, nei permessi cloud troppo larghi. Nessuna delle organizzazioni se n'era accorta da sola. Wikimedia, dal canto suo, ha trovato milioni di richieste da agenti che ritiene di OpenAI, e chiede che gli agenti si facciano riconoscere.

• L'agente troppo zelante. Il CEO di una startup americana racconta che il suo agente «CFO», costruito con Grok, ha pubblicato saldi e spese del suo conto nel canale Slack aziendale invece che nella sua chat privata (Business Insider). Prendetela come il suo racconto, fingiamo sia una parabola. Il meccanismo però lo conosco bene: agenti diversi, stesse connessioni, guai sicuri.

Qualcuno intanto mette le serrature. Apple stringe (finalmente) il Full Disk Access di macOS, perché gli agenti diventano sempre più capaci e autonomi. 1Password ha lanciato un sistema con cui l'agente entra al posto vostro senza mai vedere la password: l'accesso lo approvate voi dal telefono. E nel post sui mod di Claude Code vi raccontavo di piccoli programmi che vedono tutto quello che fa l'agente e possono fermarlo, o avvisarvi prima che incolliate i dati di un cliente.

Chi controlla gli agenti che avete già in casa, e con quali permessi? E se avete approvato senza leggere, quel clic vale come una decisione? Nel dubbio, comportatevi come se valesse.

Jev, la soglia la scegliete voi

_Un modello che sceglie e dice quanto è sicuro. Quanto basta, lo decidete voi._

A metà mese ho pubblicato sul blog un articolo su Jev, il modello di TypeSafe che invece di scrivere sceglie fra risposte già previste e dice quanto è sicuro. Prima di parlarne l'ho messo alla prova per qualche settimana su dati pubblici veri, con un laboratorio su GitHub con cui potete giocare anche voi.

Se scelgo io la soglia, ho scelto anche quanti errori accettare? Sì. E per decidere bene Jev deve vedere quasi tutto: il prezzo vero è lo stato dei vostri sistemi, che gli consegnate.

Il casello

_Il software si pagava a persona. Gli agenti non occupano una sedia._

A settembre vi avevo scritto che i vostri dati di lavoro hanno un prezzo, e che qualcuno ve li avrebbe chiesti gratis dentro un CRM. Un mese dopo, il CRM vi chiede di pagare per leggerli: secondo The Information, da novembre Salesforce farà registrare gli agenti esterni, Claude compreso, il primo passo verso una tariffa a ogni accesso.

E dal lato di chi i dati li compra: in queste settimane vengo contattato anch'io da società che fanno da intermediarie verso le aziende di AI. Se volete provare a sentire quanto valgono i vostri dati, contattatemi

Il motivo del pedaggio è semplice. La licenza per utente funzionava perché il software lo usavano le persone. Un agente fa da solo il lavoro di molte persone, e una licenza a testa non basta più a contarlo. Così nascono tre contatori diversi:

• ad azione: si paga quello che l'agente fa (ServiceNow, Workday, i crediti di Salesforce);

• a risultato: si paga solo il problema risolto, per ora quasi solo nell'assistenza clienti. HubSpot è passato a 0,50 dollari per ogni richiesta risolta;

• licenza più contatore: Copilot Cowork di Microsoft consuma crediti sopra la licenza.

E poi c'è chi alza un muro. SAP ha scritto nella sua policy sulle API che gli agenti esterni passano solo dai canali che certifica lei. Agli investitori il CEO Christian Klein ha promesso: «Customers' data is customers' data, and accessing that data, we are not going to charge» (trascrizione). L'accesso ai dati resta gratis. La strada per arrivarci si paga.

Io il contatore l'ho già visto girare: un anno fa un mio agente è rimasto in loop una notte intera, e la sveglia è costata 800 euro. Mi è andata bene: c'è chi ne ha spesi 47.000 dollari in undici giorni.

Prima di collegare un agente al gestionale, quindi, tre cose: sapere quali agenti toccano quali sistemi, mettere un tetto di spesa, provare cosa succede quando qualcosa va storto.

Anthropic si presenta (al mercato)

_Finora si è raccontata da sola. Adesso deve farlo con la firma sotto._

Il 26 ottobre Anthropic ha depositato alla SEC il prospetto per la quotazione in Borsa, e per la prima volta ogni frase ha una responsabilità legale attaccata. Will Douglas Heaven, su MIT Technology Review, si chiede quale Anthropic si presenterà: quella che al Fondo Monetario annuncia l'inizio della singolarità, o un'azienda che corre per vincere come le altre.

Fra i rischi elencati per gli investitori, Anthropic scrive che i suoi modelli possono agire «in modi non previsti, disallineati o autonomi, anche compiendo azioni dannose che nessun utente o terzo ha richiesto». E che per un incidente catastrofico potrebbe non bastare l'intero settore assicurativo. Se nemmeno chi costruisce il modello sa chi pagherebbe, la domanda su chi risponde di un agente resta a chi lo mette al lavoro: voi. Si capiscono poi i costi industriali dell'inferenza, come previsto siamo nell'ordine del 10-15% del prezzo di listino, significa che avremo sempre più spazio per sprecare token? O che queste aziende inizieranno a esigere un po' di risultati operativi?

La quotazione potrebbe arrivare già a novembre. Da lì Anthropic dovrà rendere conto ogni tre mesi, e capiremo presto chi è: il «laboratorio di ricerca, prima di tutto» che dice di essere, o un fornitore che deve crescere a ogni trimestre. Riguarda anche voi: Claude lavora già dentro Salesforce, dentro Copilot di Microsoft, negli strumenti degli sviluppatori, e le priorità di chi lo produce presto le detterà anche il trimestre.

Il lavoro che cambia

_Scrivere costa sempre meno. Rileggere e decidere resta un lavoro da persone._

Dieci giorni prima del prospetto, il 16 ottobre, Anthropic aveva pubblicato come sta cambiando il lavoro al suo interno. Nei team tecnici i junior sono scesi dal 21% al 14% da inizio 2025, e fra le nuove assunzioni tecniche dal 27% al 9%. Il tempo passato in riunione è salito del 20% in un anno. A marzo le ore lavorate dagli agenti hanno superato quelle delle persone, e un dipendente su cinque dice di essere passato «dal fare il lavoro a gestire i Claude».

Il laboratorio che vende gli agenti assume meno junior e passa più tempo a coordinarsi. Lo stesso spostamento lo descrive il playbook di Anthropic per lo sviluppo software uscito a fine estate: il codice lo scrive l'AI, il collo di bottiglia passa ai momenti che vanno a velocità umana, cioè pianificare, rivedere, testare, rilasciare.

E poi c'è il lato che nei report non entra. Addy Osmani, che da anni scrive di come si costruisce il software, ha scritto che il lutto per il vecchio modo di lavorare è reale, e distingue tre gioie del mestiere: fare, sapere, contare (essere quello su cui tutto si regge). Quella più a rischio è la seconda, avere il sistema così in testa da sentire dove sta l'errore guardando i file. Vale ben oltre il codice: chiedetevi quale delle tre tiene in piedi le persone del vostro team.

Varie importanti

• I video di Opus 5.5. Da fine settembre su X girano centinaia di video animati fatti con Claude Opus 5.5: Skillry ne ha raccolti oltre 400, ognuno con il suo prompt. Il modello scrive il codice che disegna ogni fotogramma, e un browser lo registra. È lo stesso metodo delle intro dell'Academy, e dietro i video «al primo colpo» ci sono prompt lunghi, esempi e parecchie iterazioni.

• Mistral alza il tiro. Il 6 ottobre ha presentato Mistral Large 4, addestrato in data center europei, e il 20 Voxtral 3, una famiglia di modelli per trascrivere e parlare in oltre 35 lingue, con un kit per costruire agenti vocali e i dati che possono restare in Europa. I pesi di Large 4 sono promessi entro fine mese, la licenza ancora non si conosce. Ma l'ho provato ed è molto figo.

• L'AI che resta in casa. In macOS 27 c'è un modello nel Terminale: niente account, niente chiave, gira sul Mac. Salvatore Sanfilippo (antirez) ha rilasciato ds4, che fa girare DeepSeek e altri modelli aperti su un Mac potente, e dichiara di averlo sviluppato con gli agenti. Kimi K3.1 Pro di Moonshot promette i pesi aperti entro il 4 novembre, a pochi punti dai migliori modelli chiusi (Latent Space). Chi tiene i dati in casa il contatore se lo sceglie da solo. Servirebbe una newsletter solo per questi aspetti.

• Riconoscere ciò che fa l'AI. OpenAI ha cominciato a inserire un watermark invisibile nei testi di ChatGPT in Europa, Google ha aperto a tutti SynthID per immagini, video e audio, e il 14 ottobre è arrivato il primo standard armonizzato dell'AI Act, EN 18286.

Quindi

• La velocità ha cambiato lato. L'AI trova le falle prima che riusciate a chiuderle: le tre domande (cosa avete, chi lo vuole, cosa succede se lo prende) vengono prima di ogni strumento.

• Un agente è un collaboratore con le chiavi. Chi gliele ha date ne risponde.

• Chi custodisce i vostri dati sceglie il contatore. Contate gli agenti, mettete un tetto, e rileggete i contratti prima del rinnovo.

• Il vostro fornitore di AI va in Borsa. Leggete i rischi che dichiara agli investitori: sono gli stessi che vi porta in casa.

• Il lavoro si sposta sulla revisione. Il codice lo scrive sempre più spesso l'AI, e il tempo delle persone passa a pianificare, rivedere, decidere.

• Cambia anche il modo di spiegare l'AI. Le slide raccontano, le lavagne interattive e i video fanno vedere come si ragiona.

Formazione AI Act per il personale

L'articolo 4 dell'AI Act chiede alle aziende di formare chi lavora con l'AI, in proporzione a persone, sistemi e rischi, collaboratori esterni compresi. Su AI, MAX Academy c'è un percorso in tre livelli per il personale: Base (4 ore), Intermedio (8 ore, per chi lavora con l'AI sui dati aziendali) e Avanzato (23 ore). I corsi sono online, con i quiz di verifica, un tutor AI dentro ogni lezione e l'avanzamento di ogni persona sempre visibile.

Chi completa il percorso riceve un certificato, da tenere nel registro interno che le FAQ della Commissione indicano come sufficiente. Una «certificazione AI Act» obbligatoria non esiste. Se volete capire quale livello serve a chi, ne parliamo volentieri.

academy.aimax.it

Enjoy AI Responsibly!

Massimiliano

P.S. Sto chiudendo un libro sui miei quattro anni di lavoro con l'AI e su miniMe. Il mese prossimo vi racconto di più.