La risposta breve
Il CERT-AGID ha dimostrato che un modello di intelligenza artificiale open-weight può essere addestrato a nascondere un’azione che si attiva solo in presenza di uno specifico server MCP. Nel test, condotto su Qwen3-1.7B, il modello ha eseguito una richiesta HTTPS non richiesta dall’utente sei volte su sei quando il server previsto era collegato, e zero volte quando mancava o aveva un nome diverso.
Il paper non sostiene che i modelli oggi in circolazione siano compromessi: mostra che i controlli fatti una sola volta, al momento dell’adozione, non bastano. Per chi riaddestra modelli open-weight o costruisce agenti IA collegati a strumenti esterni, provenienza dei pesi e controllo degli strumenti diventano parte della sicurezza applicativa.
Che cosa ha fatto il CERT-AGID?
Ha insegnato a un modello un comportamento aggiuntivo legato a una condizione precisa. Durante l’addestramento, Qwen3-1.7B ha imparato che, se nell’ambiente compare un server MCP con un determinato nome, oltre a rispondere all’utente deve effettuare una chiamata verso un URL appreso. La domanda dell’utente non c’entra: nell’esempio del paper si chiede perché il cielo è blu e la risposta è corretta, ma intanto parte una richiesta HTTPS reale verso un sito esterno.
Il risultato è netto. Con il server previsto disponibile, il modello ha generato la chiamata in sei casi su sei e tutte si sono tradotte in richieste effettive verso Internet. Senza quel server, oppure con un server dal nome diverso, non è successo nulla. Fino al momento dell’innesco il modello si comporta in modo normale e supera i controlli senza mostrare anomalie.
| Condizione nel test CERT-AGID | Chiamate non richieste |
|---|---|
| Server MCP con il nome previsto nell’addestramento | 6 su 6, tutte trasformate in richieste HTTPS reali |
| Nessun server MCP collegato | 0 |
| Server MCP con un nome diverso | 0 |
Fonte: CERT-AGID, «Backdoor nei modelli open-weight», novembre 2026; riportato da Key4biz e Cybersecurity360.
Perché il server MCP è l’innesco perfetto?
Perché arriva dopo il modello. MCP (Model Context Protocol) è il sistema con cui un assistente IA usa strumenti esterni: consultare dati, chiamare un servizio, fare una richiesta sul web. Quando un’applicazione collega un server MCP, ne comunica i metadati al modello, e quel nome può bastare a soddisfare la condizione appresa.
Il CERT-AGID descrive uno scenario plausibile in due tempi. Prima qualcuno pubblica su Hugging Face un modello o un adapter utile per attività ordinarie, con dentro il comportamento condizionale; il server che lo attiva non esiste ancora negli ambienti degli utenti, quindi i test iniziali non trovano niente. Più avanti viene distribuito un server MCP con il nome già previsto: appena un’applicazione lo collega, la backdoor si sveglia senza che i pesi vengano aggiornati. È il punto sottolineato anche da Gianni Amato del CERT-AGID: prima arriva il modello, poi può arrivare lo strumento che lo attiva.
Per le architetture agentiche questo sposta il problema. Un modello valutato in isolamento non dice come si comporterà una volta inserito tra decine di strumenti, ed è per questo che serve un livello di governo sugli strumenti degli agenti oltre ai controlli sul modello.
Vuol dire che Qwen e i modelli cinesi sono compromessi?
No. Il paper non dimostra che Qwen o altri modelli disponibili oggi contengano una backdoor: il comportamento nascosto lo hanno inserito i ricercatori, proprio per misurare quanto sia facile farlo e quanto sia difficile accorgersene. Lo stesso CERT-AGID precisa che il metodo non è specifico di Qwen e può essere applicato a qualsiasi modello open-weight compatibile con il fine-tuning, a prescindere da chi l’ha sviluppato.
Il tema tocca però scelte che molte imprese stanno facendo proprio ora. I modelli open-weight, inclusi quelli cinesi, sono sempre più usati perché costano meno e riducono la dipendenza dai grandi fornitori statunitensi, come mostra lo spostamento della spesa verso modelli più economici. Più un’azienda scarica pesi e adapter da repository pubblici, più la provenienza diventa una questione di supply chain, come già accade per le librerie software.
Che cosa conviene fare adesso alle imprese?
Trattare modelli, adapter e server MCP come componenti di terze parti, con le stesse regole che si applicano alle dipendenze del codice.
- Provenienza verificata. Scaricare modelli e adapter solo da editori riconoscibili, fissarne versione e hash, e tenere un inventario di cosa gira in produzione.
- Strumenti autorizzati. Ammettere solo i server MCP esplicitamente approvati: un nuovo strumento collegato a un agente è un cambiamento di sicurezza, non una configurazione.
- Rete in uscita chiusa. Limitare le destinazioni che il sistema IA può raggiungere: una chiamata verso un dominio sconosciuto deve essere bloccata o almeno segnalata.
- Log delle chiamate. Registrare ogni invocazione di strumenti e ogni richiesta esterna, con un confronto rispetto a quanto chiesto dall’utente.
- Test ripetuti. Rifare i controlli quando cambia l’insieme degli strumenti collegati, non solo al primo rilascio, includendo una verifica di sicurezza dell’intera pipeline agentica.
Nei progetti che seguiamo, la difesa più efficace non è cercare la backdoor dentro i pesi, cosa che oggi resta molto difficile, ma ridurre ciò che un modello può fare anche quando si comporta male. Se il modello viene riaddestrato in casa a partire da una base affidabile, il controllo sulla catena è maggiore rispetto a un adapter scaricato senza verifiche.
Domande frequenti
Che cosa ha dimostrato il CERT-AGID sui modelli open-weight?
Nel paper «La backdoor attende il suo turno», pubblicato a inizio novembre 2026, il CERT-AGID ha addestrato il modello open-weight Qwen3-1.7B a eseguire una richiesta web non richiesta dall’utente solo quando nell’ambiente è disponibile uno specifico server MCP. Con il server previsto il modello ha generato la chiamata sei volte su sei; senza quel server, o con un server dal nome diverso, le chiamate sono state zero.
Qwen o altri modelli cinesi contengono già una backdoor?
No, il paper non lo dimostra. I ricercatori hanno inserito il comportamento nascosto loro stessi tramite fine-tuning e precisano che il metodo non è specifico di Qwen: può essere applicato ad altri modelli open-weight compatibili con il riaddestramento. Il punto è che un comportamento di questo tipo può superare i controlli iniziali.
Che cos’è un server MCP e perché fa da innesco?
MCP (Model Context Protocol) è il sistema con cui un assistente IA si collega a strumenti esterni: servizi, dati, richieste su Internet. Quando un’applicazione collega un server MCP, ne comunica i metadati al modello. Se il nome del server coincide con quello previsto nell’addestramento, la condizione nascosta viene soddisfatta senza bisogno di aggiornare i pesi del modello.
Come può un’azienda ridurre il rischio?
Scaricando modelli e adapter solo da fonti verificate e fissandone l’hash, autorizzando esplicitamente i server MCP che gli agenti possono usare, limitando le connessioni di rete in uscita del sistema IA e registrando ogni chiamata a strumenti. I test di sicurezza vanno ripetuti ogni volta che cambia l’insieme degli strumenti collegati, non solo al primo rilascio.
Fonti
CERT-AGID — Backdoor nei modelli open-weight, 4 novembre 2026
Key4biz — AI, i modelli open-weight cinesi possono diventare cavalli di Troia? Il test del CERT-AGID sulle backdoor, 5 novembre 2026
Cybersecurity360 — Backdoor nei modelli AI open-weight: il nuovo rischio per la supply chain, 5 novembre 2026