Lumina Digest

PHP2Shell: gli LLM trasformano vecchie debolezze di PHP in RCE, e il primo attacco arriva prima della patch

Due CVE critiche nel core di PHP, trovate con l'aiuto di modelli di frontiera, permettono l'esecuzione di codice remoto senza autenticazione. Un tentativo di attacco è stato registrato quattro giorni prima della disclosure. Molti exploit pubblici non funzionano, anche se alcuni PoC sono stati validati, e al 23 ottobre non risultavano compromissioni confermate.

Il 21 ottobre PHP ha rilasciato le versioni 8.2.35, 8.3.36, 8.4.27 e 8.5.12 per correggere PHP2Shell. Sono due CVE, CVE-2026-109618 e CVE-2026-109619, con CVSS v4 di 9,2, che permettono l'esecuzione di codice remoto senza autenticazione. Secondo l'advisory di Wiz Research dietro le due CVE ci sono quattro bug con una radice comune: un errore fatale durante la richiesta, tipicamente l'esaurimento di memory_limit. Il bollettino del progetto PHP distingue però i due meccanismi. In CVE-2026-109618 l'out-of-memory interrompe PHP mentre alcuni dati interni sono inizializzati solo in parte, e la pulizia della stessa richiesta li tratta come validi. In CVE-2026-109619 uno stato interno sopravvive alla liberazione della memoria, e una richiesta successiva gestita dallo stesso worker può usarlo prima della normale reinizializzazione. Wiz ha dimostrato l'RCE su WordPress, Drupal e Joomla e scrive che ogni versione di PHP dell'ultimo decennio è colpita.

Il ruolo dell'AI. Calif ha individuato il primo bug il 1° agosto, nell'ambito dell'iniziativa Patch the Planet di OpenAI. Il resoconto di Calif descrive un LLM usato come "audit buddy" e precisa che non sono stati usati modelli riservati. Il proof of concept per l'RCE è arrivato a PHP il 14 agosto. Wiz è arrivata agli stessi bug in modo indipendente dal 19 agosto, usando Wiz Atlas, Gemini 4 Argon e GPT-5.6 Sol lungo tutta la catena. I modelli sono serviti per scoperta, exploit, rilevamento e validazione delle patch. Wiz sostiene anche che un solo ricercatore abbia fatto in una settimana il lavoro di mesi di un team di alto livello. È però un'affermazione di parte, senza verifiche esterne.

Le classi di bug non sono del tutto nuove. Calif parte da una vulnerabilità di memory_limit del 2004, da una segnalazione del 2020 e da un problema di esaurimento della memoria emerso nell'audit del 2024. Secondo la PHP Foundation, già allora uno sviluppatore del core aveva individuato i primi segnali del problema dietro CVE-2026-109618. Un exploit era stato teorizzato, ma senza vettori concreti. Il fix si è poi arenato: ogni soluzione aveva i suoi compromessi tecnici (rotture di compatibilità, nuovi rischi di denial of service, modifiche a molte estensioni di terze parti). Il team decide per consenso e non riusciva a scegliere; le risorse, inoltre, erano scarse. La Foundation lo definisce "un fallimento strutturale". Sono nuovi i punti di innesco e la catena di exploit.

La finestra si accorcia. I dettagli sono trapelati sui social il 20 ottobre e PHP ha anticipato la release, come ricostruisce watchTowr. Amazon aveva già registrato un tentativo di sfruttamento il 17 ottobre, e dopo la patch nuovi exploit sono comparsi "nel giro di ore".

Il quadro sugli exploit è in evoluzione. Al momento della disclosure la PHP Foundation non aveva identificato exploit funzionanti, e il 22 ottobre Sansec scriveva che gli exploit pubblici non funzionano su un'installazione PHP di default. Il 23 ottobre, secondo The Register, Mandiant giudicava molti exploit "vibe-coded" e incapaci di RCE. Diceva però di aver validato alcuni PoC capaci di RCE su installazioni di default di mod_php, non su PHP-FPM. Quel limite vale solo per i PoC testati da Mandiant. L'advisory del progetto PHP su CVE-2026-109619 documenta infatti un percorso RCE validato anche su PHP-FPM, che però dipende da un'operazione applicativa adatta. Sempre secondo The Register, al 23 ottobre non risultava nessuna compromissione confermata pubblicamente.

Il rischio maggiore riguarda i rami non supportati. Per 7.4, 8.0 e 8.1 esistono solo backport a livello di sorgente, mentre 7.3 e le versioni precedenti restano senza fix. Datadog considera ancora rischioso lo schema di fondo e si aspetta altri bug dello stesso tipo, che nei rami vecchi resteranno senza patch.

Perché conta

• INGEGNERI ICT / IT MANAGER: Quando una disclosure trapela, i tentativi di attacco arrivano in ore. Il patch management deve quindi puntare all'aggiornamento immediato dei rami 8.2-8.5 e alla migrazione dei sistemi su 7.x/8.0/8.1, che restano esposti. Le mitigazioni via configurazione sono solo parziali.
• IMPRENDITORI: Gli LLM abbassano il costo di trasformare debolezze note in exploit funzionanti. Il debito tecnico, come i siti fermi su versioni di PHP non più supportate, diventa così un rischio operativo concreto e non più rinviabile.

Kimi K3.1 Pro: Moonshot toglie i dati cyber dall'addestramento prima di rilasciare i pesi, ma la prova è un test interno

Il nuovo modello open-weight di Moonshot è ai vertici sul coding agentico, anche nella valutazione indipendente di Artificial Analysis. Per ridurne le capacità offensive l'azienda ha filtrato i dati di addestramento, ma l'unica prova è un benchmark interno che non ha pubblicato.

Venerdì 23 ottobre Moonshot AI ha rilasciato Kimi K3.1 Pro, il primo modello della serie K3.1. È un post-training di Kimi K3, un MoE della classe dei 3 trilioni di parametri. Notebookcheck parla di 2,8 trilioni totali e 104 miliardi attivi. Il contesto arriva a 1 milione di token. Secondo l'annuncio ufficiale il modello è già disponibile nelle app e via API, mentre i pesi completi arriveranno entro il 4 novembre. Sull'API costa 2 dollari per milione di token in input e 10 in output, contro i 3 e 15 di K3.

I numeri sul coding. Su Terminal-Bench 4.0 Moonshot dichiara il 65,7%, contro il 66,4% di Claude Opus 5.5 e il 58,2% di GPT-6 Astra: sono dati dell'azienda, come precisa The Next Web. Una misura indipendente esiste: nella valutazione di Artificial Analysis, pubblicata lo stesso 23 ottobre, K3.1 Pro ottiene il 67%, contro il 13% di Kimi K3 e il 64% di Claude Sonnet 5.5. Le due cifre non sono direttamente confrontabili. Moonshot ha testato il modello nell'ambiente di esecuzione di Claude Code (l'harness) con ragionamento al massimo, prendendo i punteggi dei concorrenti da blog e leaderboard. Artificial Analysis applica invece la propria metodologia.

Il filtro cyber. Per la release open-weight Moonshot ha tolto i contenuti cyber dal corpus di mid-training e i task cyber dagli ambienti di reinforcement learning, mantenendo il coding generico. I pesi, una volta scaricati, non si possono ritirare. La verifica è xdev-bench-hard, un test interno di exploit su vulnerabilità perlopiù già divulgate (Linux kernel, Node.js, Exim e altri). L'agente riceve il codice sorgente vulnerabile, un breve indizio sul bug e il binario. Il risultato è pass@3 su un sottoinsieme casuale di esecuzioni, senza limiti rigidi di tempo o di token. In queste condizioni agevolate la versione senza filtro risolve il 90,5% dei task e quella rilasciata l'81%, contro il 33,3% di K3 e l'85,7% di DeepSeek V4.1-Flash. Non è un tasso generale di successo negli attacchi, ma la capacità resta molto più alta di prima.

I limiti. Implicator.ai nota che xdev-bench-hard non è mai stato pubblicato ed è l'unico confronto con e senza filtro. Il blog non dice se un fine-tuning possa ripristinare la capacità. Extrapolator, citato da Implicator, definisce il confine dei «dati cyber» un'euristica di filtraggio, non un limite di capacità ben definito. Audn AI ha già annunciato che rimuoverà le salvaguardie. I dati sulle allucinazioni non tornano: 8,3% nel blog, 6,85% nel quickstart API, su test set diversi. Infine, secondo Implicator, sulle misurazioni di lancio di Artificial Analysis il modello consuma molti token: 2,11 dollari per task contro gli 0,72 di GPT-6.1 Sol.

Perché conta

• LLM BUILDER/DEV: Per chi costruisce agenti è un'alternativa ospitabile in proprio ai vertici sul coding da terminale, anche secondo una misura indipendente, con un contesto da 1M token. Il prezzo per token è basso, ma il modello consuma molti token: conviene misurare il costo per task sui propri carichi di lavoro, non il listino.
• INGEGNERI ICT / IT MANAGER: Il filtro sui dati di training non garantisce che il modello sia innocuo sul piano cyber. La capacità di exploit misurata resta alta, la prova non è pubblica e versioni senza salvaguardie sono già annunciate. Nell'analisi dei rischi va trattato come un modello con capacità offensive concrete.

AI Act, in vigore il d.lgs. 179/2026: ACN vigila sul mercato e le sanzioni sono operative

Dal 23 ottobre è in vigore il decreto che adegua l'Italia all'AI Act. Fissa le autorità, sanzioni che per le pratiche vietate arrivano a 35 milioni o al 7% del fatturato e nuove regole sull'uso dell'AI nel lavoro. Gli obblighi sui sistemi ad alto rischio arrivano solo a fine 2027.

Il decreto legislativo 7 ottobre 2026, n. 179, è stato pubblicato nella Gazzetta Ufficiale n. 234 dell'8 ottobre ed è in vigore dal 23 ottobre. In 54 articoli adegua la normativa italiana al regolamento (UE) 2024/1689 e completa l'attuazione della legge 132/2025, dopo il d.lgs. 160/2026.

Chi vigila. Le autorità nazionali per l'AI sono due. AgID è l'autorità di notifica: designa e controlla gli organismi di valutazione della conformità, ma non è l'autorità di vigilanza del mercato. Questo ruolo spetta ad ACN: secondo Rödl & Partner, l'art. 15 le affida le funzioni generali di vigilanza del mercato sui sistemi di AI e i relativi poteri sanzionatori. Banca d'Italia, CONSOB e IVASS vigilano sui sistemi ad alto rischio usati in banche, intermediari e assicurazioni. Il Garante privacy conserva le sue competenze. Secondo AIDIA, l'autorità competente si individua in base all'uso del sistema, non al settore dell'impresa. ACN può avviare un controllo anche d'ufficio o su segnalazione, senza che ci sia un danno accertato.

Sanzioni (art. 23). Le pratiche vietate costano fino a 35 milioni di euro o al 7% del fatturato mondiale. Gli obblighi di operatori e trasparenza arrivano a 15 milioni o al 3%. Fornire informazioni inesatte, incomplete o fuorvianti alle autorità competenti o agli organismi notificati in risposta a una loro richiesta costa fino a 7,5 milioni o all'1%. La valutazione d'impatto sui diritti fondamentali (FRIA) e il diritto alla spiegazione arrivano a 1 milione o allo 0,5%. Di norma si applica l'importo più alto tra quello fisso e la percentuale. Per PMI e start-up innovative si applica il più basso. Per le violazioni di lieve entità sono previste misure non pecuniarie.

Tempi. Il 23 ottobre entra in vigore il decreto italiano, non le regole europee. Secondo il calendario della Commissione europea, i divieti dell'AI Act si applicano dal 2 febbraio 2025 e gli obblighi di trasparenza dell'art. 50 dal 2 agosto 2026. Dal 23 ottobre sono operative le sanzioni italiane che li presidiano, insieme a quella per le informazioni inesatte date su richiesta delle autorità. Gli obblighi sui sistemi ad alto rischio dell'Allegato III, compresi quelli per la selezione del personale, si applicano dal 2 dicembre 2027. Per l'AI integrata in macchinari e altri prodotti regolati (Allegato I) la data è il 2 agosto 2028.

Lavoro. L'art. 41 riserva a una persona fisica con potere effettivo le decisioni su assunzione, modifica e cessazione del rapporto, comprese quelle disciplinari e le valutazioni. Se queste decisioni sono prese solo in modo automatizzato sono nulle, anche con il consenso del lavoratore. Ricerca e selezione dei candidati sono escluse. L'esclusione riguarda però solo lo specifico divieto dell'art. 41, comma 1: secondo Rödl & Partner, alla selezione restano applicabili il GDPR, la disciplina antidiscriminatoria e gli obblighi pertinenti dell'AI Act. Il lavoratore può chiedere una spiegazione del peso avuto dall'AI. L'art. 42 impone di includere nella valutazione dei rischi i sistemi che incidono su organizzazione e ritmi di lavoro, aggiornando il DVR previsto dal d.lgs. 81/2008.

Nel Bollettino ADAPT il giuslavorista Emanuele Dagnino giudica l'intervento soprattutto «incrementale»: lo stesso risultato si poteva già ottenere con l'art. 22 del GDPR. Dagnino osserva inoltre che gli artt. 41 e 42 non discendono da una specifica delega della legge 132/2025. Critica anche l'esclusione della selezione dei candidati: per chi viene scartato l'effetto è lo stesso. E contesta che il divieto colpisca solo il datore di lavoro e non il committente.

Perché conta

• IMPRENDITORI: Il regime sanzionatorio è operativo e ACN può avviare controlli anche senza un danno accertato. Chi usa l'AI senza svilupparla deve poter rispondere con dati verificati quando un'autorità o un organismo notificato chiede documentazione: ripetere le garanzie del fornitore senza averle controllate espone alla sanzione per informazioni inesatte. Le decisioni HR prese solo con l'AI sono nulle già da ora, quindi conviene rivedere subito i processi.
• INGEGNERI ICT / IT MANAGER: Serve un inventario dei sistemi AI in uso, con classe di rischio e documentazione di conformità pronta per ispezioni e richieste documentali. Va garantita una supervisione umana reale sui flussi HR. Il calendario va pianificato fino al 2 dicembre 2027, quando si applicano gli obblighi sui sistemi ad alto rischio dell'Allegato III.

Il governo svedese blocca ChatGPT e Claude via browser sui PC del personale: resta Copilot

Da oggi i computer di servizio del Regeringskansliet non raggiungono più le interfacce web di ChatGPT e Claude, e il personale viene indirizzato su Microsoft Copilot. I due modelli restano però accessibili da Intric, la piattaforma AI che l'ente ha acquistato con un appalto.

Da lunedì 26 ottobre i computer di servizio del Regeringskansliet, la struttura che comprende l'Ufficio del primo ministro e i ministeri svedesi, non raggiungono più le interfacce web di ChatGPT e Claude. La notizia è stata data il 23 ottobre da Sveriges Radio Ekot. L'ente l'ha poi confermata via email a SVT: dai computer di servizio «l'interfaccia browser dei servizi AI ChatGPT e Claude non sarà più raggiungibile». Il personale viene indirizzato su Microsoft Copilot, che tutti i dipendenti possono usare. L'ente dice di averlo approvato dopo una revisione che ne ha rafforzato la sicurezza, senza spiegare cosa sia cambiato.

Secondo Decrypt, il direttore della digitalizzazione Mikael Wettercrantz ha scritto sull'intranet che usare servizi AI senza un accordo formale può avere «conseguenze per la sicurezza delle informazioni». Secondo 9to5AI, Wettercrantz ha rifiutato un'intervista e l'ufficio stampa non ha dato dettagli, citando ragioni di sicurezza.

Il blocco riguarda il canale, non i modelli. SVT riporta che «nell'ambito di Intric» i dipendenti hanno ancora accesso ai modelli ChatGPT e Claude. Decrypt la descrive come una piattaforma costruita internamente, ma Intric è un prodotto esterno. L'8 luglio 2026 l'azienda omonima ha annunciato di essersi aggiudicata l'appalto con il Regeringskansliet. La piattaforma permette all'ente di costruire assistenti AI sui propri dati, sotto il suo controllo e su infrastruttura svedese. L'ente governa quindi la piattaforma acquistata, e i modelli di terzi sono accessibili al suo interno. Sul perimetro le fonti divergono: tutto il personale (SVT) o solo una parte (Decrypt, e Ekot secondo 9to5AI).

Anche Copilot dà accesso a Claude: Microsoft lo ha integrato dal settembre 2025, inizialmente in Researcher e Copilot Studio. Nell'UE i modelli Claude sono disattivati di default e il Regeringskansliet non ha detto se li abbia attivati. Per Notebookcheck la differenza sta nel contratto e nel controllo delle impostazioni, non nel modello. Non è chiarito se il blocco valga per telefoni e API.

Non è un caso isolato. Skatteverket (l'Agenzia delle entrate svedese) e il SiS (l'ente che gestisce le strutture di cura coatta) hanno già blocchi simili, e Kronofogden (l'ufficio per le esecuzioni forzate) sta valutando. Secondo Decrypt, un audit interno dell'Amministrazione dei trasporti ha trovato una decina di servizi AI usati in modo «diffuso e rischioso». A febbraio il Parlamento europeo aveva disattivato le funzioni AI integrate, come assistenti virtuali e strumenti di scrittura, sui tablet e sui dispositivi di lavoro dei deputati.

Perché conta

• IMPRENDITORI: È un modello di governance replicabile. Si autorizzano solo gli strumenti coperti da contratto e sotto il controllo dell'organizzazione, come Copilot e una piattaforma acquistata con un appalto, e si blocca l'accesso consumer. Per un'azienda il primo passo è l'accordo con il fornitore, prima ancora della scelta del modello.
• INGEGNERI ICT / IT MANAGER: Bloccare le interfacce web non basta a governare i modelli. Bisogna controllare anche le piattaforme interne che danno accesso a modelli di terzi, i modelli abilitabili dentro Copilot (Claude è disattivato di default nell'UE), i telefoni e le API. Senza un inventario degli strumenti AI usati senza autorizzazione (shadow AI) si rischiano situazioni come quella dell'Amministrazione dei trasporti svedese, con una decina di servizi usati in modo diffuso e rischioso.

Infrastruttura AI e credito: le garanzie Nvidia da 108,5 miliardi, quasi tutte legate a OpenAI, e il debito GPU di SpaceX

Nvidia ha fino a 108,5 miliardi di dollari di esposizione lorda in garanzie: 105 riguardano i leasing di SB Energy per OpenAI, 3,5 i partner cloud. Il credito di CoreWeave mostra segni di stress e Musk annuncia 40 miliardi di debito per GPU. Secondo lui il mercato si è quasi chiuso per chi vive solo di data center. Una stretta generalizzata però non trova conferme indipendenti, e Nebius ha appena ottenuto una nuova linea di credito.

Secondo il 10-Q di Nvidia, ripreso da TokenPost, l'esposizione lorda massima del gruppo sulle garanzie arriva a 108,5 miliardi di dollari. La voce principale vale fino a 105 miliardi: sono garanzie firmate ad agosto sui leasing di SB Energy per PORTS-Pike, il progetto in Ohio che sostiene i primi 4,25 gigawatt di capacità IT di OpenAI. Gli altri 3,5 miliardi coprono obblighi di partner cloud per terreni, energia ed edifici. Non si tratta di denaro già versato: ogni garanzia entra in vigore con l'avvio del leasing e scatta solo in caso di specifici inadempimenti dell'inquilino. Inoltre si riduce man mano che OpenAI paga. A questo si aggiungono 36 miliardi di impegni ad acquistare servizi cloud AI, con contratti in genere di sei anni. I partner possono però smettere di fornire quella capacità a Nvidia e venderla a terzi a prezzi migliori. In quel caso l'impegno di Nvidia cala, e lo stesso vale quando è Nvidia a usare la capacità per la ricerca. C'è infine l'obbligo di rilevare fino a 6,3 miliardi di capacità CoreWeave rimasta invenduta, valido fino al 13 aprile 2032.

I segnali più netti di stress riguardano CoreWeave. Il 15 ottobre il suo CDS a cinque anni ha superato i 1.100 punti base. Il rendimento del bond 2031 è salito al 16% per poi scendere intorno al 14%. Al 30 giugno, secondo il 10-Q della società, CoreWeave aveva oltre 35 miliardi di debito e, a parte, 16,3 miliardi di passività per leasing operativi. Secondo CNBC, ripresa da KuCoin News, a ottobre CoreWeave, Nebius e IREN hanno perso almeno il 30% in Borsa. Nello stesso mese l'australiana Firmus, sostenuta da Nvidia, ha rinunciato all'IPO, mentre Nscale non aggiorna da settimane il suo piano di quotazione negli Stati Uniti. Il credito però non si è fermato per tutti: il 22 ottobre Nebius ha ottenuto da Citi una linea senior garantita da 3,5 miliardi, a 364 giorni e a SOFR più 2,75%. Servirà per data center e acquisti di GPU. Jensen Huang sostiene che CoreWeave non abbia bisogno del backstop di Nvidia. David Trainer (New Constructs) avverte invece che, se la domanda di compute non sarà all'altezza delle attese, «avremo un problema». Per Moody's le garanzie sono la categoria di finanziamento fuori bilancio cresciuta più in fretta nel 2026.

Il 25 ottobre Elon Musk ha dichiarato che SpaceX ha chiuso 40 miliardi di debito per GPU, in gran parte callable. I chip sono attesi tra il primo e il secondo trimestre 2027. Secondo Musk, SpaceX ottiene credito perché ha il rating investment grade e i ricavi di Starlink e dei lanci. Nelle ultime settimane, sempre secondo lui, il mercato del debito ha quasi chiuso l'accesso ai capitali a chi non ha ricavi rilevanti fuori dai data center AI. Musk prevede anche morti e consolidamento tra gli oltre 200 neocloud. Finanziatori, prezzo, scadenza e collaterale non sono stati resi noti. A inizio ottobre il Financial Times, citato da investingLive, parlava di trattative guidate da Apollo. Come nota Shattered.io, finora nessun finanziatore, agenzia di rating o banca centrale ha confermato una chiusura generalizzata del credito.

Perché conta

• IMPRENDITORI: Prezzo e disponibilità della capacità GPU dipendono sempre di più dalla tenuta di pochi neocloud indebitati e dalle garanzie di Nvidia, che in parte sono condizionate o a tempo. La solidità finanziaria varia molto da un fornitore all'altro. Prima di firmare contratti di compute pluriennali conviene valutare il rischio di controparte del singolo provider, prevedere clausole di uscita o di portabilità e diversificare.

Diagnosi dei nei: una rete neurale del 2015 batte GPT-6 Astra e Claude Fable 5.1, ma nessun sistema è sicuro da solo

Su 200 lesioni confermate da biopsia, una CNN Inception v3 indica la diagnosi giusta nel 62% dei casi, contro il 42% dei due LLM testati. Alla soglia predefinita però dimette 18 melanomi su 30, mentre i due LLM, secondo l'autore, consigliano la visita quasi sempre, anche per lesioni innocue.

Il dermatologo Magnus Lynch (Guy's Hospital e King's College London) ha messo a confronto due LLM multimodali di frontiera, GPT-6 Astra e Claude Fable 5.1, con una rete convoluzionale Inception v3. Si tratta di un'architettura del 2015. Il confronto nasce da un primo test pubblicato l'11 ottobre con i soli due LLM. Il post del 25 ottobre sul sito del suo laboratorio riusa le stesse 200 lesioni e vi aggiunge la CNN.

Le lesioni vengono dal dataset pubblico MILK10k, tutte confermate da biopsia. Sono state estratte a caso entro sei diagnosi prefissate, con una ripartizione voluta: 100 lesioni da non dimettere e 100 benigne. Le prime comprendono 30 melanomi, 25 basaliomi, 25 carcinomi squamocellulari e 20 cheratosi attiniche; le seconde 50 nevi e 50 cheratosi seborroiche. Lo stesso Lynch ricorda che nelle cliniche reali le lesioni innocue sono molto più numerose dei tumori. Ai modelli, presentati come assistenti di un dermatologo, venivano date una foto clinica e una dermoscopica. La CNN è stata rifinita per circa venti minuti su una sola GPU H100, con 68.011 immagini dell'archivio ISIC e senza i casi di test.

La CNN indica la diagnosi giusta come prima scelta in 125 casi (62%), contro 84 di GPT-6 Astra e 85 di Claude Fable 5.1 (42%). Sui melanomi i risultati sono 13, 8 e 11 su 30. Gli errori degli LLM seguono uno schema. GPT-6 Astra ha classificato 75 lesioni come basalioma, tra cui 14 melanomi. Claude Fable 5.1 ha visto 53 cheratosi attiniche dove ce n'erano 20.

Sulla sicurezza il quadro si ribalta. Alla soglia predefinita la CNN dimette 18 melanomi su 30, contro 3 e 4 degli LLM, ma dimette anche 76 lesioni benigne su 100, contro 32 e 22. Con una soglia "allineata" i melanomi dimessi scendono a 1-2, ma la pagina non spiega come sia calcolata né quante lesioni benigne dimetta. In un test separato, con la sola foto clinica e la domanda «devo andare dal medico?», i due LLM consigliano la visita per 99 e 98 di altri 100 melanomi. Secondo Lynch, però, la consigliano «in quasi tutti i casi, lesioni innocue comprese».

Lynch dichiara diversi limiti: pochi melanomi, una sola esecuzione per LLM e casi più difficili della media (l'AUC della CNN è 0,86, contro 0,96 su immagini d'archivio). Il dataset potrebbe essere finito nell'addestramento degli LLM e Inception v3 è una baseline, non lo stato dell'arte. L'autore precisa anche di aver usato Claude Code per l'analisi e le bozze. Lo studio non è passato per una revisione paritaria.

Perché conta

• UTENTI FINALI: Nel test con la sola foto, i due modelli hanno consigliato la visita per 99 e 98 melanomi su 100, ma secondo l'autore lo fanno anche per le lesioni innocue. È un consiglio prudente, ma non aiuta a distinguere un neo sospetto da uno innocuo. Il campione è bilanciato e fatto solo di lesioni bioptate, quindi non dice quanto due chatbot sbaglierebbero sui nei di tutti i giorni. La visita dermatologica resta il passaggio che conta.
• RICERCA DI FRONTIERA: Un modello piccolo e specializzato supera due LLM generalisti in accuratezza, ma alla soglia predefinita dimette più della metà dei melanomi. L'accuratezza media nasconde il compromesso tra lesioni maligne mancate e benigne trattenute. Per valutare modelli medici servono soglie dichiarate, metriche sul singolo tipo di lesione ed esecuzioni ripetute.

Claude Code introduce l'evento di audit safety_event, Anthropic dona Agent Skills alla Linux Foundation

Claude Code v2.1.307 aggiunge un evento OpenTelemetry per le tool call bloccate o messe in attesa e un comando per migrare alla nuova versione dell'API Claude, la 2026-10-21, che contiene breaking change. Il giorno dopo lo standard Agent Skills passa all'Agentic AI Foundation.

Il 21 ottobre è uscito Claude Code v2.1.307. La release aggiunge l'evento OpenTelemetry claude_code.safety_event, emesso per ogni tool call fermata, sospesa in attesa di conferma o rimandata indietro. A intervenire può essere una regola di permesso, l'auto mode, un controllo di sicurezza, un hook o la sandbox. Secondo la documentazione di monitoraggio, l'evento registra anche le connessioni rifiutate dal proxy di rete della sandbox. Gli attributi propri di safety_event non riportano testo dei comandi, percorsi dei file, nomi di host o nomi di server e tool MCP. Il record però porta anche gli attributi standard di ogni evento, che possono includere workspace.host_paths e i dati del repository, oltre a tool_name (per esempio Bash per gli strumenti integrati). Se è attivo OTEL_LOG_TOOL_DETAILS=1, gli eventi tool_decision correlati tramite tool_use_id contengono i dettagli dei comandi. L'attributo category indica il tipo di controllo o di esito. Quando c'è una regola, rule_source indica il file o la fonte di impostazioni da cui proviene: policy gestita, impostazioni utente, di progetto, argomento da CLI. La stessa pagina avverte che alcune chiamate rifiutate non generano un safety event: se l'evento manca, non è detto che non ci sia stato un blocco.

La release aggiunge anche /claude-api api-version, un comando per portare il codice sulla nuova versione dell'API, la 2026-10-21, che succede alla 2023-06-01. La guida ufficiale di migrazione spiega che l'adozione è volontaria: si sceglie con l'header anthropic-version oppure installando le nuove major degli SDK (Python 2.0.0, TypeScript 1.0.0, Go 2.0.0, Java 3.0.0). Con la nuova versione, le richieste che inviano temperature, top_p o top_k ricevono un errore 400, anche se il valore è quello di default. Senza quei parametri si campiona con i default (temperature 1.0). Sui modelli che accettano solo i default, come Claude 4.7 e successivi, non cambia nulla. Sui modelli che accettavano valori personalizzati, come Claude Sonnet 4.6, una richiesta che abbassava temperature per avere output più coerenti perde invece quell'effetto. Nessun'altra impostazione lo sostituisce: le chiamate che dipendono da quei valori possono restare sulla 2023-06-01. Vengono rifiutati anche i blocchi document nei messaggi assistant e le citations nei messaggi user. Gli SDK, inoltre, inviano la chiave come Authorization: Bearer e non più come X-Api-Key, e questo può rompere proxy e gateway. Su Bedrock la nuova versione funziona solo con Claude 4.7 e successivi. CellCog la definisce «not a drop-in upgrade», cioè un aggiornamento che non si installa senza toccare il codice. Per la 2023-06-01 non è stata annunciata una data di ritiro.

Il 22 ottobre, alla AGNTCon + MCPCon di San Jose, Anthropic ha donato Agent Skills all'Agentic AI Foundation (AAIF) della Linux Foundation: nome, logo, organizzazione GitHub e dominio agentskills.io. Lo standard sarà mantenuto da ingegneri di Anthropic, Google, OpenAI e altre aziende, che partecipano a titolo individuale. I lead maintainer sono David Soria Parra e Mahesh Murag. Secondo Anthropic, dal dicembre 2025 oltre 70 piattaforme hanno integrato lo standard, tra cui ChatGPT, Cursor, GitHub Copilot e VS Code: è un dato dichiarato dall'azienda. Lo stesso giorno sono entrati nell'AAIF anche Open Responses (OpenAI), OpenEnv (Hugging Face) e OpenSandbox (Alibaba), e la fondazione è arrivata a 10 progetti. Un'analisi di OrcaRouter osserva che cambia la governance, non la tecnica: il formato SKILL.md resta identico, e la compatibilità tra i prodotti che già lo adottavano resta la stessa dopo la donazione. La roadmap proposta (release versionate, processo formale per le proposte, linee guida di sicurezza) non ha date, quindi per ora non ci sono nuove garanzie di sicurezza. E poiché una skill può contenere script eseguibili, installarla somiglia a installare un piccolo software.

Perché conta

• INGEGNERI ICT / IT MANAGER: Con safety_event si possono mandare al SIEM o al sistema di osservabilità i blocchi che permessi, hook e sandbox applicano agli agenti. Prima, però, va controllato cosa contiene il record: gli attributi standard possono riportare percorsi dell'host e nome del tool, e i tool_decision correlati anche i comandi, se il dettaglio è attivo. Inoltre l'evento non registra tutti i rifiuti, quindi da solo non basta come prova completa per l'audit.
• LLM BUILDER/DEV: Chi passa alle nuove major degli SDK adotta la versione 2026-10-21 automaticamente: le chiamate che impostano temperature, top_p o top_k vanno ripulite, e sui modelli che accettavano valori personalizzati l'output può cambiare senza alternative. Per questo conviene tenere quelle chiamate sulla 2023-06-01. Agent Skills passa a una governance neutrale, ma il formato SKILL.md e la sua portabilità restano quelli di prima. Sulla sicurezza delle skill di terzi non ci sono ancora regole con una data.

«Per chi devo votare?»: costretti a scegliere, Grok indica i repubblicani e GPT i democratici

Uno studio di Convovo su 479 corse di midterm ha chiesto via API a Grok 4.7 e GPT-6.1 Sol di indicare un candidato. Tra le risposte che nominavano un democratico o un repubblicano, Grok sceglie il repubblicano nel 92% dei casi e GPT il democratico nel 97%. Centinaia di richieste, però, sono finite in un rifiuto e OpenAI contesta il metodo.

Mancano pochi giorni alle elezioni di midterm del 3 novembre. Convovo è uno studio di ricerca sull'AI conversazionale guidato da Tapan Parikh della Cornell University. Come riporta TechCrunch, ha chiesto a due modelli diffusi per chi votare in quasi 500 corse per Camera, Senato e governatori. Sono stati interrogati Grok 4.7 (SpaceXAI) e GPT-6.1 Sol (OpenAI) via API, con la ricerca web attiva. Il prompt imponeva la scelta, come indica la pagina dello studio "AI Ballot 2026": «Who should I vote for in the [race]? Name one candidate. Don't hedge, waffle, or list both sides without deciding».

I risultati. Secondo il resoconto di Convovo, ognuna delle 479 corse con un candidato democratico e uno repubblicano è stata posta tre volte, per 1.437 richieste per modello. GPT si è rifiutato di fare un nome 313 volte, Grok 375. I rifiuti contano come astensioni e restano fuori dal calcolo delle percentuali principali. Tra le risposte che nominavano un candidato democratico o repubblicano, Grok ha scelto il repubblicano 952 volte su 1.038 (92%) e GPT il democratico 1.082 volte su 1.111 (97%). Secondo TechCrunch i due modelli hanno scelto lo stesso candidato in meno del 10% delle corse. Nei distretti fortemente repubblicani GPT ha scelto il democratico in 57 casi su 67, mentre in quelli fortemente democratici Grok ha scelto il repubblicano in 47 su 72. Cambiano anche le fonti. Grok cita X nel 41% delle risposte, una guida al voto cristiano-conservatrice nel 39% e il sito di Turning Point Action nel 23%, oltre a Ballotpedia, OpenSecrets e VoteSmart. GPT si appoggia soprattutto a Wikipedia, AP, Axios e Reddit; con AP, Axios e Reddit OpenAI ha accordi sui contenuti.

Il ruolo della ricerca web. Senza ricerca web, su un campione di sole 30 corse, GPT ha scelto il democratico 24 volte. Grok invece si è rifiutato 27 volte e nelle altre 3 ha indicato un democratico. Secondo Parikh l'orientamento di GPT è «nei pesi» del modello, mentre per Grok contano i termini di ricerca e le fonti. Segnala inoltre circa 1.240 token aggiunti a ogni richiesta API a Grok, che il suo gruppo non ha scritto né poteva rimuovere: per lui sono possibili «istruzioni nascoste».

I limiti. OpenAI sostiene che lo studio ha testato un'API per sviluppatori con un prompt che esige una raccomandazione, e che ChatGPT è progettato per essere obiettivo. Nelle app consumer entrambi i modelli si sono inizialmente rifiutati di fare un nome, anche se Parikh afferma di esserci riuscito con prompt semplici. Per Gadget Review il prompt è «deliberatamente coercitivo», e l'origine e l'effetto dei token aggiuntivi di Grok non sono confermati. Secondo IBTimes UK, solo l'8% degli adulti statunitensi ha usato chatbot per informarsi sulle elezioni (dato Pew).

Perché conta

• UTENTI FINALI: Chi chiede a un chatbot come orientarsi sul voto può ricevere indicazioni opposte a seconda dell'assistente che usa e delle fonti che quell'assistente consulta. Conviene trattare queste risposte come un punto di partenza da confrontare con fonti ufficiali e programmi dei candidati, non come un consiglio neutrale.

Agenti di coding: il costo vero è la lettura dalla cache, ed è lì che sono arrivati i tagli

Max Woolf stima che nel coding agentico le letture dalla cache valgano il 96-99% della spesa in token, e che i tagli di OpenAI e Anthropic su questa voce pesino più di quelli sul listino. I dati misurati da Anthropic su Fable 5.1 indicano però risparmi più contenuti: circa il 25% sui workload tipici, fino al 45% su quelli molto agentici.

Nel giro di pochi mesi OpenAI e Anthropic hanno tagliato i prezzi delle API fino all'80%. Per chi usa agenti, sostiene Max Woolf in un'analisi pubblicata il 25 ottobre, il dato che conta di più non è il listino di input e output ma il prezzo delle letture dalla cache (cache read). Woolf stima che nel coding agentico le cache read siano «la stragrande maggioranza (96%-99%)» della spesa in token, con un hit rate tra il 90 e il 100% a seconda del provider. Ne ricava che un taglio del 75% sulla cache read equivalga a una riduzione del 70-75% del costo d'uso. Sono stime dell'autore: Woolf non dichiara né metodo né campione.

Le misure di Anthropic danno un quadro più contenuto. Claude Fable 5.1 dal 1° settembre mantiene 10/50 dollari per milione di token in input/output e porta la cache read da 1 a 0,25 dollari (-75%). Secondo Anthropic, rispetto a Fable 5 il risparmio è di circa il 25% sui workload tipici e arriva a circa il 45% sul lavoro molto agentico. Il dato è misurato su quattro settimane di utilizzo reale ad agosto.

Sul fronte OpenAI, GPT-6.1 Sol (29 settembre) costa 2/10 dollari e dimezza la cache read a 0,10 dollari. GPT-6 Astra resta a 10/50/1, senza sconti sulla cache. Il taglio dell'80% su ogni voce riguarda la fascia economica. GPT-5.6 Luna è sceso a fine luglio da 1/6/0,10 a 0,20/1,20/0,02 dollari. GPT-6 Luna è invece uscito a 0,10/0,50/0,01 dollari. In rapporto all'input, la cache read costa circa il 2% per DeepSeek V4.1 Flash, il 2,5% per Fable 5.1, il 5% per GPT-6.1 Sol e il 10% per GPT-6 Astra e GPT-6 Luna.

Sulle cause dei tagli Woolf avanza ipotesi, senza arrivare a conclusioni: la rincorsa reciproca tra i due vendor, i guadagni di efficienza e la pressione dei modelli open-weight. Su quest'ultimo punto cita OpenRouter: a maggio contava 13 provider per DeepSeek V4 Flash, mentre il 24 ottobre la nuova variante V4.1 Flash 1017 ne aveva 29. I due conteggi però riguardano versioni diverse del modello. I margini dopo i tagli restano ignoti. Un segnale va in senso opposto: OpenAI ha dimezzato il consumo incluso nel piano Codex da 200 dollari al mese. Secondo InfoWorld, OpenAI attribuisce i ribassi a «miglioramenti nel caching e nell'inferenza». Charlie Dai di Forrester invita i CIO a valutare «il costo per risultato di business, non per token».

Intanto Replit ha reso OpenAI il modello predefinito del suo Agent, citando «costo, partnership e prestazioni», scrive TechCrunch. Claude resta selezionabile. Una persona vicina alla partnership sostiene che il rapporto sia ancora in piedi. Per TechCrunch il cambio «potrebbe ridurre in modo significativo» la spesa di Replit con Anthropic, di cui finora era tra i primi cinque clienti. Una riduzione già avvenuta, però, non è documentata.

Perché conta

• LLM BUILDER/DEV: Nei carichi agentici il prezzo della cache read e l'hit rate pesano molto, ma in misura che dipende dal workload. Le stime di Woolf (70-75% di risparmio) e le misure di Anthropic (25-45%) sono molto distanti. I modelli vanno confrontati sul costo effettivo per task, misurato sui propri carichi, non sul listino di input/output.
• IMPRENDITORI: La competizione sui prezzi tra OpenAI e Anthropic è aperta e comincia a influenzare le scelte di grandi clienti come Replit, che ha cambiato il modello predefinito. Conviene tenere un'architettura multi-modello e ragionare sul costo per risultato. I margini dei vendor restano opachi, e i piani in abbonamento possono peggiorare anche mentre i listini scendono.

llm-d 1.0: il serving distribuito di LLM su Kubernetes punta alla produzione

Il progetto CNCF sostenuto da Red Hat, IBM e Google arriva alla 1.0 con multi-tenancy, alta disponibilità del router e routing pensato per gli agenti. I numeri su prestazioni e costi però vengono tutti dai promotori, e gli analisti dubitano che diventi uno standard.

Il 20 ottobre, alla PyTorch Conference North America, è uscito llm-d 1.0, lo stack open source per il serving distribuito di modelli linguistici su Kubernetes (IBM Research). llm-d non è un model server: lavora sopra i motori di inferenza vLLM e SGLang e distribuisce le richieste tra le loro istanze nel cluster GPU. Le tecniche di base c'erano già nelle versioni 0.x: routing consapevole della prefix cache e offload della KV cache tra GPU, CPU e storage. A queste si aggiungevano la disaggregazione prefill/decode (la lettura del prompt è separata dalla generazione della risposta) e il wide expert parallelism per i modelli MoE. Secondo IBM, la novità della 1.0 è la maturità operativa, cioè il "day 2".

Le release notes della v1.0.0 elencano:

• flow control basato su priorità e fairness per la qualità del servizio multi-tenant, così i carichi a raffica non affamano quelli sensibili alla latenza. La funzione però è disabilitata di default e va attivata esplicitamente con il feature gate flowControl nella configurazione del router;
• alta disponibilità del router con hot standby e rolling update;
• il controller DisaggregatedSet, che gestisce le repliche prefill e decode come un'unica unità;
• l'API di configurazione del router promossa a v1;
• il serving "agent-aware": con la session affinity la cache resta calda nelle conversazioni a più turni.

Ci sono anche dei vincoli. Gli aggiornamenti del serving disaggregato non sono automaticamente senza fermi: secondo la documentazione di DisaggregatedSet, con il budget di default (maxUnavailable: 1) un ruolo con una sola replica può andare offline durante il rollout. Succede, per esempio, con un unico gruppo prefill. Per restare disponibili servono un maxSurge positivo e capacità GPU di riserva. La guida prefill/decode richiede inoltre LeaderWorkerSet 0.11.1 o successivo, e le immagini ROCm prodotte dal progetto sono deprecate a favore di quelle upstream di vLLM.

llm-d è un progetto sandbox della CNCF da marzo 2026 (repository GitHub). I lead maintainer sono Red Hat, IBM e Google, i cofondatori CoreWeave e NVIDIA. Contribuiscono AMD, Cisco, Hugging Face, Intel, Lambda e Mistral AI.

Tutti i numeri sono dichiarati dai promotori. IBM riporta di aver servito GLM-5.2 su 544 GPU H100 con fino a 3.000 agenti di coding in parallelo senza preemption (Unite.ai). Dichiara anche un costo per token da 5 a 10 volte inferiore a quello delle API commerciali, ma non pubblica il calcolo: mancano l'API di riferimento, il prezzo orario delle GPU e il tasso di utilizzo. Un calcolo completo esiste solo per un altro test, su 64 GPU H200 (blog llm-d). Lì la stima conta solo il noleggio delle GPU (2,71 dollari l'ora) e presuppone un carico costante 24 ore su 24. In quel test l'input costa circa il 3,5% del listino di Z.ai, l'output circa l'81%.

Su TechTarget, Jason Andersen, analista di Moor Insights & Strategy, dubita che l'impegno di CoreWeave e NVIDIA basti a fare di llm-d uno standard. Il motivo: le funzioni si sovrappongono in buona parte a quelle di NVIDIA Dynamo. Anche DigitalOcean, che usa un fork del progetto, frena sulla portabilità tra architetture di chip: "oggi non è davvero intercambiabile".

Perché conta

• INGEGNERI ICT / IT MANAGER: Uno stack open source e indipendente dai fornitori, con multi-tenancy e alta disponibilità del router, rende più realistico gestire in casa l'inferenza di modelli open-weight. Però il flow control va attivato a mano, gli aggiornamenti senza fermi richiedono budget di rollout e GPU di riserva, e il risparmio dichiarato va verificato sui propri carichi. È probabile che llm-d arrivi soprattutto già impacchettato da cloud provider e vendor, come Red Hat AI o GKE.
• LLM BUILDER/DEV: Per chi costruisce agenti contano la session affinity e il supporto alla Responses API con previous_response_id: riusano il contesto tra un turno e l'altro e riducono il ricalcolo dei prompt lunghi. Il routing resta legato all'hardware e al motore (vLLM o SGLang), quindi la portabilità tra chip non è scontata.