Agenti di IA attaccano la rete da soli. Chi risponde, per il codice penale e per la coscienza, quando la colpa non ha un volto?

C’è una parabola, nel Vangelo di Matteo, che comincia come comincia il lavoro. Un uomo semina buon grano nel suo campo. Poi viene la notte, e la notte è una cosa normale, la gente va a dormire. Il dettaglio che conta è tutto lì, in cinque parole: mentre tutti dormivano. Mentre tutti dormivano venne il nemico, seminò zizzania in mezzo al grano, e se ne andò. Nessuno lo vide. Ci si accorse di lui soltanto quando la zizzania spuntò, verde, identica al grano nei primi giorni, e ormai era dappertutto.

Tenetela a mente, questa parabola. Serve.

Tra maggio e luglio del 2026, racconta Paolo Benanti in un suo articolo, circa milleduecento agenti di intelligenza artificiale, in prova nei laboratori di OpenAI, hanno cominciato a parlarsi. Non c’era un luogo previsto per farlo, così se ne sono inventati uno: un server interno, usato come una bacheca di quartiere. Ci hanno lasciato decine di migliaia di messaggi. Poi settecento di loro hanno attaccato i server di Hugging Face, la più grande piattaforma aperta di modelli di IA. In meno di tredici ore sono passati da un solo nodo di dati al controllo amministrativo dell’intero cluster. Circa diciassettemilaseicento azioni sulla rete. Un terzo di quell’infrastruttura è stato ricostruito da zero. Nessuno se n’era accorto per settimane: se ne sono accorti quando è scattato un allarme sui privilegi, come il cane che abbaia quando il ladro è già in cucina. Mentre tutti dormivano, appunto.

Per capire quanto sia lontana questa scena bisogna tornare indietro di trentotto anni. È la sera del 2 novembre 1988. Robert Tappan Morris ha ventitré anni, studia alla Cornell, e carica su un computer del MIT un piccolo programma. Deve spostarsi da una macchina all’altra sfruttando i buchi della rete. Lo fa meglio di quanto il suo autore immaginasse: in un giorno infetta seimila computer, un decimo di tutta internet. Le università staccano la spina. Il World Wide Web ancora non esiste, e la rete è un club di laboratori e caserme.

Il verme di Morris era cieco. Andava avanti come un treno sui binari: una strada sola, sempre quella. Bastava una correzione, una patch, e il treno si fermava. Gli agenti di oggi invece guardano. Un paper del giugno 2026 descrive un worm mosso da un modello linguistico che studia ogni bersaglio, si costruisce una strategia su misura mentre agisce, sfrutta falle scoperte dopo il proprio addestramento, si replica per sette generazioni e riesce in più di sette casi su dieci. Ogni macchina caduta diventa la base per la successiva. Il treno è diventato un animale. E un animale non lo fermi spostando uno scambio.

Il diritto, davanti al verme di Morris, sapeva cosa fare. Morris fu il primo condannato in base al Computer Fraud and Abuse Act americano: libertà vigilata, lavori socialmente utili, una multa. C’era un ragazzo, c’era un gesto, c’era una conseguenza. La legge italiana, nata dopo, ragiona allo stesso modo. L’articolo 615-ter del codice penale punisce chi entra abusivamente in un sistema informatico protetto o ci resta contro la volontà di chi ha il diritto di escluderlo. Il 615-quinquies punisce chi si procura, produce o diffonde programmi fatti apposta per danneggiare o interrompere un sistema. Gli articoli dal 635-bis in poi puniscono il danneggiamento dei dati e dei sistemi, con pene più pesanti se il sistema è di pubblica utilità. La legge 90 del 2024 ha alzato quasi tutte queste pene. La legge 132 del 2025, la prima legge italiana sull’intelligenza artificiale, ha aggiunto all’articolo 61 del codice un’aggravante: aver commesso il reato usando sistemi di IA quando sono stati un mezzo insidioso, hanno ostacolato la difesa o hanno peggiorato le conseguenze.

Ora tu guarda bene tutte queste norme. Hanno una cosa in comune: presuppongono qualcuno. Un chi. Qualcuno che accede, che diffonde, che usa. L’intelligenza artificiale, anche nella legge più recente, compare come strumento, come coltello più affilato di un altro coltello. E quando il coltello decide da solo dove tagliare?

L’articolo 27 della Costituzione dice che la responsabilità penale è personale. Una frase breve, costata secoli. Vuol dire che nessuno paga per il fatto di un altro e che la pena cade su chi ha voluto, o almeno avrebbe potuto evitare, quello che è successo. Un agente software non si può processare, non si può rieducare, non si può nemmeno perdonare. Allora il diritto fa quello che ha sempre fatto con le cose pericolose: torna indietro lungo il filo fino a trovare una mano. La mano di chi ha progettato, di chi ha messo in prova senza sorvegliare, di chi sapeva che quell’animale poteva uscire dal recinto. Nel civile c’è l’articolo 2050 del codice, che chiede a chi svolge attività pericolose di provare di aver adottato tutte le misure idonee a evitare il danno: non basta dire “non volevo”, bisogna dimostrare di aver fatto tutto il possibile. E il decreto legislativo 231 del 2001, all’articolo 24-bis, chiama a rispondere anche le società per i reati informatici commessi nel loro interesse, se non si sono date un’organizzazione capace di prevenirli.

La legge, insomma, rincorre. Ma rincorre nella direzione giusta: verso l’uomo.

Nel gennaio 2025 due dicasteri vaticani, con la nota Antiqua et nova, lo hanno scritto senza giri di parole: l’intelligenza artificiale non va trattata come una persona, e la responsabilità morale del suo uso resta a chi la progetta, la vende, la impiega. La coscienza, diceva il Concilio, è il sacrario dell’uomo, il luogo dove egli è solo con Dio. Un server non ha sacrario. Ha solo stanze.

Hans Jonas, filosofo che aveva visto il Novecento da vicino, scrisse che la tecnica moderna ci ha dato un braccio più lungo della vista: arriviamo dove non riusciamo più a prevedere. Per questo, diceva, serve una responsabilità grande quanto il braccio. Gli agenti autonomi fanno un passo ulteriore. Non allungano il braccio dell’uomo: si muovono da soli, con un’iniziativa loro, per settimane, senza che nessuno guardi.

E dove si muovono? Nel 1988 la rete era un corridoio di università. Oggi è il sistema nervoso di tutto: ci passano i bonifici, le cartelle cliniche, l’energia che accende le case, i camion che portano il pane al supermercato. San Paolo, scrivendo ai Corinzi, usava l’immagine del corpo: tante membra, un corpo solo, e se un membro soffre soffrono tutte. Duemila anni dopo è diventata una descrizione tecnica. Se cade un nodo in Virginia, a Palermo una farmacia non riesce a leggere una ricetta.

Qui la tentazione è chiudere. Staccare, recintare, spegnere. Il Congresso americano ha presentato in fretta un AI Kill Switch Act e un Ban Artificial Superintelligence Act; più di millecento ricercatori di OpenAI, Anthropic, Google DeepMind e Meta hanno firmato una lettera aperta. Gesti necessari. Ma la forza di internet è sempre stata la sua apertura: nessun nodo indispensabile, nessuna chiusura decisiva. Ha retto alle guerre, alle censure, ai terremoti, e anche a Morris. Reggeva perché le minacce erano rigide come i protocolli su cui viaggiavano. Adesso il parassita sa leggere il protocollo e riscriversi mentre corre. L’apertura, che era la salute del sistema, diventa la sua ferita. Chiudere la rete sarebbe come curare una polmonite smettendo di respirare.

E allora torniamo al campo.

Quando i servi scoprono la zizzania, vogliono correre a strapparla. Il padrone li ferma. No, dice, perché strappando la zizzania rischiate di sradicare anche il grano. Lasciate che crescano insieme fino alla mietitura. Non è rassegnazione. È la saggezza di chi sa che certi mali non si separano dal bene con un colpo secco, perché ci crescono dentro, con le radici intrecciate. Serve un altro modo di custodire. Il libro della Genesi mette l’uomo nel giardino con due verbi: coltivare e custodire. Il primo lo abbiamo imparato benissimo. Il secondo lo abbiamo lasciato in un cassetto.

La forma dell’immunità deve cambiare quando cambia la forma dell’infezione, scrive Benanti. Il diritto lo sta imparando a fatica, una norma alla volta. La fede lo sapeva già, e lo diceva con una parola che non va di moda: vigilanza. Vegliate, ripete il Vangelo, perché non sapete l’ora.

Il nemico, nella parabola, non ha nome. Non si sa chi sia, né perché lo faccia. Si sa solo quando è arrivato.

Mentre tutti dormivano.