Speravo che il prossimo grande crash del sistema fosse causato da un eccesso di sovraccarico nel mio server di rendering per Blender, e invece no.
Mentre noi siamo qui a combattere con i glitch dei motori fisici o a cercare di far girare un vecchio Commodore con un’emulazione troppo pesante, nel mondo del software moderno è successo il finimondo. È emersa una vulnerabilità chiamata «BadHost» che sta scuotendo le fondamentren di Starlette, quel package che, se non siete dei veri fanatici delle dipendenze, probabilmente avete installato senza nemmeno leggerne la licenza. Parliamo di 325 milioni di download settimanali. Sì, avete letto bene. Cento milioni. Ogni settimana.
Il problema? Una falla critica che mette in pericolo milioni di agenti IA. Sì, proprio quegli agenti che tutti stanno cercando di addestrare per farci scrivere codice o gestire la smart home, e che ora potrebbero trovarsi con le chiavi di casa consegnate su un piatto d’argento a chiunque abbia voglia di fare un po’ di probing.
Da smanettone, la cosa mi fa riflettere su quanto sia fragile l’intera infrastruttura su cui stiamo costruendo il futuro dell’automazione. Noi amiamo l’open source, lo adoriamo: è ciò che ci permette di costruire CNC personalizzate, di programmare i nostri bot e di non essere schiavi del cloud proprietario di qualche big tech che vuole solo venderti l’abbonamento mensile. Ma l’open source è un ecosistema di fiducia. Se un pezzo fondamentale della catena è compromesso, l’intero castello di carte rischia di venire giù.
Non è la solita fuffa da comunicato stampa per far paura agli investitori; questa è roba che tocca il metallo. Se state sviluppando qualcosa che usa Starlette per gestire l’interfaccia degli agenti, correte a controllare le versioni e a patchare tutto. Non fate i pigri, non pensate che «tanto è solo un pacchetto per il web».
In un mondo dove tutto è interconnesso, un errore in una libreria che sembrava innocua può diventare il vettore per un attacco globale. È un promemoria brutale: la libertà di modificare e usare il codice comporta anche la responsabilità di tenerlo in salute. Quindi, meno hype per l’IA magica che risolve tutto e più focus sul controllo delle dipendenze e sulla sicurezza del codice che scriviamo. Altrimenti, la prossima volta che il vostro bot farà una cavolata, non potrete dare la colpa al prompt, ma alla vostra pigrizia nel fare l’update.
Source: Millions of AI agents imperiled by critical vulnerability in open source package