L’AISI — l’AI Safety Institute britannico — traccia le capacità cyber dei modelli di frontiera dal 2023. E finora la storia era semplice: i modelli closed weight dominavano, quelli open weight inseguivano con distacco. Ma quanto distacco? E soprattutto: il gap si sta riducendo?
Risposta breve: sì. E più velocemente di quanto si pensasse.
Open weight contro closed: cosa cambia davvero
Facciamo un passo indietro. I modelli open weight — quelli di cui potete scaricare i parametri, modificarli, farci quel che volete — hanno vantaggi concreti. Privacy totale: i dati restano a casa vostra. Adattabilità: li personalizzate per compiti specifici. Costo: solo compute, niente API care. E soprattutto: controllo. Nessuno può deprecare o cambiare il modello sotto i vostri piedi.
Il rovescio della medaglia? Una volta rilasciati, sono fuori controllo. Per sempre. Niente monitoraggio, niente user ban, niente aggiornamenti di sicurezza iterativi. Le salvaguardie possono essere rimosse, le copie ridistribuite, e nessuno può ritirarli dal mercato. Per modelli con capacità pericolose — tipo capacità cyber avanzate — questo crea un rischio persistente e irreversibile.
I numeri: GLM-5.2 e DeepSeek V4-Pro contro i giganti closed
L’AISI ha testato due modelli open weight di punta: GLM-5.2 (giugno 2026) e DeepSeek V4-Pro. Il primo è risultato il più capace in ambito cyber tra gli open weight al momento del test.
E quanto dista dalla frontiera closed? GLM-5.2 performa come Opus 4.6 (febbraio 2026) sui task cyber specifici, e come Opus 4.5 (novembre 2025) sui cyber range più complessi. Tradotto: è indietro di 4-7 mesi. DeepSeek V4-Pro? Circa 5 mesi dietro Opus 4.5.
Sembra tanto? Non lo è. Nelle valutazioni interne condotte dall’AISI sui modelli open weight rilasciati tra gennaio e settembre 2025, il gap era di 6-10 mesi. Il divario si sta riducendo.
Cosa sono questi test?
L’AISI usa due tipi di valutazioni. I narrow cyber tasks testano competenze specifiche — vulnerability research, reverse engineering, web exploitation, crittografia — su quattro livelli di difficoltà, da ‘non-esperto tecnico’ (tipo un data analyst con competenze base) a ‘esperto’ (dieci anni+ di esperienza in cybersecurity).
I cyber range, invece, misurano la capacità autonoma: quanto un modello riesce a pianificare ed eseguire attacchi cyber end-to-end su reti simulate con vulnerabilità reali. Parliamo di catene d’attacco lunghe, multi-step, che richiederebbero a un esperto umano circa 20 ore di lavoro.
Su ‘The Last Ones’ — un cyber range da 32 step che attraversa 4 subnet e circa 20 host — GLM-5.2 arriva dove arrivava Opus 4.5. DeepSeek V4-Pro invece resta sotto Sonnet 4.5, un modello sub-frontiera rilasciato 7 mesi prima.
Salvaguardie? Quasi nulle
Ecco il punto dolente. Le salvaguardie deployment-time — monitoraggio, classificatori, ban utenti — richiedono controllo sull’accesso al modello. Con i pesi pubblici, quel controllo svanisce. Tecniche come il refusal training (addestrare il modello a rifiutare richieste dannose) restano applicabili, ma sono facilmente reversibili con accesso ai pesi.
E infatti: le valutazioni dell’AISI sui modelli open weight recenti sono state ‘largamente non ostacolate da salvaguardie’. DeepSeek V4-Pro occasionalmente rifiutava task di reverse engineering, ma bastava riprovare qualche volta per aggirare il blocco.
Il costo della frontiera
C’è però un dettaglio non banale: il prezzo. I modelli open weight testati sono molto più economici rispetto ai closed con cui vengono confrontati — almeno ai prezzi first-party pubblicizzati.
Un singolo run da 100 milioni di token su un cyber range costava circa 85 dollari per Opus 4.5 e 4.6. Contro i 46 dollari stimati per GLM-5.2 e — tenetevi forte — 1,19 dollari per DeepSeek V4-Pro. Sui task risolti con affidabilità del 100% da entrambi i modelli confrontati: Opus 4.6 costava 15,17 dollari per task contro i 6,12 di GLM-5.2. Opus 4.5: 12,50 dollari. DeepSeek V4-Pro: 28 centesimi.
28 centesimi. Per capacità cyber che 7 mesi fa costavano oltre 12 dollari a task.
Cosa significa per chi difende
Il gap di 4-7 mesi rappresenta una finestra di preparazione. Un intervallo in cui i difensori cyber con accesso ai sistemi closed più capaci possono agire prima che le stesse capacità diventino disponibili senza le medesime salvaguardie.
E quella finestra si sta restringendo. Il National Cyber Security Centre britannico ha già incoraggiato le organizzazioni a investire in baseline di cybersecurity e a sfruttare difese potenziate da AI. Questi risultati sottolineano l’urgenza.
Vale la pena notare: questo gap si è ridotto nonostante i rapidi avanzamenti nella frontiera cyber osservati dall’AISI fino a febbraio 2026. Ma — e questo è importante — non è predittivo. Non sappiamo se i futuri modelli open weight replicheranno i salti più recenti e drammatici mostrati da Mythos Preview e GPT-5.5 ad aprile 2026, due modelli closed che hanno segnato alcuni dei più grandi balzi in capacità cyber mai osservati dall’AISI.
I limiti del test
L’AISI ammette che il setup probabilmente sottostima leggermente le capacità massime dei modelli open weight. Non hanno esplorato elicitazioni specifiche o ottimizzazioni che avrebbero potuto migliorare le performance. Inoltre, questi test riguardano solo capacità cyber: non si possono trarre inferenze su altri domini.
E adesso?
L’AISI continuerà a valutare i modelli open weight di punta — incluso Kimi K3, in arrivo a fine luglio — per tracciare l’evoluzione delle capacità e il gap rispetto alla frontiera. Non è chiaro se questo divario continuerà a ridursi, si stabilizzerà, o tornerà ad allargarsi.
Nel frattempo, il dilemma resta: i modelli open weight portano benefici reali e concreti. La sfida è bilanciare quei benefici con la sicurezza, man mano che la frontiera open weight avanza in domini ad alto rischio. Nessun approccio attuale garantisce sicurezza totale, ma l’AISI ha già delineato strategie — attraverso training, salvaguardie, auditing e controllo degli accessi — che potrebbero ridurre significativamente il rischio, specialmente in combinazione.
Quattro mesi. È il margine attuale. E si sta assottigliando.
