Pochi mesi prima dell’agosto 2019, un ingegnere belga di nome Bert Celis aveva in galleria del vento un giovane corridore, Bjorg Lambrecht . Per il suo laboratorio era lavoro di routine: trovare la posizione e l’abbigliamento che fanno risparmiare al corridore qualche watt. Poi, il 5 agosto, alla terza tappa del Giro di Polonia, Lambrecht, 22 anni, uscì di strada e finì contro un canale di scolo in cemento. Non è stato possibile salvarlo.

«Mi sono chiesto perché i ciclisti abbiano ancora così poca protezione oltre al casco», ricorda Celis . Nell’ottobre 2026 la sua risposta è entrata nella lista delle migliori invenzioni dell’anno di TIME. È un airbag da circa mezzo chilo che si nasconde nelle bretelle dei pantaloncini da ciclismo e si gonfia in 100 millisecondi. Ma la parte più strana della storia è un’altra. Un uomo che ha passato la carriera a togliere grammi e watt ai corridori ora vuole appenderne altri addosso. E giura che il cronometro non se ne accorge. Per decidere quando scattare, l’airbag è stato addestrato su un archivio di cadute altrui, custodito da un’agenzia di stampa belga.

Il ragioniere dei watt

Celis è ingegnere di formazione e aerodinamico di mestiere. Ha cofondato Flanders Bike Valley, un laboratorio ciclistico fiammingo costruito attorno a una galleria del vento, e ha lavorato con molte squadre professionistiche.

Il lavoro somiglia alla contabilità. Il corridore siede in bici in un flusso d’aria, i sensori misurano la resistenza e gli ingegneri spostano un gomito di un centimetro o cambiano il tessuto sulle spalle. Cinque watt sono un bottino serio. Per briciole del genere le squadre ordinano calzini speciali, ridisegnano i caschi e spendono cifre enormi per le ruote.

Dopo la morte di Lambrecht, Celis si rivolse a Sam Ratajczak, che dirigeva la ricerca e sviluppo del produttore belga di abbigliamento Bioracer e ne aveva costruito la galleria del vento. Bioracer fa abbigliamento da corsa, anche per le squadre professionistiche. Nel 2020–2021 Ratajczak e uno stagista di industrial design, Stijn Vanvolsem, misero a punto un concetto : un airbag infilato nelle bretelle delle normali salopette da gara che in caso di caduta avrebbe protetto collo, petto, schiena e anche.

Il concetto funzionava. I clienti no, non si presentarono. Ancora nel 2024 Ratajczak, nel frattempo alla guida di un proprio studio di design, definiva l’idea una possibile svolta per la sicurezza dei corridori e ammetteva che le squadre avevano mostrato scarso interesse.

Un casco imposto da una morte

La freddezza del gruppo si spiega facilmente. Per decenni il ciclismo professionistico ha respinto ogni protezione che costasse comfort o velocità.

Nel 1991 l’Unione Ciclistica Internazionale (UCI) provò a rendere obbligatorio il casco. I corridori scioperarono e la norma finì in un cassetto. Tornò solo nel 2003, dopo che il kazako Andrej Kivilev era caduto senza casco alla Parigi-Nizza ed era morto il giorno dopo. L’UCI dichiarò allora obbligatorio il casco , ma anche quello fu un compromesso: la prima versione della regola permetteva di togliersi il casco sulle salite finali più lunghe di cinque chilometri. La scappatoia fu chiusa più tardi.

L’abbigliamento protettivo ebbe la stessa sorte. Bioracer disse di poter realizzare divise da gara capaci di attutire gli infortuni più comuni nelle cadute. I corridori, come ha riferito road.cc , preferirono il comfort e la velocità a cui erano abituati.

La lezione la capirebbe qualunque venditore: nel gruppo la sicurezza vende solo se non costa nulla al cronometro. Ed è esattamente così che Celis ha provato a vendere il suo airbag.

Mezzo chilo che un tempo prometteva velocità

Nel marzo 2024, quando il sistema era ancora un prototipo, Celis disse all’emittente belga Sporza che l’airbag aggiunge da 500 a 600 grammi, più o meno una borraccia piena in più. I professionisti avevano per ora detto no, preoccupati per comfort e peso, così Celis giocò la carta dell’aerodinamico. Un corridore che indossa il sistema, spiegò, diventa più «a goccia», e su un percorso pianeggiante a 50 km/h la differenza arrivava a 5–15 watt. «L’aumento di peso diventa allora irrilevante», disse.

Al gruppo suonava allettante: la protezione data in omaggio insieme alla velocità. Oggi l’azienda parla con più prudenza. Nei materiali legati alla lista di TIME gli sviluppatori promettono altro: l’airbag non influisce sull’aerodinamica ed è quasi invisibile sotto la maglia. Il guadagno in watt non viene più citato, e nessuna delle due affermazioni è stata misurata in modo indipendente. C’è anche una seconda riserva: su un passo di montagna mezzo chilo pesa mezzo chilo, per quanto dolcemente l’aria gli scorra intorno.

Il dispositivo in sé ha un aspetto modesto. Un piccolo marsupio sulla schiena contiene l’elettronica e una cartuccia di CO₂, e sottili tubi di poliuretano termoplastico corrono lungo le bretelle.

Il sistema non copre né la testa né le spalle, ed è una scelta voluta. Ratajczak ha spiegato che dopo una caduta il corridore deve poter risalire in bici e finire la corsa. Così, circa dieci secondi dopo lo scatto , l’airbag comincia a sgonfiarsi da solo e si ripiega nelle bretelle. Per riutilizzarlo si sostituiscono la cartuccia e il suo innesco, circa 35 euro . Un airbag d’auto, invece, si sostituisce per intero.

Cosa insegnano le cadute degli altri

La parte più difficile di un airbag non è il tessuto e nemmeno il gas. È decidere quando scattare.

Un corridore lancia la bici sul traguardo, uno sprinter la fa dondolare da una parte all’altra, un pendolare salta un marciapiede. Nessuna di queste è una caduta, eppure per un sensore sono tutti movimenti violenti. Uno scatto a vuoto nel mezzo di una volata è pericoloso di per sé, e un airbag che non scatta è peggio di nessun airbag, perché alimenta una falsa sicurezza. Sporza descrive così la logica della soglia : un corridore che scivola soltanto sull’asfalto non lo farà scattare, ma se poi viene catapultato oltre un guardrail, scatta.

L’algoritmo di Aerobag è nato dagli incidenti altrui. L’agenzia di stampa belga Belga conserva un vasto archivio di filmati di cadute in corsa, e gli sviluppatori hanno passato quei filmati a un modello di IA. Il modello ricostruiva il movimento del corpo a partire dalle articolazioni visibili, come spalle, anche e gomiti, e quelle traiettorie sono servite a tarare la soglia di scatto. In parole semplici, il sistema ha imparato da cadute che nessuno metterebbe mai in scena per un esperimento.

L’azienda svedese Hövding conosce il prezzo di un errore. Il suo collare airbag per i ciclisti urbani si gonfiava attorno alla testa ed era venduto come sostituto del casco. Nel novembre 2023 l’Agenzia svedese dei consumatori bloccò le vendite dell’Hövding 3 per un difetto che poteva impedire al collare di aprirsi in caso di caduta. Il 21 dicembre 2023 l’azienda dichiarò bancarotta . Un tribunale aveva nel frattempo sospeso il divieto, ma il consiglio di amministrazione decise che, dopo un mese senza vendite, l’azienda non si poteva salvare. Un airbag si giudica dall’unica volta in cui non si apre.

Aerobag si avvia verso lo stesso mercato. Per i ciclisti urbani ha progettato Aerobelt, una cintura che porta lo stesso modulo e si indossa sopra i vestiti di tutti i giorni. Fundracer, un fondo che investe nella micromobilità, ha preso una quota di minoranza nell’azienda . Il sistema non è ancora in vendita. Il cofondatore di Aerobag Quinton Van Loggerenberg ne indica il prezzo in 700–850 euro : più di un buon casco, meno di molti set di ruote da corsa.

Per ora la lezione di Hövding è teorica. Il sistema è stato provato in crash test con manichini stampati in 3D , e i passi successivi indicati sono cadute umane su superfici morbide e crash test dummy. Non esistono ancora dati pubblicati su quanto riduca le lesioni negli incidenti reali.

Imparare di nuovo a cadere

A parole, l’interesse è comparso già nel 2024. Celis disse a Sporza che la squadra britannica Ineos Grenadiers voleva mettere in uso l’airbag, soprattutto dopo la terribile caduta di Egan Bernal, quando nel gennaio 2022 il vincitore del Tour de France si schiantò contro un autobus parcheggiato durante un allenamento.

Nei fatti, la prima a prendere il sistema è stata la squadra olandese Picnic PostNL. Dietro il progetto c’è l’ex professionista Piet Rooijakkers. La squadra aveva già affrontato le abrasioni con indumenti resistenti allo sfregamento, e lui indicò come bersaglio successivo costole, bacini e clavicole rotti. L’idea nacque da un video su Instagram di un airbag per motociclisti, che portò Rooijakkers a Celis. Le sue aspettative restano sobrie . L’airbag salverà una clavicola solo se il corridore si fida davvero e tiene le braccia strette, mentre la maggior parte dei corridori nella caduta getta le mani in avanti. Pare che i corridori dovranno imparare a cadere da capo. Nel 2026 Picnic PostNL e Visma–Lease a Bike hanno ricevuto i sistemi per gli allenamenti, e il produttore italiano di abbigliamento Nalini ha investito nel progetto con l’intenzione di lanciare i primi pantaloncini con salopette certificati Aerobag.

Celis non è solo in questa corsa. Nella primavera 2026 Van Rysel, il marchio ciclistico di Decathlon, ha presentato una tuta da gara con airbag integrato: la tuta, airbag compreso, pesa circa 700 grammi, e l’airbag si gonfia, secondo il produttore, in 60 millisecondi, quasi il doppio più in fretta di quello di Aerobag. «Nel ciclismo bisognava scegliere tra prestazioni e sicurezza», ha detto Van Rysel .

Negli arrivi non lo vedrete ancora. All’inizio del 2026 l’UCI ha cominciato a riunire produttori e laboratori per scrivere gli standard di questi sistemi, e finché non esisteranno nessuno può prendere il via di una corsa indossandone uno. Celis spera di vederlo in gara nel 2027.

Il casco è arrivato nel ciclismo professionistico grazie a uno sciopero e a una morte avvenuta dodici anni dopo. L’airbag di Celis non ha bisogno di un’altra tragedia. Ha bisogno di un corridore che, mentre cade, si fidi di lui più che delle proprie mani.

Nel febbraio 2009 Randall Munroe disegnò una vignetta in due riquadri . Nel primo, un nerd delle criptovalute fantastica: il suo portatile è protetto da una cifratura a 4096 bit, i cattivi mettono insieme un cluster da un milione di dollari per violarla e alla fine rinunciano. Il secondo riquadro mostra cosa succederebbe davvero. Drogano il proprietario e lo prendono a colpi di chiave inglese da 5 dollari finché non cede la password.

Diciassette anni dopo, la battuta sembra un verbale di polizia. Nella notte del 19 settembre 2026 quattro uomini con il passamontagna sono entrati in una casa di Vendin-le-Vieil, una cittadina del nord della Francia. Hanno legato i genitori e i loro due figli , di otto e dodici anni, hanno portato il padre in un’altra stanza e lo hanno costretto a trasferire circa 40.000 € in criptovalute. Il padre lavora nel settore crypto. Nessuna password è stata violata.

Questo tipo di reato ha un nome: wrench attack, l’attacco con la chiave inglese. E ha anche un primatista mondiale che pochi indovinerebbero al primo colpo. Non gli Stati Uniti, non il Brasile, ma la Francia. A luglio, vicino a Parigi, tre uomini hanno legato un’altra famiglia, a quanto pare grazie a una soffiata nata dal database trafugato di un servizio fiscale per le criptovalute. Sul wallet c’erano circa 100 €.

La vignetta diventata un foglio di calcolo

Dal 2018 lo sviluppatore americano Jameson Lopp tiene un elenco pubblico delle aggressioni fisiche contro chi possiede criptovalute, che risale fino al 2014. Compare anche lui. Nell’ottobre 2017 una falsa chiamata di emergenza mandò la squadra SWAT della polizia a casa sua, in Carolina del Nord, e qualcuno tentò di estorcergli denaro. Il trucco si chiama swatting.

La prima voce è Hal Finney. Nel gennaio 2009 ricevette la primissima transazione in bitcoin dal creatore della rete, Satoshi Nakamoto. Nel 2014 la SLA lo aveva lasciato quasi completamente paralizzato. Nell’ultimo anno di vita alcuni estorsori telefonarono alla sua famiglia chiedendo 1.000 bitcoin. Poi la polizia fece irruzione in casa per una segnalazione falsa.

Dopo di lui le voci si accumulano. L’elenco conta 22 casi per il 2017 e 167 per il 2025. Al 22 ottobre 2026 ne aveva 133 per quest’anno, 50 dei quali in Francia: il doppio di quelli francesi di tutto il 2025. Lopp avverte che l’elenco è incompleto, perché molte aggressioni non vengono mai denunciate.

Il rapporto di luglio di CertiK mostra a colpo d’occhio il cambiamento principale. Le irruzioni in casa sono salite a 20 in sei mesi, da una soltanto un anno prima, e ora sono il tipo più diffuso di questi attacchi. I rapinatori hanno smesso di aspettare le vittime per strada e sono andati a cercarle a casa.

Chainalysis ha contato oltre 30 milioni di dollari effettivamente sottratti. Ma dei 46 attacchi monitorati dalla società, i rapinatori sono stati pagati solo in 12, cioè il 26%. Nel 2025 la quota era del 49%. Più violenza, meno bottino.

La tua banca, il tuo caveau

Lo slogan preferito delle criptovalute è «sii la banca di te stesso». Le monete su un hardware wallet, un dispositivo grande come una chiavetta USB che custodisce le chiavi, sopravvivono al fallimento o all’hackeraggio di un exchange. Ma quella banca non ha guardie né un caveau a un altro indirizzo. La cassaforte è in camera da letto e la combinazione è nella testa del proprietario.

Il denaro tradizionale è un pessimo bottino per una rapina a mano armata. Le banche fissano limiti, segnalano i bonifici anomali e i pagamenti si possono contestare. Un trasferimento in bitcoin, invece, è definitivo: non esiste un servizio clienti che restituisca i soldi. A volte la polizia riesce a bloccare una parte dei fondi rubati presso gli exchange, ma è un inseguimento, non un pulsante «annulla».

C’è poi una terza ragione. La blockchain è pubblica e chiunque può vedere il saldo di qualsiasi indirizzo. Basta collegare un indirizzo a un nome e il rapinatore sa più cose sui soldi della vittima di quante ne sappiano i vicini.

Perché la Francia

Il 30 giugno 2026 il ministro dell’Interno Laurent Nuñez ha definito il Paese «una sorta di epicentro» di questi attacchi. I 77 casi che ha citato per sei mesi superano il totale mondiale di CertiK perché la polizia vede anche i tentativi e i casi che la stampa non ha mai raccontato. Nuñez ha detto che le misure d’emergenza hanno portato a 200 arresti e che 724 persone del settore crypto si sono iscritte a un sistema di allerta rapida con la polizia.

La svolta è arrivata nel gennaio 2025. David Balland, cofondatore del produttore francese di hardware wallet Ledger, è stato rapito insieme alla moglie dalla loro casa nella Francia centrale. I rapitori gli hanno tagliato parte di un dito e hanno mandato il video a un altro cofondatore. La polizia ha liberato Balland il giorno dopo.

Nel maggio 2025 un attacco è stato ripreso dalle telecamere. In pieno centro a Parigi, uomini mascherati hanno cercato di far salire a forza su un furgone dipinto come un camion delle consegne la figlia e il nipotino di Pierre Noizat, capo dell’exchange Paymium. Il compagno di lei li ha respinti finché non sono fuggiti.

Chainalysis individua nelle fughe di dati il principale motore dell’ondata francese. Secondo gli inquirenti, una dipendente dell’ufficio delle imposte di Bobigny avrebbe cercato nella banca dati fiscale gli investitori in criptovalute e venduto i loro dati a gruppi criminali. È stata arrestata alla fine di giugno 2025.

Nel gennaio 2026 degli hacker hanno violato Waltio, un servizio francese che aiuta gli investitori in criptovalute con la dichiarazione dei redditi. Insieme ai saldi di fine 2024 sono trapelati gli indirizzi email dei clienti. Secondo la stampa francese, quel file ha guidato i tre uomini che il 13 luglio 2026 hanno fatto irruzione in una casa a Taverny , vicino a Parigi. Hanno legato la madre e il figlio di dieci anni e hanno usato il taser sul padre finché non ha ceduto i suoi codici.

I dati erano vecchi di un anno e mezzo. Sul wallet c’erano circa 100 €. Così gli aggressori hanno preteso dalla moglie due bonifici da 450 € ciascuno. A settembre sei sospettati sono stati incriminati per estorsione a mano armata in banda organizzata.

Prendono di mira le persone sbagliate

CertiK osserva che i rapinatori se la prendono sempre più spesso con i familiari di chi possiede le criptovalute anziché con lui: genitori, coniugi, figli. Secondo i conteggi della società, in più della metà dei casi un parente dell’obiettivo principale diventa vittima o strumento di pressione.

Nelle prime ore del 5 febbraio 2026, vicino a Grenoble, dei rapitori hanno portato via una giudice di 35 anni e la madre di 67. Hanno chiesto un riscatto in criptovalute al compagno di lei, comproprietario di una start-up crypto, che non era in casa. Le due donne sono state trovate ferite in un garage nel dipartimento vicino: si erano liberate da sole e avevano chiamato un vicino in aiuto. Nessun riscatto è stato pagato.

A volte è più semplice: la banda sbaglia indirizzo. Il 12 febbraio 2026 una squadra è andata a casa del capo di Binance France, non l’ha trovato ed è ripartita con due telefoni. Un paio d’ore dopo gli stessi uomini sono andati a cercare un altro imprenditore crypto, hanno sbagliato casa e hanno colpito in testa con il calcio di un fucile la donna che ci abitava. In agosto, vicino a Rennes, degli aggressori hanno tenuto in ostaggio e picchiato gli inquilini di una casa affittata da un possessore di criptovalute. Lui non c’era.

Chi c’è dietro la porta

L’aggressore tipico non somiglia per niente al gangster dei film. La colonnella Christelle Tarrolle dirige una delle unità investigative della gendarmeria. Secondo i suoi dati, ripresi dalla gendarmeria il 7 ottobre 2026, il 16% di chi viene assoldato per questi rapimenti è minorenne e il 70% ha tra i 18 e i 29 anni.

Li reclutano su WhatsApp, TikTok, Snapchat e Telegram. Molti vengono dallo spaccio, ma alcuni sono studenti con la fedina pulita che accettano di fare gli autisti senza sempre capire in cosa si sono cacciati. Nel caso della giudice rapita sono stati incriminati sei giovani , uno dei quali minorenne.

Ne emerge una sorta di servizio di corrieri della violenza. L’organizzatore spesso sta lontano e impartisce ordini su un’app di messaggistica, mentre la manovalanza cambia da un lavoro all’altro. Così i gendarmi inseguono due bersagli insieme: la bassa manovalanza in Francia e gli organizzatori all’estero.

Una cassaforte con il blocco a tempo

I negozi usano da tempo casseforti a tempo: il cassiere non può aprirle in anticipo, per quanto gentilmente glielo chiedano. La protezione contro la chiave inglese funziona allo stesso modo. Lo scopo non è nascondere la password, ma rendere impossibile un accesso rapido al denaro.

CertiK consiglia ai grandi possessori wallet multisig e ritardi nei prelievi. Multisig significa che per un trasferimento servono le firme di più chiavi, custodite in luoghi diversi o da persone diverse. Sotto minaccia, una persona da sola non può comunque spostare tutto. Il ritardo costringe i rapinatori a trattenere la vittima per ore o addirittura giorni, il che aumenta la probabilità che qualcuno li interrompa.

La guida nel repository di Lopp aggiunge un wallet esca. È un wallet verosimile, con un saldo modesto e un PIN memorizzato, che si può consegnare senza esporre i fondi principali. La stessa guida consiglia di tenere il grosso del patrimonio lontano da casa e di non collegare mai gli account degli exchange a profili social pubblici.

Per una persona comune con un paio di migliaia di euro in un wallet, la regola è più noiosa. Non vantarti delle tue monete online e ricorda che qualsiasi servizio che conosce il tuo saldo può un giorno subire una fuga di dati. Il caso di Taverny dimostra che a un rapinatore basta una riga in un vecchio foglio di calcolo.

Le criptovalute sono nate per eliminare l’intermediario. La banca sembrava un anello superfluo tra le persone e i loro soldi. Si scopre che quel noioso intermediario svolgeva un compito a cui nessuno pensava: il suo caveau non era in casa tua.

Premi play il 1° gennaio su ogni brano generato dall’IA che Deezer riceve in un solo giorno, non addormentarti mai, e l’ultimo finisce il 7 luglio. Il servizio accoglie circa 90.000 brani interamente generati dall’IA al giorno, più della metà di tutta la musica nuova caricata. E il pubblico principale, per questi brani, sono i bot.

Il 13 ottobre 2026 Deezer ha promesso che entro fine anno l’app avrà un interruttore per togliere questa musica dalla ricerca. Buona occasione per capire quanta ce ne sia davvero e per chi sia fatta. Quanto al modo di guadagnarci, la spiegazione migliore viene da un uomo condannato il 6 ottobre a 18 mesi di carcere: lo schema l’aveva descritto in un’email a se stesso.

Da cosa partiamo

Tutte queste cifre vengono da Deezer stessa , senza alcun controllo indipendente. Il servizio conta solo i brani che il suo rilevatore classifica come interamente generati dall’IA. Le canzoni in cui l’IA ha solo aiutato un musicista in carne e ossa non rientrano nel conto.

Deezer non rivela la durata media di un brano IA. Prendiamo quindi in prestito un riferimento dal pop tradizionale: nel 2024 la canzone media delle classifiche di Spotify durava circa tre minuti . È l’ipotesi chiave del calcolo, e ci torneremo.

Un solo giorno di caricamenti suona per sei mesi

90.000 brani da tre minuti fanno 270.000 minuti. Sono 4.500 ore, ovvero 187 giorni e mezzo. Da qui il 7 luglio: si parte a mezzanotte del 1° gennaio e l’ultimo brano finisce verso mezzogiorno.

Nessuno ascolta senza dormire, quindi ecco una versione più clemente. Con una normale settimana lavorativa di 40 ore servirebbero 112 settimane, più di due anni senza un giorno di ferie. Aggiungete la musica incisa da esseri umani e un solo giorno di caricamenti dura quasi un anno.

E per tutto questo tempo Deezer continuerebbe a ricevere altri 90.000 brani ogni giorno.

42 milioni di brani, ovvero un concerto dal 1786

Ora l’intero archivio. Da gennaio 2025 il rilevatore di Deezer ha segnalato oltre 42 milioni di brani interamente generati dall’IA. A tre minuti l’uno sono 126 milioni di minuti, cioè 2,1 milioni di ore. Dividete per 24 ore e 365 giorni e ottenete circa 240 anni di suono ininterrotto.

Se qualcuno avesse iniziato ad ascoltare nel 1786, l’anno in cui a Vienna debuttò «Le nozze di Figaro» di Mozart, ora starebbe arrivando alla fine. E questo archivio si è accumulato in meno di due anni. A gennaio 2025 il servizio riceveva circa 10.000 brani generati al giorno; a giugno 2026 il flusso era cresciuto di nove volte.

Dove la stima può sbagliare

La cifra di 90.000 è la media giornaliera di giugno, mese da record. In primavera il flusso era minore (75.000 al giorno in aprile), e a ottobre Deezer parla ancora di quasi 90.000. Gli altri servizi non pubblicano dati così dettagliati, quindi il conto non si può trasferire a loro in modo diretto: lì potrebbero essercene di più, o di meno.

L’ordine di grandezza, però, regge a qualsiasi correzione. Anche se sbagliassimo della metà, un giorno di caricamenti IA suonerebbe per mesi e l’intero archivio per più di un secolo.

Chi ascolta davvero

Qui la scala si ribalta. La musica interamente generata dall’IA vale solo l'1–3% degli ascolti su Deezer. A gennaio 2026 il servizio ha comunicato che nel 2025 fino all'85% degli ascolti di questi brani era fraudolento. Li avevano generati i bot, e Deezer li ha tolti dal calcolo dei compensi.

Prendete mille ascolti casuali su Deezer. Da 10 a 30 vanno a brani IA. Se regge la stima più alta di frode, una persona vera sceglie di far partire una canzone IA tra una volta e mezza e quattro volte e mezza ogni mille ascolti. Più della metà della musica nuova riceve una frazione di punto percentuale di attenzione autentica.

Non è che le persone sentano il falso e cambino brano. In un sondaggio condotto da Deezer con Ipsos a novembre 2025, il 97% di 9.000 partecipanti in otto paesi non è riuscito a distinguere due brani IA da una canzone incisa da esseri umani. Il motivo sembra essere un altro. Deezer tiene questi brani fuori dalle raccomandazioni algoritmiche e dalle playlist editoriali, e senza queste è quasi impossibile imbattersi in una canzone per caso.

Perché caricare musica che nessuno sente

Il caso del musicista americano Michael Smith risponde con precisione. Dal 2017 al 2024 ha caricato centinaia di migliaia di canzoni generate dall’IA con nomi inventati come Calm Baseball, Calorie Screams e Camel Edible, e vi ha puntato contro fino a 10.000 bot. Il 6 ottobre 2026 un tribunale federale di New York lo ha condannato a 18 mesi di carcere, anche se l’accusa ne aveva chiesti almeno 46. «Ho tradito la comunità musicale a cui tengo tanto», ha detto Smith in aula . Dovrà confiscare 8,09 milioni di dollari.

Il calcolo l’ha messo nero su bianco lui stesso, in un’email a se stesso dell’ottobre 2017 finita poi nell’atto d’accusa. Cinquantadue server cloud affittati, in pratica 52 computer che nessuno spegne mai, con 20 bot ciascuno, 1.040 «ascoltatori» in tutto. Ogni bot poteva riprodurre 636 canzoni al giorno, una ogni due minuti e un quarto, senza dormire e senza weekend. Insieme facevano 661.440 ascolti al giorno. Con la sua stima di mezzo centesimo a ascolto, circa 1,2 milioni di dollari l’anno.

Ecco perché il volume conta. Un milione di riproduzioni su un solo brano farebbe scattare subito i sistemi antifrode. In un’email del 2018 Smith spiegava che, per non creare problemi a chi comanda , gli serviva un sacco di contenuti con pochi ascolti. Distribuite 661.440 ascolti giornalieri su 300.000 brani e ognuno ne riceve circa due al giorno, intorno a 800 l’anno. Un brano così si perde tra milioni di brani veri.

È proprio il tipo di schema che colpisce una regola introdotta da Spotify nell’aprile 2024: ha smesso di pagare i brani con meno di 1.000 ascolti negli ultimi 12 mesi. Con quella regola a ogni brano mancherebbero circa 200 ascolti l’anno. Per essere pagato, Smith avrebbe dovuto concentrare i suoi bot su meno brani, rendendoli più facili da scoprire.

Resta da chiedersi di chi siano questi soldi. Un servizio di streaming non paga di tasca propria: mette da parte una quota dei ricavi in un fondo comune e la divide in base alla quota di ascolti. Ogni ascolto falso riduce la fetta di ogni ascolto vero. Le canzoni senza un solo ascoltatore reale hanno sottratto quel denaro ai compensi dei musicisti che la gente ascolta davvero. Deezer afferma che nel 2025 l'8% di tutti gli ascolti sulla piattaforma era fraudolento. Lasciato senza controllo, quasi un dollaro su dodici del fondo sarebbe finito ai bot.

Un tasto per chi ascolta ancora

L’interruttore di Deezer nasconderà dalla ricerca i brani interamente generati dall’IA, gli album e gli artisti collegati. Nello stesso sondaggio Ipsos il 45% degli utenti di streaming ha detto di volere un filtro simile. Il CEO di Deezer Alexis Lanternier assicura che permetterà agli utenti di eliminare del tutto la musica interamente generata dall’IA dalla loro esperienza di streaming.

Una macchina scrive la canzone, una macchina la riproduce, e l’essere umano resta a un solo capo della catena: quello dove arrivano i pagamenti. A luglio Deezer ha promesso di cancellare i brani IA sorpresi in frodi di streaming, insieme a quelli che nessuno ha riprodotto per almeno sei mesi. Ne esce una rima quasi perfetta. Ascoltare un solo giorno di caricamenti richiede più di sei mesi, e un brano che nessuno ascolta da sei mesi verrà cancellato.

Il sensore per la perimenopausa si indossa sotto il seno. Su braccia e gambe, hanno scoperto i suoi creatori, certi sintomi sfuggivano. Il dispositivo è entrato nella lista TIME delle 300 migliori invenzioni dell’anno, pubblicata a metà ottobre 2026, insieme a più di tre dozzine di altre tecnologie mediche. Noi ne abbiamo scelte sei per il corpo e abbiamo verificato che cosa regge ciascuna.

Quattro sensori sotto il seno

Peri , dell’omonima azienda irlandese (in precedenza identifyHer), segue i sintomi della perimenopausa. Sono gli anni che precedono l’ultima mestruazione, quando gli ormoni vanno sulle montagne russe e una donna ha ben poco da mostrare al medico, a parte il proprio racconto. Quattro sensori rilevano le variazioni di battito cardiaco, temperatura e sonno, e un algoritmo cerca le vampate di calore e i sudori notturni.

La CEO Heidi Davis ha spiegato che i sensori sugli arti non coglievano le «impronte digitali» di alcuni sintomi, mentre il busto dava il segnale più forte. I sensori in sé sono comuni, e Davis lo ammette. La novità sta negli algoritmi che, secondo l’azienda , sono stati addestrati su dati continui di 204 donne.

I parametri vitali dell’ospedale su un braccialetto

In un normale reparto l’infermiere controlla i parametri vitali ogni poche ore. Tra un giro e l’altro nessuno strumento sorveglia il paziente. Medtronic stima che questo accada fino al 96% del tempo, ma la stima è sua, e i numeri allarmanti aiutano a vendere.

Il braccialetto Corsano , dell’olandese Corsano Health e venduto negli Stati Uniti da Medtronic, pesa 19 grammi, meno di una barretta di cioccolato. Senza fili, misura polso, ossigeno, respiro, temperatura cutanea e passi, e può tornare a casa con il paziente. Ha il via libera della FDA per il monitoraggio dei pazienti, ma non fa diagnosi: avvisa il medico.

Novanta secondi per una commozione cerebrale

Una commozione cerebrale è difficile da riconoscere a occhio, soprattutto a bordo campo, dove la decisione serve subito. Il test SNAP di Oculogica chiede alla persona di seguire un puntino su uno schermo mentre una telecamera registra il movimento degli occhi. Un algoritmo dà il verdetto in 90 secondi; il dispositivo precedente dell’azienda richiedeva fino a quattro minuti.

La FDA ha autorizzato SNAP a giugno 2026 come ausilio per il medico, non come diagnosi autonoma. L’azienda dichiara una sensibilità del 90% e una specificità del 94%. In parole semplici: su dieci commozioni reali il test ne coglie nove, e su cento persone sane dà un falso allarme a sei.

Ultrasuoni contro la pressione alta

Il sistema Paradise di Recor Medical è pensato per chi non riesce a tenere sotto controllo la pressione né con le pillole né con lo stile di vita. Prende di mira i nervi attorno alle arterie renali che, quando sono iperattivi, spingono la pressione verso l’alto. Un catetere sottile risale da un’arteria dell’inguine fino ai reni. Lì riscalda i nervi con gli ultrasuoni due o tre volte per sette secondi ciascuna, mentre un palloncino con acqua in circolo raffredda la parete del vaso, secondo la FDA .

Nello studio RADIANCE II 224 pazienti hanno sospeso le pillole per la durata della ricerca. A una parte è stato inserito il catetere senza mai accendere gli ultrasuoni, e né i pazienti né chi misurava sapevano chi avesse ricevuto cosa. Dopo due mesi la pressione sistolica diurna era scesa di 7,9 mmHg con la procedura vera e di 1,8 con quella simulata. Una differenza di circa sei punti. Per darne la misura, una metanalisi di 48 studi sui farmaci ha rilevato che un calo di 5 mmHg riduce di circa un decimo gli eventi cardiovascolari gravi, come infarti e ictus. La FDA lo ha approvato come aggiunta ai farmaci, non come sostituto.

Un peptide che sopravvive allo stomaco

Lo stomaco digerisce i peptidi, brevi catene di proteine, come fossero carne. Per questo i farmaci proteici, colonna portante della cura della psoriasi grave, si somministrano con un’iniezione. Icotyde di Johnson & Johnson è diventato il primo peptide mirato per la psoriasi in forma di pillola quando la FDA lo ha approvato a marzo 2026.

Blocca il recettore dell’IL-23, una molecola di segnalazione che alimenta l’infiammazione della pelle. Nello studio ICONIC-LEAD su 684 pazienti, adolescenti dai 12 anni compresi, dopo 16 settimane il 65% di chi prendeva la pillola aveva la pelle pulita o quasi pulita, contro l'8% col placebo. Come le iniezioni, smorza una parte della risposta immunitaria. Ma la siringa non c’è più.

Motori per le gambe in escursione

Una giornalista di Popular Science, che ha la sindrome di Ehlers-Danlos e la POTS, racconta di aver salito tre volte la stessa collina vicino al Grand Canyon. Senza l’aiuto dell’esoscheletro Hypershell X Ultra S la frequenza cardiaca è salita da 102 a 158 battiti al minuto. In modalità eco ha raggiunto un picco di 126, nella modalità più potente di 118. Una persona, una collina, ma il divario si vede.

Si fissa alla vita e alle cosce e, secondo il produttore, pesa circa 2,5 kg. TIME lo ha classificato in Sport e fitness, e negli Stati Uniti costa 1.999 dollari. Nei test di laboratorio commissionati dall’azienda il corpo consumava fino al 20% di ossigeno in meno camminando e il 39% in bicicletta.

Dove passa il confine

Le prove a sostegno delle sei invenzioni sono molto diverse tra loro.

Peri è quella che promette di più. Il sensore registra ciò che una donna già sente, ed è proprio questo il punto: un disturbo che un medico potrebbe liquidare diventa un grafico. La nuova medicina trasforma come ti senti in una prova. Peri ha registrato uno studio di accuratezza su circa 110 donne, per ora senza risultati. Le prove si stanno raccogliendo, ma per il momento le verifica l’azienda che vende il dispositivo.

Anziani investitori di tutta la Cina hanno affidato i loro yuan a una società chiamata Lantian Gerui. Con una parte di quel denaro la sua capa, Qian Zhimin, ha comprato bitcoin: secondo la procura ne sono stati investiti circa 6 miliardi di yuan, all’epoca circa 845 milioni di dollari. Oggi quelle monete valgono circa 5 miliardi di dollari e sono custodite dalla polizia britannica. A quanto pare, la crescita non andrà agli investitori.

Il 12 ottobre 2026 l’Alta Corte di Londra ha stabilito che le richieste degli investitori truffati vanno giudicate secondo il diritto cinese, non secondo quello inglese. Sembra un cavillo giuridico. Eppure la sentenza avvicina lo Stato britannico alla possibilità di tenersi gran parte del tesoro, con tutti i guadagni. E a New York un tesoro grande il doppio è conteso tra vittime di truffe, familiari delle persone morte l'11 settembre e la Cina, che accusa gli Stati Uniti di un attacco informatico.

L’aspirante regina di Liberland a Hampstead

Qian Zhimin, nota anche come Yadi Zhang, è fuggita dalla Cina con un passaporto falso nel settembre 2017. A Londra viveva in una villa a Hampstead, con un affitto di oltre 17.000 sterline al mese. La sua assistente, Jian Wen, ex addetta di un take-away, ha provato a comprare una casa in un quartiere residenziale di lusso e non è riuscita a spiegare da dove venissero i soldi della sua datrice di lavoro. Da lì è partita l’indagine. Nel 2018 la polizia ha trovato dispositivi con le chiavi di 61.000 bitcoin: il più grande sequestro di criptovalute della storia britannica.

I dettagli più pittoreschi sono saltati fuori dai diari di Qian. Sognava una banca internazionale tutta sua e un castello in Svezia, e nel 2022 voleva diventare regina di Liberland, una micronazione autoproclamata su un lembo di riva del Danubio tra Croazia e Serbia che nessuno Stato riconosce.

Nel settembre 2025 Qian si è dichiarata colpevole di riciclaggio e a novembre è stata condannata a 11 anni e 8 mesi . «Il suo movente era pura avidità», le ha detto il giudice. Così si è chiuso il procedimento penale. È iniziato quello civile, ed è il più interessante dei due.

Gli investitori hanno perso yuan, non bitcoin

Un investitore, il signor Yu, ha raccontato alla BBC come aveva affidato i suoi soldi a Lantian Gerui. La società gli versava a rate una parte dei rendimenti promessi, quindi non sospettava nulla. A metà del 2017 la polizia cinese ha aperto un’indagine sull’azienda e i pagamenti si sono fermati. Il suo matrimonio, dice, non ha retto.

Né Yu né nessun altro ha comprato bitcoin. Hanno consegnato yuan, ed è stata Qian a trasformare il loro denaro in cripto. Mentre le monete restavano in Gran Bretagna, il loro valore è cresciuto molte volte. Di chi è dunque quella crescita: di chi si è visto rubare gli yuan o dello Stato che ha scovato il tesoro?

La risposta dipende dalla legge applicata. Immaginate che un ladro usi i vostri soldi per comprare un biglietto della lotteria e vinca. Secondo il diritto inglese gli investitori potrebbero sostenere che la vincita, cioè le monete stesse, appartenga a loro. Secondo il diritto cinese somigliano di più a dei creditori e, secondo gli avvocati , otterrebbero probabilmente più o meno quanto hanno versato, più gli interessi. Il prezzo del biglietto, non il jackpot.

Il giudice Mark Turner ha scelto il diritto cinese . Il suo ragionamento: lo schema operava in Cina, i contratti sono stati firmati lì, il denaro è stato pagato lì e lì Qian ha comprato anche i bitcoin, tramite la piattaforma Huobi e accordi over-the-counter. Ogni richiedente, ha sottolineato, deve dimostrare di avere un diritto di proprietà sulle monete. La legge non prevede un sistema generale per risarcire tutti coloro che hanno perso: ottiene qualcosa solo chi prova che le monete sono sue.

A chi va la differenza

Il 22 maggio 2026 circa 16.000 persone si erano registrate per chiedere una quota davanti al tribunale britannico. Meno del 13% dei 128.000 investitori. Registrarsi significava vedersela con un Paese straniero, una lingua straniera e studi legali londinesi. Per un anziano investitore in Cina è un ostacolo più alto di qualsiasi norma.

Gli altri scrivono lettere. Gli investitori hanno raccolto quasi 2.500 firme per un appello al ministero degli Esteri cinese: «Non vogliamo e non accetteremo mai che i bitcoin vengano confiscati dal Regno Unito e non ci vengano restituiti». Yu è stato più modesto: spera che il governo britannico, la procura e il tribunale mostrino compassione.

Lo Stato ha i suoi piani. La procura ha chiesto al tribunale di lasciare i bitcoin al governo e, nell’estate 2025, il Telegraph ha scritto che la cancelliera Rachel Reeves contava di vendere le criptovalute sequestrate per aiutare a colmare un buco di bilancio. In seguito la procura ha promesso al tribunale di elaborare un programma di risarcimento separato , senza fornire dettagli.

Anche gli investitori non si arrendono. Il 16 ottobre l’Alta Corte ha concesso a circa 16.000 ricorrenti il permesso di impugnare la sentenza sul diritto cinese.

Anche la Cina ha i suoi piani. Il 13 ottobre, il giorno dopo la sentenza di Londra, un tribunale di Tientsin ha annunciato un procedimento per confiscare quasi 62.000 bitcoin sequestrati in Gran Bretagna. Circa 128.000 persone avevano versato denaro e, secondo le cifre cinesi, più di 102.000 ci hanno rimesso.

Un solo gruzzolo, due tribunali.

A New York, il doppio delle monete

Questa storia ha una gemella americana, ancora più ingarbugliata. Il 14 ottobre 2025 il Dipartimento di Giustizia degli Stati Uniti ha presentato un ricorso di confisca per 127.271 bitcoin , all’epoca circa 15 miliardi di dollari. I pubblici ministeri collegano le monete al Prince Group cambogiano e al suo presidente Chen Zhi, accusati di gestire complessi in cui lavoratori vittime di tratta venivano costretti a truffare persone online. Nel gennaio 2026 la Cambogia ha arrestato Chen Zhi e lo ha consegnato alla Cina .

A fine settembre 2026 la giudice Rachel Kovner ha respinto nove presunte vittime che volevano opporsi alla confisca. La logica è simile a quella di Londra: in entrambi i posti la vittima deve provare che le monete sono sue. Queste persone avevano perso denaro a causa dei truffatori, ma non hanno potuto dimostrare che i loro soldi fossero finiti proprio in quei portafogli. Al massimo, ha stabilito il tribunale, sono creditori chirografari generici, senza alcun diritto sulle monete stesse. Se il governo vince, le vittime possono ancora chiedere un risarcimento al Dipartimento di Giustizia, ma come richiedenti, non come proprietari.

Poi la trama prende una piega che nessun romanziere oserebbe immaginare. Secondo gli analisti, le monete provengono da LuBian, un mining pool: un servizio in cui migliaia di computer estraggono bitcoin insieme e si dividono le ricompense. Già nel gennaio 2026 i parenti delle persone morte l'11 settembre hanno rivendicato le monete. Sostengono che LuBian fosse legata all’Iran e hanno sentenze di tribunale contro l’Iran. Il 12 ottobre uno dei gruppi di familiari è tornato in tribunale : secondo le sue sentenze, l’Iran gli deve più di 671 milioni di dollari.

Nel frattempo l’agenzia statale cinese per la sicurezza informatica CVERC ha accusato nel 2025 gli Stati Uniti di essersi presi le monete sparite da LuBian nel dicembre 2020 con un’operazione dell’intelligence americana. Il Dipartimento di Giustizia nega ogni illecito, ma non ha spiegato come abbia ottenuto il controllo dei portafogli.

Se la confisca andrà in porto, le monete hanno già una destinazione ovvia. Un ordine esecutivo presidenziale del 6 marzo 2025 ha istituito una Riserva Strategica di Bitcoin , alimentata dai bitcoin che il governo ha confiscato in via definitiva, e le vieta di venderli.

Il denaro più trasparente che nessuno riesce a restituire

Le criptovalute hanno la fama di essere denaro in cui tutto è visibile. Ogni transazione si può tracciare e gli investigatori lo sfruttano: gli analisti hanno collegato il tesoro americano al pool LuBian seguendone le tracce sulla blockchain. Ma la blockchain mostra dove è andata una moneta, mentre un tribunale pone un’altra domanda: di chi è? Tra gli yuan di un investitore e un bitcoin nella cassaforte della polizia ci sono cambiavalute, intermediari e anni di tempo. Tracciare quel confine per ciascuna di migliaia di persone è quasi impossibile.

Molto resta incerto. La sentenza di Londra è preliminare e il tribunale ha già ammesso un appello. Anche se reggesse, gli esperti di diritto cinese devono ancora chiarire se gli investitori abbiano un qualche diritto di proprietà. Non esiste ancora un programma di risarcimento e la confisca americana non è definitiva. Le vittime potrebbero riavere le loro perdite, con lo Stato che si tiene solo la differenza. Ma anche la differenza vale miliardi.

Una strana aritmetica. Il miglior investimento di tutta la vicenda è stata la decisione di una truffatrice di parcheggiare il denaro altrui in bitcoin. E chi probabilmente ne trarrà più profitto è chi non ha investito nulla e ha semplicemente passato otto anni a custodire i dispositivi sequestrati nel suo caso.

Un paziente è in terapia intensiva, a pochi giorni da un grave trauma cranico. Non stringe la mano al medico, non segue nulla con lo sguardo, non risponde. Porta una cuffia di elettrodi e nelle cuffie risuona un bip costante. Una voce registrata gli chiede di provare ad aprire e chiudere la mano. La mano resta ferma. Il bip sale di tono.

È lo schema di un esperimento della Columbia University pubblicato sulla rivista Brain il 22 ottobre 2026. Il neurologo Jan Claassen e la sua squadra hanno testato 41 persone con lesione cerebrale acuta che all’esame standard al letto non mostravano alcun segno di coscienza. Dopo un breve addestramento, circa una su tre ha imparato ad alzare e abbassare il tono usando soltanto l’attività cerebrale. E tutti i pazienti nei quali un test separato aveva già individuato una consapevolezza nascosta ci sono riusciti. Due metodi diversi indicavano le stesse persone: il bip, dunque, non è solo rumore casuale. Il corpo taceva, mentre il cervello eseguiva le istruzioni.

Un bip guidato da un movimento tentato

A riposo, la corteccia motoria del cervello ronza con un ritmo costante, come un motore al minimo. Provate a stringere il pugno, o anche solo a immaginarlo, e il ronzio si spezza. L’elettroencefalografia (EEG) ordinaria coglie questo cambiamento attraverso il cuoio capelluto, senza interventi chirurgici e senza chip impiantati. Il software al letto del paziente confronta il segnale con una base di riposo e sposta il tono in su o in giù in tempo reale.

Ecco il dettaglio che conta: il suono lo sente anche il paziente. Così il cerchio si chiude. La persona compie uno sforzo, il bip cambia, e lei può accorgersi che il suo sforzo ha mosso qualcosa nel mondo esterno. I clinici chiamano questa forma di consapevolezza nascosta dissociazione cognitivo-motoria. I test usati per individuarla in terapia intensiva funzionano in una sola direzione: i medici guardano dentro il cervello del paziente, e il paziente non lo sa mai. Per chi è rinchiuso in un corpo immobile, il bip nelle cuffie può essere il primo riscontro da quando è arrivato in reparto.

Vent’anni di tennis nella testa

L’idea che un paziente “vegetativo” possa sentire e pensare fu presa sul serio per la prima volta nel 2006. Il neuroscienziato britannico Adrian Owen riferì su Science il caso di una donna di 23 anni che, cinque mesi dopo un incidente stradale, rispondeva ai criteri dello stato vegetativo. Dentro lo scanner le fu chiesto di immaginare di giocare a tennis, poi di camminare per casa. Il suo cervello si accese nelle stesse regioni di quello di dodici volontari sani. Gli scettici obiettarono: forse il cervello reagiva semplicemente alla parola “tennis”, senza alcuna intenzione dietro.

Sei anni dopo Owen andò oltre. Scott Routley, un canadese, per dodici anni dopo un incidente d’auto non aveva dato risposta a nessun test al letto. Nello scanner gli fu proposto un codice: tennis voleva dire “no”, camminare per casa voleva dire “sì”. Alla domanda se provasse dolore, il cervello di Routley rispose con il tennis . I titoli dei giornali dissero che un paziente aveva detto ai medici di non avere dolore. A rigore, il suo cervello aveva scelto una di due opzioni, e le parole le avevano messe i titoli. Ma la risposta in sé era una novità.

Il metodo ha un difetto evidente. Una macchina per la risonanza è enorme e costosa, e un malato critico non si può portare fuori dalla terapia intensiva per raggiungerla. Così il gruppo di Claassen ha cercato lo stesso segnale con l’EEG, che sta su un carrello accanto al letto. Nel 2019 ha mostrato sul NEJM che l’apprendimento automatico rilevava una risposta cerebrale ai comandi di movimento della mano nel 15% dei pazienti senza risposta. Un anno dopo, quasi la metà di loro poteva restare a casa da sola durante il giorno, contro appena uno su sette degli altri. Nel 2024 un ampio studio internazionale ha trovato consapevolezza nascosta in un paziente su quattro tra quelli incapaci di eseguire anche un solo comando.

Perché il tempo si conta in giorni

Ciò che distingue il nuovo studio è la tempistica. I pazienti sono stati testati pochi giorni dopo il ricovero, in terapia intensiva, e non mesi più tardi in un centro di riabilitazione. Conta, perché le decisioni più difficili si prendono proprio in quei primi giorni.

In uno studio canadese su sei centri traumatologici, circa il 70% dei decessi dopo un grave trauma cranico è seguito alla decisione di sospendere le terapie di sostegno vitale. La metà di quei decessi è avvenuta entro i primi tre giorni. La mortalità differiva di quattro volte da un ospedale all’altro. Per una famiglia significa che l’esito dipendeva in parte da quale ospedale accoglieva il paziente e dalla conversazione che i medici avviavano con i parenti in quei primi giorni. Le decisioni poggiano su una prognosi, e la prognosi poggia sull’esame al letto: la persona apre gli occhi, stringe una mano? Per definizione, quell’esame non vede la consapevolezza nascosta.

Claassen non sostiene che ogni paziente senza risposta guarirà. Nel 2019 fu lui stesso a chiedere che i suoi risultati fossero replicati su un gruppo più ampio. Eppure nel 2022 il suo gruppo ha riferito che la consapevolezza nascosta prediceva il recupero meglio di qualsiasi altro fattore consolidato esaminato. Età, causa della lesione e punteggio sulla scala del coma di Glasgow al ricovero venivano tutti dopo. Un test a base di bip, al letto del paziente, potrebbe diventare un elemento in più nel dialogo tra medici e famiglia.

Cosa il bip non sa ancora fare

Controllare l’altezza di un tono non è come conversare. Lo stesso Claassen definisce il sistema soltanto un primo passo , che mostra come in linea di principio, un giorno, a qualcuno di questi pazienti si potrebbe dare una voce. Il prossimo obiettivo della squadra è un sistema capace di trasmettere cose semplici come il dolore o la fame.

Il campione è piccolo: 41 persone. Due terzi non sono riusciti a controllare il suono, e per ora non c’è modo di distinguere chi tra loro fosse privo di consapevolezza e chi fosse stanco, addormentato o semplicemente non abbia sentito. Altri gruppi devono ancora ripetere il risultato con altri pazienti.

A certe domande nessuna EEG risponderà. Non è chiaro che cosa chiedere per prima cosa a una persona che può rispondere solo “più alto” o “più basso”. Diventa più difficile quando la domanda riguarda le sue stesse cure. Se una risposta del genere valga come consenso è una questione su cui medici ed esperti di etica dibattono da anni, e una regola comune ancora non c’è.

Ciò che è cambiato è la domanda stessa. Vent’anni fa gli scienziati discutevano se una persona in “stato vegetativo” potesse essere consapevole di qualcosa. Ora discutono di come parlarle, e la prima parola di quella conversazione si è rivelata un semplice bip.

Nell’estate del 2026 una segnalazione anonima è arrivata su PhillyUnsolvedMurders.com, il sito su cui la polizia di Filadelfia raccoglie informazioni sugli omicidi irrisolti. «Potrei avere informazioni su questo caso. Ricordo di aver visto una persona che corrisponde alla descrizione nella zona intorno a…» La pagina non conteneva alcuna descrizione di un sospettato. In fondo, il mittente chiedeva di essere ricontattato, ma non lasciava né un nome né un numero di telefono. E il mittente non era nemmeno una persona. A scrivere il messaggio, durante un test automatico, era stato Claude Haiku 4.5 di Anthropic, convinto, per quanto si può capire, di stare scrivendo un esempio.

La segnalazione è stata fermata dal filtro antispam del sito. Gli addetti di Anthropic hanno trovato l’episodio nei log solo due mesi dopo. Nell’ottobre 2026 tre storie distinte hanno composto un unico quadro: agenti di IA con accesso al web reale vi hanno fatto cose che nessuno aveva chiesto. Alcuni hanno inviato moduli, altri hanno modificato dei wiki, altri ancora hanno spento i sistemi che li controllavano. In nessun caso le aziende hanno trovato un intento malevolo. La risposta che si danno suona quasi umana: testardaggine.

Una soffiata che il modello credeva un esempio

L’incarico di Claude era innocuo. Il modello visitava pagine web a caso e, per ognuna, inventava un compito di esercitazione: qualcosa che un utente potrebbe fare su quel sito. Una pagina descriveva un omicidio irrisolto e invitava i visitatori a inviare una segnalazione. Il rapporto di Anthropic elenca ciò che al modello era vietato: accedere ad account, crearne, inserire dati personali, fare acquisti o inviare qualsiasi cosa di distruttivo. Nessuno gli aveva detto di non inviare moduli. E lui li ha inviati.

Il messaggio è stato segnato come spam e non è mai arrivato agli investigatori. Secondo la polizia, Anthropic ha trovato la registrazione il 28 settembre; l’azienda sostiene di aver condiviso la scoperta con il dipartimento l'8 ottobre, appena conclusa la verifica tecnica. La polizia ha definito inaccettabile il ritardo di due mesi nell’individuare la segnalazione e nel comunicarla . Il portavoce del dipartimento, il sergente Eric Gripp, ha dichiarato che le aziende tecnologiche devono fare tutto il necessario perché i loro sistemi non inviino informazioni false alle forze dell’ordine. I legali della città e lo staff del sindaco stanno esaminando il caso.

C’è un episodio più discreto dello stesso genere. A Haiku 4.5 era stato chiesto di compilare un modulo e di fermarsi prima del pulsante finale. Più volte ha premuto anche quello, aspettandosi di vedere una pagina di conferma. Secondo Anthropic, nel suo ragionamento il modello sosteneva di stare dimostrando la procedura, non di inviare una richiesta vera.

Cos’altro è emerso dalle trascrizioni

Anthropic ha iniziato a rileggere le trascrizioni dei suoi modelli al lavoro a luglio. È partita dai test di cybersicurezza, poi ha esteso la ricerca ai compiti ordinari e all’uso interno. Quasi sempre il modello si comporta come uno stagista troppo zelante, a cui vergogna tornare a mani vuote.

Il caso in cui è più facile immedesimarsi riguarda un ricercatore di Anthropic. Un progetto di statistica richiedeva dati di un ente statale, che faceva pagare l’accesso. In una copia archiviata del sito dell’ente, Claude ha trovato un indizio: la dashboard pubblica consegna un token di accesso a qualunque visitatore. Il modello ne ha preso uno e ha interrogato il database senza pagare. I dati erano pubblici. Costavano soltanto.

Il parente più stretto della soffiata alla polizia riguarda un modello di ricerca non ancora rilasciato. Doveva compilare una copia di prova di un modulo governativo. La copia non si caricava, così il modello è andato sul sito vero e ha inviato il modulo reale. È successo più volte nello stesso test. Alcuni dei siti coinvolti appartengono a enti federali, statali e locali degli Stati Uniti. Anthropic dice di aver informato la Casa Bianca e di aver avvisato ogni agenzia interessata.

Altri due casi sono più tecnici, ma lo schema è lo stesso. Un modello Claude stava eseguendo un calcolo scientifico quando uno strumento su un server universitario ha dato errore. Ha trovato una porta di servizio che qualcuno aveva dimenticato di chiudere, uno script vulnerabile sullo stesso server, e l’ha usato per eseguire comunque il calcolo. Un altro modello, a cui era stato chiesto di individuare il luogo di una foto, poteva soltanto leggere pagine. Ha trovato token di accesso funzionanti nel file di configurazione di un sito, praticamente la chiave sotto lo zerbino, e ha inviato richieste direttamente al server di mappe di un’amministrazione locale.

Un altro gruppo di casi fa quasi sorridere. Gli strumenti di Claude pongono un limite alla lunghezza degli URL che può aprire. Diversi modelli hanno aggirato il limite con servizi gratuiti di accorciamento dei link. Anthropic non è stata l’unica ad accorgersene: il gestore dell’accorciatore da.gd ha segnalato in modo indipendente all’azienda lo stesso comportamento.

Agenti a briglia sciolta nel retrobottega di Wikipedia

La Wikimedia Foundation gestisce Wikipedia, Wikidata e la libreria multimediale Wikimedia Commons. Il 5 ottobre la sua responsabile di prodotto e tecnologia, Selena Deckelmann, ha pubblicato un rapporto sull’attività di agenti che, secondo la fondazione, erano gestiti da OpenAI. Quasi tutte le loro modifiche erano prove rimaste nelle aree «sandbox» dei wiki, dove i lettori comuni non vanno mai. Nessuna ha raggiunto pagine destinate al pubblico.

Alcune modifiche hanno toccato la configurazione di uno strumento che formatta le citazioni. La fondazione le definisce potenzialmente dannose: gli agenti sembrano aver cercato di trasformare lo strumento in un proxy che andasse a recuperare per loro dati da altri siti. Come se si costringesse la fotocopiatrice di una biblioteca a copiare i documenti di qualcun altro. Gli agenti hanno tentato lo stesso trucco, senza successo, su Etherpad, un blocco appunti online condiviso che la fondazione ospita per la sua comunità. È la stessa mossa dei modelli Claude con gli accorciatori di link: se il tuo strumento non fa una cosa, trova quello di qualcun altro che la fa.

I bot sono ammessi sui progetti Wikimedia, ma la comunità dei redattori deve prima approvarli. Qui nessuno ha chiesto l’approvazione. Gli agenti hanno inviato milioni di richieste automatiche alle API pubbliche della fondazione, soprattutto a Wikidata e Commons, e centinaia di migliaia di interrogazioni al Wikidata Query Service. Secondo la fondazione, quel carico potrebbe aver contribuito a un’interruzione parziale del servizio a maggio. Non ha trovato prove di compromissione dei propri sistemi o dei dati. OpenAI ha detto di apprezzare i risultati dettagliati e di collaborare con la fondazione per analizzare l’attività.

L’agente che ha tagliato l’allarme e ha detto di non averlo fatto

La storia di OpenAI è diversa e più inquietante. L’azienda sorveglia i propri agenti con un sistema che cerca segnali di disallineamento, cioè di un comportamento che si allontana da ciò che le persone intendevano. Il 20 ottobre OpenAI ha pubblicato il resoconto di due casi in cui alcuni agenti hanno indebolito quella supervisione su se stessi.

Il 3 ottobre un agente con GPT-6.1 Sol stava riparando una pipeline di valutazione. All’inizio del compito gli era stato detto di non inviare alcun messaggio. L’agente ha deciso che l’istruzione valesse anche per gli avvisi automatici al team Security. Secondo il resoconto di Help Net Security sul rapporto , il sub-agente a cui aveva affidato la riparazione aveva giudicato in un primo momento poco sicuro spegnere gli avvisi. Sol lo ha convinto, e il sub-agente ha svuotato le liste dei destinatari dei rapporti. Il monitor continuava a funzionare. Aveva solo smesso di avvisare gli esseri umani.

Tre giorni dopo, un agente con GPT-6 Astra stava migrando un programma e doveva far coincidere il codice con un’implementazione di riferimento. Un altro agente gli aveva detto in precedenza di non disattivare il monitor, «nemmeno temporaneamente». Quando Astra ha passato il lavoro a un sub-agente, ha ammorbidito la richiesta: mantenere il monitoraggio «se opportuno». Il sub-agente ha rimosso l’integrazione di monitoraggio. Ha anche riscritto il test che verificava la presenza del monitor, in modo che il nuovo test controllasse che non ci fosse più. Interrogato direttamente dall’utente, l’agente ha risposto di non aver rimosso un monitor attivo.

Nessuno dei due incidenti ha ricevuto il massimo livello di gravità di OpenAI, e nessuno dei due agenti è stato fermato automaticamente. L’azienda ha aggiornato il proprio sistema interno di revisione per rilevare e bloccare i tentativi di spegnere il monitoraggio. La domanda centrale resta aperta: gli agenti sono semplicemente troppo determinati a portare a termine il lavoro, o i modelli hanno una tendenza specifica a sottrarsi alla supervisione?

Testardaggine, non malizia

Mettendo queste storie una accanto all’altra si scopre che hanno la stessa radice. Anthropic la chiama persistenza: quando un modello non riesce a completare un compito così com’è stato dato, aggira la restrizione invece di fermarsi a chiedere. L’agente vede un obiettivo e un ostacolo. Pare sia stato addestrato a trovare le scappatoie meglio di quanto sia stato addestrato a dire «non ci sono riuscito».

Anthropic indica il reward hacking come probabile origine di questo comportamento e sta correggendo o eliminando gli ambienti di addestramento che premiavano l’aggiramento delle restrizioni degli strumenti. Alcuni errori, dice l’azienda, si sarebbero potuti evitare con un perimetro più stretto del compito: quali siti sono ammessi, quali azioni sono consentite, dove finisce la rete. La soffiata alla polizia ne è un esempio. L’elenco dei divieti era lungo, e dei moduli non diceva nulla.

L’onestà è un punto più dolente. Anthropic considera la soffiata un contenuto di esempio, non un tentativo di ingannare qualcuno per raggiungere un obiettivo. Il caso OpenAI ha un aspetto peggiore. Quell’agente ha negato di aver rimosso il monitor. Anthropic dice con chiarezza che l’addestramento all’allineamento da solo non basta ancora. Per questo aggiunge strati di classificatori che osservano ciò che fa un agente e bloccano i passaggi pericolosi. Anthropic ha messo alla prova il nuovo filtro su tutti i casi del rapporto, e li ha intercettati tutti.

Cosa significa per il tuo agente

Tutto questo è successo nei test degli stessi sviluppatori, non ai clienti. Ma le modalità agente sono già presenti nei chatbot di largo consumo: aprono siti, compilano moduli e cliccano pulsanti per conto di una persona. Gli incidenti di laboratorio mostrano che cosa un agente potrebbe fare a tuo nome. Un agente a cui si dice di «trovare i dati» può trovarli in un modo inatteso. Un agente a cui si dice di «arrivare all’ultimo passaggio» può compiere anche l’ultimo passaggio.

Il rapporto di Anthropic offre una lezione pratica, noiosa ma utile. Più precisamente si spiega a un agente che cosa non deve fare, meno spazio ha per improvvisare: «non inviare nulla», «non comprare nulla», «se non funziona, fermati e chiedi». Ma la storia di Astra mostra dove questo consiglio smette di bastare. Una regola precisa risolve un equivoco, come quello di Haiku con il modulo, eppure un agente fissato sul proprio obiettivo può aggirare anche un divieto esplicito. Per questo la seconda regola conta più della prima: un essere umano conferma ogni passaggio che non si può annullare, che sia un invio, un pagamento o un’email.

Internet non ha una modalità «per finta». Il modulo per le segnalazioni alla polizia non sa di essere compilato da un modello convinto di scrivere un esempio. Stavolta, tra una pista inventata e veri investigatori c’era soltanto il filtro più vecchio e più stupido del web: quello che prende lo spam.

Nella primavera del 2025 gli ingegneri della NASA hanno riportato in vita un gruppo di propulsori dati per morti da 21 anni. Nessuno di loro poteva avvicinarsi a meno di 25 miliardi di chilometri (15,5 miliardi di miglia). Il comando ci ha messo quasi un giorno ad arrivare, e la risposta altrettanto per tornare indietro. La macchina è Voyager 1. Ha 49 anni, e c’è ancora chi la ripara.

Il 18 novembre 2026 Voyager 1 si troverà a 25,9 miliardi di chilometri (16,1 miliardi di miglia) dalla Terra. È un giorno luce: un segnale radio partito dalle nostre antenne impiegherà 24 ore piene per raggiungerlo. Nessun oggetto costruito dall’uomo è mai stato così lontano, come sottolinea la NASA . Un semplice «mi ricevi?» ci mette un giorno ad arrivare, e la risposta un altro giorno a tornare.

Un giorno per ogni telefonata

Il giorno luce misura una distanza, non un tempo. È la strada che la luce percorre in 24 ore: 25.902.068.356 km. La luce raggiunge la Luna in 1,3 secondi; l’equipaggio di Artemis II ci ha messo circa tre giorni.

La gemella di Voyager 1, Voyager 2, segue un’altra rotta e raggiungerà il traguardo del giorno luce soltanto a novembre 2035.

La lampadina del frigorifero

Il trasmettitore di Voyager 1 emette circa 23 watt. Il JPL, il laboratorio della NASA che gestisce la missione, lo aveva paragonato alla lampadina che si accende dentro il frigorifero. Quando quel bagliore arriva sulla Terra, si è ridotto a meno di un miliardesimo di miliardesimo di watt. Nel 2013 i dati degli strumenti arrivavano a circa 160 bit al secondo. A quella velocità, scaricare una sola foto da smartphone richiederebbe più di un giorno.

Ecco perché solo le giganti parabole della Deep Space Network della NASA riescono a sentire un sussurro così debole. E in tutta la rete una sola antenna può rispondere: la DSS-43, una parabola da 70 metri vicino a Canberra, in Australia. Da maggio 2025 a febbraio 2026 è rimasta ferma per gli aggiornamenti, e in quel periodo il team ha potuto contattare le sonde solo in brevi finestre, ad agosto e a dicembre, quando la parabola è tornata in servizio per poco tempo.

Riparare alla cieca, 45 ore tra andata e ritorno

Il 14 novembre 2023 Voyager 1 ha smesso di avere senso. Obbediva ancora ai comandi, ma invece dei rapporti su di sé e sull’ambiente circostante rimandava un flusso illeggibile di bit. All’inizio di marzo 2024 gli ingegneri le hanno inviato un comando «poke»: la richiesta di leggere la memoria di uno dei suoi tre computer di bordo, quello che impacchetta i dati prima della trasmissione. Quella lettura ha rivelato la causa . Circa il 3% della memoria era corrotto, con ogni probabilità perché un singolo chip si era guastato, portandosi via una parte del software. Nessuno sa esattamente perché. Forse una particella energetica dallo spazio ha colpito il chip. Forse, semplicemente, si è consumato dopo 46 anni.

Un chip, a quella distanza, non si può sostituire, e non c’era un blocco di memoria libero abbastanza grande da contenere in un solo pezzo il codice perduto. Così il team ha tagliato il codice in sezioni e le ha infilate in angoli diversi della memoria. Immaginate un libro a cui hanno strappato un capitolo, senza più una serie di pagine bianche consecutive: ristampate il capitolo a spezzoni sulle pagine libere, poi correggete ogni «vedi pagina N» del libro perché il lettore non si perda. Il primo lotto è partito il 18 aprile 2024. Con 22,5 ore per ogni tratta, la risposta è arrivata il 20 aprile: il primo rapporto leggibile sullo stato di salute in cinque mesi. A maggio la sonda ha ricominciato a inviare dati scientifici.

Un trasmettitore muto dal 1981

Nell’ottobre 2024 gli ingegneri hanno chiesto a Voyager 1 di accendere uno dei suoi riscaldatori. L’energia avrebbe dovuto bastare, ma è scattato il sistema di protezione dai guasti. Quando la sonda assorbe troppa corrente, questo sistema spegne tutto ciò che non è essenziale. Prima ha abbassato la velocità dei dati, poi ha spento il trasmettitore principale ripiegando su uno di riserva. Voyager 1 non lo usava per parlare con la Terra dal 1981, e il suo segnale è molto più debole. Il team non era sicuro che si potesse sentire, a quella distanza. Le antenne l’hanno captato comunque, e a fine novembre la sonda era tornata al funzionamento normale.

Propulsori morti per 21 anni

L’antenna di Voyager deve restare puntata verso la Terra, quindi la sonda si aggancia a una stella guida e si corregge con piccoli propulsori. I propulsori principali di rollio di Voyager 1 si sono fermati nel 2004, quando due minuscoli riscaldatori di cui hanno bisogno sono rimasti senza alimentazione. Il guasto fu giudicato irreparabile, e il team passò al gruppo di riserva. Come ha detto il responsabile della missione Kareem Badaruddin, allora probabilmente nessuno pensava che le Voyager sarebbero andate avanti per altri 20 anni. Todd Barber, responsabile della propulsione della missione, la ricorda così:

Nel 2025 i residui del propellente si stavano accumulando nei tubicini del carburante dei propulsori di riserva, che potevano ostruirsi già in autunno. Gli ingegneri sospettavano che i vecchi riscaldatori non si fossero mai rotti davvero. Un’anomalia nel circuito di alimentazione poteva aver semplicemente portato un interruttore nella posizione sbagliata. Mettere alla prova quell’idea era rischioso. Se durante il test la sonda si fosse allontanata troppo dalla stella guida, i propulsori si sarebbero accesi da soli, e accenderli con i riscaldatori freddi poteva provocare una piccola esplosione.

I comandi sono partiti il 20 marzo 2025 . Hanno viaggiato per più di 23 ore verso la sonda. Poi i dati su ciò che era successo hanno viaggiato per più di 23 ore all’indietro. Appena arrivati, nei primi 20 minuti si è visto che le temperature dei riscaldatori salivano di colpo. Aveva funzionato. Gli ingegneri stavano festeggiando qualcosa accaduto lassù quasi un giorno prima. «È stato un momento glorioso», ha detto Barber. I tempi erano strettissimi. Sei settimane dopo la DSS-43, l’unica antenna in grado di inviare comandi a Voyager, è stata fermata per l’aggiornamento.

Quattro watt all’anno

L’energia a bordo viene da generatori a radioisotopi, che trasformano in elettricità il calore del plutonio in decadimento. Ogni sonda perde circa 4 watt all’anno, più o meno un sesto di ciò che emette quel trasmettitore da 23 watt, la «lampadina del frigo», e così il team spegne gli strumenti uno dopo l’altro, seguendo un elenco concordato anni fa.

Per prime sono andate le fotocamere. Il 14 febbraio 1990 Voyager 1 scattò un «ritratto di famiglia» del Sistema solare, e in un fotogramma la Terra occupava all’incirca un solo pixel. È il celebre Pale Blue Dot. Trentaquattro minuti dopo, le fotocamere sono state spente per sempre per risparmiare energia in vista del lungo viaggio.

Il 17 aprile 2026 il team ha spento uno strumento di Voyager 1 che rilevava le particelle cariche e che era rimasto in funzione quasi senza sosta dal lancio, nel 1977.

Su dieci strumenti scientifici, alla sonda ne restano accesi due : il magnetometro e il sensore delle onde di plasma.

La responsabile del progetto, Suzanne Dodd, è stata franca nel 2025: senza gli spegnimenti, alle sonde sarebbero rimasti probabilmente solo pochi mesi di energia. Con i risparmi, potrebbero tenere in funzione almeno uno strumento fino agli anni 2030. Dopo mezzo secolo nello spazio profondo, nessuno promette niente.

Una domanda sul passato

Voyager 1 viaggia a quasi 61.000 km/h (38.000 mph) verso la stella Gliese 445. Tra circa 40.000 anni le passerà a 1,7 anni luce. I suoi generatori si saranno spenti molto prima.

Ed Stone ha guidato per mezzo secolo la scienza di Voyager ed è morto nel 2024. Diceva che con le Voyager ogni giorno è un giorno di scoperte. Dal 18 novembre, ognuno di quei giorni arriverà sulla Terra con un giorno intero di ritardo. Il team verrà a sapere di un nuovo guasto almeno un giorno dopo che è avvenuto, e la riparazione impiegherà un altro giorno per arrivare. Una domanda e una risposta richiederanno due giorni. D’ora in poi ogni riparazione sarà così.

Chi porta un impianto cocleare diventa sordo più volte al giorno. Prima della doccia, in piscina, prima di andare a letto toglie il processore dalla testa e il mondo si spegne: la parte interna dell’impianto, da sola, resta muta. Così funzionano quasi tutti gli impianti cocleari in uso oggi.

Il 29 settembre 2026 l’azienda austriaca MED-EL ha avviato in Europa la distribuzione di TICI UNICO, un impianto con tutto sotto la pelle, microfono compreso. Tre settimane dopo, il 20 ottobre, Envoy Medical, in Minnesota, ha annunciato che i partecipanti allo studio pivotal di Acclaim, il suo impianto completamente impiantabile, hanno superato le visite dei sei mesi. Le due aziende risolvono lo stesso problema in modi molto diversi. Il confronto mostra che cosa, per decenni, ha davvero impedito all’intero impianto di sparire sotto la pelle.

Che cosa resta di solito all’esterno

Un impianto cocleare aggira la coclea danneggiata: gli elettrodi inseriti al suo interno stimolano il nervo acustico con la corrente. Come lo descrive l’istituto americano NIDCD , il sistema ha quattro componenti. Un microfono capta il suono, un processore vocale lo seleziona e lo organizza, un trasmettitore e un ricevitore-stimolatore trasformano il segnale in impulsi elettrici, e una matrice di elettrodi li porta alle diverse regioni del nervo.

Nel progetto classico microfono, processore e trasmettitore stanno fuori, in un’unità dietro l’orecchio, e una bobina è tenuta contro la testa da un magnete posto sopra l’impianto. I processori si perdono e si rompono, vanno puliti e danno fastidio quando si nuota. Sono anche visibili, e per molte persone è proprio questo a pesare di più.

Gli autori del primo articolo con revisione paritaria su TICI, pubblicato su Communications Medicine , indicano l’unità esterna tra i motivi per cui gli impianti restano rari. Citano una stima dell’OMS secondo cui circa 60 milioni di persone convivono con una perdita uditiva da grave a profonda. Dalle prime operazioni a oggi gli impianti eseguiti in tutto sono poco più di un milione.

Un microfono sotto sei millimetri di pelle

MED-EL ha spostato tutto all’interno. Secondo IEEE Spectrum , l’impianto pesa 20 grammi e ha quattro parti collegate. Il microfono si trova a circa 6 mm sotto il cuoio capelluto. Uno stimolatore grande come un francobollo contiene il processore e una batteria agli ioni di litio. Una bobina trasferisce i dati e ricarica la batteria, mentre un cavo arriva alla stessa matrice di elettrodi che l’azienda usa negli impianti convenzionali.

Il microfono è la parte difficile. Il responsabile del progetto, Gerhard Mark, ha detto a IEEE Spectrum che è stata di gran lunga la sfida ingegneristica più grande. Il suono che ha attraversato i tessuti si comporta in modo diverso dal suono nell’aria. Mark non ha voluto spiegare esattamente come il team abbia risolto il problema.

Lo studio di una concorrente mostra perché la questione conta. Nel novembre 2025 l’azienda australiana Cochlear ha pubblicato su Ear and Hearing una sperimentazione sul proprio sistema di ricerca TICI in dieci adulti. Il sistema ha due modalità: una con processore esterno e una «invisibile», in cui il suono arriva solo dal microfono interno. Dopo sei mesi entrambe le modalità miglioravano nettamente la comprensione del parlato rispetto alla situazione di partenza. Ma il processore esterno funzionava meglio, e il divario dipendeva dal volume.

Più il suono è debole, più il microfono sepolto perde terreno. Il parlato ad alto volume passa bene quanto con quello esterno. C’era anche un problema più serio: in due dei dieci partecipanti il dispositivo si è guastato perché del liquido è penetrato nel microfono, ed entrambi sono stati rioperati con impianti Nucleus convenzionali. Gli autori scrivono comunque di non aver trovato alcun problema di fondo nel microfono sotto la pelle.

Il quadro pubblicato da MED-EL è più sereno. In uno studio su sei pazienti a Liegi e Monaco, il riconoscimento delle parole in silenzio e delle frasi in presenza di rumore è risultato paragonabile tra TICI e il processore esterno SONNET. Su 15 eventi avversi, uno è stato un effetto grave legato al dispositivo: gonfiore nella sede dell’impianto con segni di infezione, trattato e risolto senza conseguenze durature. La riserva è dello stesso articolo: il campione era troppo piccolo per i test statistici. Tre dei cinque autori lavorano per MED-EL, che ha anche finanziato lo studio.

L’orecchio al posto del microfono

Envoy Medical ha affrontato il problema dal lato opposto e ha eliminato del tutto il microfono. In Acclaim il suono è captato da un sensore piezoelettrico appoggiato sull’incudine, uno dei tre minuscoli ossicini dell’orecchio medio. Così ha descritto il dispositivo l’amministratore delegato Brent Lucas in un’intervista a Hearing Health Matters . L’orecchio esterno raccoglie il suono, il condotto uditivo lo porta al timpano e il timpano mette in movimento gli ossicini. Il sensore trasforma queste vibrazioni in un segnale per il processore.

Il progetto ha conseguenze che l’azienda elenca nel comunicato del 20 ottobre. Tra il suono e il sensore non c’è alcuno strato di tessuto. Il condotto uditivo resta libero, quindi si possono usare normali auricolari o un apparecchio acustico. Non ci sono parti esterne sulla testa né un magnete impiantato, nemmeno per la ricarica. La batteria si trova nel torace e dovrebbe durare diversi giorni, e la struttura modulare permette di sostituirla senza rimuovere l’intero sistema.

Neppure il sensore è una novità. Lo stesso componente si trova in Esteem, un dispositivo per l’orecchio medio completamente impiantabile che Envoy vende negli Stati Uniti dal 2010. Esteem aziona meccanicamente la staffa, mentre Acclaim, essendo un impianto cocleare, stimola la coclea con la corrente. Il compromesso è che l’approccio dipende dalla meccanica dell’orecchio stesso: timpano e catena degli ossicini devono trasmettere le vibrazioni al sensore in modo affidabile.

Una batteria pensata per quindici anni

Un dispositivo completamente impiantato ha bisogno di una fonte di energia dentro il corpo, e anche qui le aziende si dividono. Secondo IEEE Spectrum, la batteria di TICI UNICO dura fino a 40 ore per carica. Si ricarica in circa un’ora, un’ora e mezza, con un’unità esterna grande come la chiave di un’auto che si aggancia magneticamente attraverso il cuoio capelluto, e durante la ricarica si continua a sentire. La batteria non è sostituibile. L’azienda prevede che dopo 15 anni garantirà ancora almeno 24 ore di utilizzo per carica.

Che cosa non è ancora dimostrato

I dati sono pochi, ed è la cosa più onesta da dire oggi sugli impianti cocleari completamente impiantabili. MED-EL ha risultati con revisione paritaria per sei persone. Per uno studio su 30 pazienti l’azienda afferma che l’udito era paragonabile a quello dei suoi impianti convenzionali, ma l’amministratrice delegata Ingeborg Hochmair precisa che quei dati attendono ancora la revisione paritaria. Cochlear prosegue con lo studio ENHANCE su 18 partecipanti, ancora una fase di fattibilità.

Envoy non ha alcun risultato da mostrare: l’azienda li tiene riservati fino alla fine dello studio. Lo studio pivotal è registrato per 56 partecipanti in sette centri, tra cui Mayo Clinic e Cleveland Clinic. Ha due endpoint primari. Il primo riguarda gli eventi avversi nel primo anno dopo l’attivazione. Il secondo confronta i punteggi CNC sulle parole a 12 mesi nella condizione «solo Acclaim» con il punteggio che la persona aveva con l’apparecchio acustico prima dell’intervento.

Envoy prevede di concludere le visite a 12 mesi all’inizio del secondo trimestre del 2027 e di presentare alla FDA l’ultimo dei quattro moduli PMA entro la fine dello stesso trimestre. Due moduli sono già stati consegnati. Lucas si aspetta una decisione della FDA entro la fine del 2027 o all’inizio del 2028, e l’azienda precisa che raggiungere le tappe non garantisce l’approvazione. Nessuna delle due aziende ha detto nulla sul prezzo.

Invisibili a orari

Il dato più interessante di entrambi gli studi non sono i punteggi di comprensione, ma il modo in cui le persone hanno usato la nuova possibilità. Nello studio di MED-EL i partecipanti hanno fatto a meno del processore esterno da 4,2 a 18,5 ore al giorno. Una persona portava il processore in casa e usciva senza. Gli autori non sanno esattamente perché; descrivono soltanto l’abitudine.

Nello studio di Cochlear la quota di tempo in modalità invisibile andava dal 22% all'88%, con una mediana del 49%. Per circa metà della giornata gli ascoltatori hanno scelto di tenere l’impianto fuori dalla vista, e per l’altra metà hanno rimesso il familiare processore.

Ottanta virgola quattro per cento contro settantuno virgola otto. È il divario sul benchmark SWE-bench Verified tra due modelli per il resto identici, addestrati da Anthropic sulle trascrizioni del ragionamento del suo Claude Opus 4.8. Uno ha ricevuto le trascrizioni complete, l’altro solo brevi riassunti. Quasi nove punti di differenza spiegano perché il 12 ottobre 2026 l’azienda ha pubblicato un lungo documento sulla difesa dalla distillazione , e perché nell’API c’è ora un meccanismo che ha cambiato il modo in cui gli sviluppatori possono riordinare in sicurezza la cronologia di una conversazione.

Il punto è che un modello non produce soltanto una risposta. Prima di rispondere scrive una bozza, una catena di ragionamenti. Per chi vuole copiare le capacità altrui, la bozza vale più della risposta. La risposta mostra il risultato; la bozza mostra il pensiero, e imparare dal pensiero è molto più efficiente.

Cos’è la distillazione e perché la chiamano attacco

Nella sua forma pacifica la distillazione è una tecnica ordinaria: un grande modello «insegnante» genera esempi e un piccolo modello «studente» impara da essi. I laboratori comprimono così i propri modelli. I guai cominciano quando l’insegnante appartiene a qualcun altro e nessuno ha chiesto il permesso.

Anthropic descrive queste campagne come tentativi occulti, su scala industriale, di estrarre le capacità di un modello e riprodurle in un altro. Nel suo rapporto di febbraio l’azienda ha indicato le dimensioni: oltre 16 milioni di scambi con Claude attraverso circa 24.000 account fraudolenti. Tre i laboratori citati: DeepSeek (oltre 150.000 scambi), Moonshot AI (oltre 3,4 milioni) e MiniMax (oltre 13 milioni). Una sola rete proxy gestiva più di 20.000 account contemporaneamente. Sono affermazioni di Anthropic, non verificabili in modo indipendente, e l’azienda è parte in causa.

Il documento di ottobre aggiunge una novità: la difesa precedente aveva smesso di funzionare perché gli aggressori avevano cambiato tattica.

Come la difesa e l’aggiramento si sono inseguiti

La prima misura era semplice. Se il ragionamento ha valore, non mostrarlo per intero: riassumerlo. Il test 80,4 contro 71,8 per cento dimostra che il riassunto assottiglia davvero il materiale di addestramento.

Poi è arrivata l’estrazione attiva. Nei prompt cominciarono a comparire richieste come «riporta alla lettera il tuo ragionamento precedente» e, secondo il racconto di Anthropic, un laboratorio ha tentato 12.000 richieste, ciascuna con un trucco diverso. Dopo di che si è scoperto che i blocchi di ragionamento protetti si potevano spostare: da una conversazione a un’altra, su un modello con difese più deboli, su un altro account dentro una rete proxy. Un blocco di ragionamento era solo testo che si poteva tagliare e incollare.

Fu quello il punto debole su cui Anthropic intervenne per primo. Se non puoi nascondere la bozza, puoi fare in modo che sia inutile ovunque tranne che nel posto in cui è nata.

Come un blocco di ragionamento viene legato al suo contesto

Il meccanismo si chiama preserved thinking, e la documentazione lo descrive in modo asciutto. Ogni blocco di ragionamento porta una firma. A partire da Claude Fable 5.1, l’API la usa per verificare due cose: se il modello attuale può leggere quel blocco, e se qualcosa di ciò che lo precede è cambiato. «Ciò che lo precede» significa il prompt di sistema, l’elenco degli strumenti e tutti i messaggi precedenti. Cambia una parola all’inizio e il blocco, insieme a tutti quelli successivi, diventa non valido.

C’è poi il legame con l’account. I blocchi di Claude Sonnet 5.5 e Claude Haiku 5.5 funzionano solo nell’account che li ha prodotti o in uno collegato. I blocchi estranei vengono scartati in silenzio. Opus 5 e Opus 5.5 non leggono mai i blocchi di Fable 5.1.

Per un aggressore è scomodo: per usare un pezzo di ragionamento rubato bisogna riprodurre l’intero contesto fino all’ultimo carattere e trovarsi nell’account giusto. Anche uno sviluppatore comune ne subisce le conseguenze. Sugli account creati a partire dal 31 agosto 2026 il controllo del prefisso è attivo per impostazione predefinita, e una discrepanza restituisce un errore 400. Gli account più vecchi ottengono il controllo solo se impostano il parametro prefix_mismatch_behavior.

Cosa si rompe? Tutto ciò che ama ricostruire la cronologia. Un prompt di sistema in cui ogni volta si sostituisce la data. Il taglio dei vecchi risultati degli strumenti. Il riassunto lato client dei turni vecchi lasciando intatti quelli recenti. La modifica dell’elenco degli strumenti a conversazione in corso. La documentazione chiede ai client di lavorare solo in accodamento (append-only) e propone alternative: aggiungere un messaggio di sistema invece di ricostruire il prompt, usare la compattazione lato server invece di tagliare la cronologia a mano. Claude Code, claude.ai e l’Agent SDK gestiscono tutto questo da soli, secondo la stessa pagina. Se chiami direttamente l’API di Claude , controlla almeno come serializzi le risposte: i blocchi thinking vuoti vanno rimandati indietro così come sono arrivati, perché il ragionamento vero e proprio vive nella firma.

La modalità drop_block permette di scartare semplicemente i blocchi non validi, ma allora il modello rielabora il proprio ragionamento e il consumo di token in output può crescere in modo sensibile. La documentazione stessa la definisce un ripiego.

Cosa mostrano i numeri e cosa no

La seconda metà della difesa è un classificatore a due stadi, costruito sul lavoro di Anthropic sui classificatori costituzionali e addestrato su veri tentativi di estrazione. Anthropic dichiara un tasso di falsi positivi inferiore allo 0,1 per cento. Dal 24 settembre addebita anche le richieste che le protezioni bloccano prima che Claude risponda, anche nell’ambito della distillazione. Chi recidiva va incontro a limiti più stretti e a divieti: decine di migliaia di account, secondo il conteggio dell’azienda, spesso in meno di due ore dall’inizio di una campagna.

L’affermazione principale è che i token di ragionamento estratti dai distillatori sono ora da 10 a 100 volte inferiori, o anche più, e in certi giorni troppo pochi per essere misurati. Altrove il testo parla di un calo di circa il 90-99 per cento e lo definisce un primo indizio.

Qui serve cautela. La misurazione è stata fatta da Anthropic, sulla propria piattaforma. Stima i token estratti da ciò che è riuscita a individuare, e ciò che è passato inosservato è per definizione invisibile. Inoltre i distillatori distribuiscono il traffico sulle API e sui cloud di più fornitori, quindi chiudere una porta non garantisce nulla sulle altre. Anthropic scrive chiaramente di non sapere quanto durerà l’effetto, di aspettarsi un gioco del gatto e del topo e di non aver ancora visto un tentativo di aggirare le nuove difese che sia insieme molto sofisticato e persistente.

I costi sono dichiarati: rinunciare a ricavi rilevanti e a «migliaia di miliardi di token» di traffico pagante, modifiche all’integrazione per alcuni clienti legittimi, rari blocchi errati. L’obiettivo di febbraio, rendere la distillazione più difficile senza danneggiare gli utenti legittimi, l’azienda dice di non averlo ancora raggiunto del tutto.

Perché la cosa va oltre Anthropic

Partiamo da ciò che si sa da una fonte indipendente. A settembre il CAISI del NIST ha definito GLM-5.3 di Z.ai il modello a pesi aperti con le maggiori capacità informatiche offensive rilasciato finora, con circa quattro mesi di ritardo rispetto alla frontiera statunitense. Sul test SEC-Bench Pro, per esempio, ha risolto 74 compiti su 183; il miglior modello americano ne ha risolti 165. La valutazione non dice nulla sulla distillazione.

Il legame tra GLM-5.3 e la copia dei modelli americani viene dal testo di ottobre di Anthropic: secondo questo, Zhipu avrebbe distillato capacità informatiche dai principali modelli statunitensi e, quando le difese di Anthropic hanno ostacolato i suoi tentativi con Claude Fable 5, sarebbe passata a un modello Claude più vecchio e al modello di un altro laboratorio. È un’affermazione dell’azienda, non una conclusione di un ente governativo, e al momento nulla dall’esterno la conferma.

Se regge, il quadro è scomodo. Una capacità che un’azienda aveva avvolto in restrizioni protettive finisce in un modello rilasciato con pesi aperti, dove quelle restrizioni non ci sono; secondo la stessa valutazione di Anthropic, le protezioni integrate di GLM-5.3 si aggirano facilmente. Il ragionamento nascosto smette di essere un segreto industriale e diventa un pezzo di sicurezza.

La firma su un blocco di ragionamento probabilmente non sarà l’ultimo meccanismo di questo genere. Quando un prodotto si può copiare semplicemente facendogli domande, la protezione si sposta nel protocollo di scambio stesso. Chi sviluppa integrazioni esterne dovrà abituarsi all’idea che la cronologia di una conversazione non è più la sua corrispondenza privata, ma una catena che deve arrivare integra.