Cisco sfida le etichette nazionali sui modelli AI: quasi 900 fingerprintati

Cisco e VAIL hanno pubblicato il 28 agosto 2026 ricerca che dimostra l'esistenza di "provenance entanglement" nei modelli AI: pesi, bias e comportamenti ereditati da modelli upstream possono attraversare confini nazionali senza comparire nei metadati self-reported. La ricerca arriva a dieci giorni dall'entrata in vigore dell'AI Act UE, che impone sanzioni fino a 15 milioni di euro o il 3% del fatturato globale per i provider di GPAI.

L'AI Supply Chain Provenance Explorer, database pubblico e gratuito rilasciato da Cisco, ha fingerprintato quasi 900 modelli contro gli oltre 2 milioni ospitati su Hugging Face. La metodologia, evoluta dal Model Provenance Kit di aprile 2026, combina analisi statica architetturale con cinque segnali a livello di pesi: Embedding Anchor Similarity, Embedding Norm Distribution, Norm Layer Fingerprint, Layer Energy Profile e Weight-Value Cosine. Il benchmark su 111 coppie ha registrato accuracy del 96,4%, F1 di 0,963, precisione del 98,1% e recall del 94,6% a threshold 0,70, secondo i dati pubblicati da HelpNetSecurity.

Il provenance entanglement: quando i pesi nascondono più dei metadati

La ricerca Cisco, pubblicata sul blog "The U.S. vs. China AI Trap", esplora un caso di studio specifico: i modelli Nemotron derivati da Qwen. Entrambi i metodi di fingerprinting — Model Provenance Kit e Behavioral Fingerprinting (VAIL) — hanno rilevato che questi modelli sono "substantially more similar to Qwen models than chance would predict". La derivazione da Qwen è nota e legittima; il punto è che la visibilità della lineage dipende da chi la dichiara, non da verifica tecnica obbligatoria.

I ricercatori di Cisco scrivono che "the dependencies aren't listed in a manifest file, they're embedded in the learned weights themselves". Questa è la novità strutturale: a differenza del software tradizionale, dove le dipendenze sono enumerabili in package.json o requirements.txt, i pesi ereditati da un modello upstream sono incorporati nei parametri appresi, non separabili senza analisi matematica. L'etichetta di paese d'origine, self-reported dal publisher, diventa così un proxy incompleto per la sicurezza e la compliance.

La metodologia a due stadi: dai segnali architetturali ai cinque fingerprint weight-level

Il Model Provenance Kit, rilasciato da Cisco ad aprile 2026 con ~150 modelli base su 45+ famiglie e 20+ publisher, è cresciuto di circa 6x in un trimestre. La metodologia, descritta in dettaglio da HelpNetSecurity, procede in due stadi. Lo Stage 1 è uno screening architetturale: confronto di dimensioni, layer, strutture di attention. Lo Stage 2 applica i cinque segnali weight-level.

Embedding Anchor Similarity (EAS) misura la similarità tra gli embedding di token specifici. Embedding Norm Distribution (END) confronta la distribuzione statistica delle norme degli embedding. Norm Layer Fingerprint (NLF) cattura le proprietà dei layer di normalizzazione. Layer Energy Profile (LEP) analizza la distribuzione energetica dei pesi attraverso i layer. Weight-Value Cosine (WVC) calcola la cosine similarity tra i valori dei pesi. Il segnale combinato produce uno score di identità che il benchmark 111-pair ha validato con precisione del 98,1%.

Quattro coppie su 111 sono state mal classificate, tutte con trasformazione architetturale estrema. Questo è un limite fondamentale del confronto pairwise: se un modello derivato modifica radicalmente l'architettura, i segnali weight-level possono attenuarsi. I tokenizer signals sono esclusi dal provenance score per evitare falsi positivi: StableLM e Pythia usano entrambi il tokenizer GPT-NeoX ma non condividono lineage, come dimostrato dal caso.

AI Act e gap di compliance: l'etica della documentazione che non esiste

L'AI Act UE entra in vigore il 2 agosto 2026 con sanzioni fino a 15 milioni di euro o il 3% del fatturato globale per i provider di GPAI. Le licenze Llama e Gemma probabilmente non qualificano per l'esenzione open-source, secondo VentureBeat. La ricerca Cisco solleva una domanda immediata per i regolatori: l'AI Act richiede documentazione della lineage, ma non esiste ancora uno standard sistematico per produrre o verificare questa documentazione sui modelli open.

I 2,04 miliardi di download cumulativi tracciati attraverso tre regioni (US, Cina, Europa) fino a marzo 2026, riportati da VentureBeat, indicano la scala del problema. L'AI Supply Chain Provenance Explorer copre quasi 900 modelli: una copertura significativa rispetto al kit originale, ma ancora una frazione dei 2 milioni+ su Hugging Face. Non è chiaro se l'Explorer esponga API: Cisco non ha dichiarato nulla a riguardo, secondo VentureBeat.

"Models do not have passports. They have supply chains." — Cisco researchers, blog "The U.S. vs. China AI Trap"

Perché è importante

Il dossier non specifica quanti dei ~900 modelli Explorer siano effettivamente derivati da modelli cinesi non dichiarati: il dato misura la copertura dello strumento, non i risultati di analisi specifici. Non è noto se e come i risultati del fingerprinting siano stati validati da terze parti indipendenti. La data esatta di rilascio del Model Provenance Kit (aprile 2026) non è rilevata nella fonte HelpNetSecurity, ma solo indicata come "April".

Non è verificato indipendentemente che le 4 coppie mal classificate su 111 siano rappresentative della distribuzione reale dei modelli in produzione. Il brief non documenta misure correttive specifiche da parte dei vendor coinvolti né azioni operative raccomandate da Cisco oltre al trattamento dell'identità del publisher come "one piece of the puzzle".

La rilevanza per il lettore è strutturale: per le aziende che hanno escluso modelli cinesi per compliance o ragioni geopolitiche, le etichette di paese sono insufficienti. Per i CISO e i team AI governance, la verifica tecnica della lineage deve essere aggiunta ai processi di approvazione modello. Per il settore, emerge un nuovo layer di supply chain security, analogo agli SBOM ma per i pesi AI, con strumenti disponibili gratuitamente ma con copertura ancora parziale.

FAQ

Cos'è il "provenance entanglement" documentato da Cisco?
È la condizione in cui un modello derivato eredita proprietà misurabili — similarità di pesi, bias, comportamenti — da un modello upstream, anche quando questa derivazione non è esplicitamente dichiarata nei metadati self-reported. Cisco ha verificato questo fenomeno sui modelli Nemotron derivati da Qwen.

Il fingerprinting di Cisco è infallibile?
No. Il benchmark 111-pair mostra accuracy del 96,4% con 4 coppie mal classificate su 111, tutte con trasformazione architetturale estrema. Il metodo è solido per derivati architetturalmente conservativi, ma ha limiti fondamentali nel confronto pairwise quando l'architettura viene modificata radicalmente.

L'AI Supply Chain Provenance Explorer copre tutti i modelli su Hugging Face?
No. Copre quasi 900 modelli contro oltre 2 milioni ospitati sulla piattaforma. La copertura è cresciuta di circa 6x in un trimestre, ma rimane una frazione dell'universo totale.

Fonti

• https://www.securityweek.com/think-youve-eliminated-chinese-ai-check-the-models-lineage-cisco-says/
• https://venturebeat.com/security/cisco-ai-supply-chain-provenance-explorer-fingerprints-900-open-models-replaces-self-reported-tags
• https://www.dataworldbank.net/2026/07/30/the-lineage-behind-69-of-open-models-was-never-verified-cisco-just-fingerprinted-almost-900-for-free/
• https://www.helpnetsecurity.com/2026/04/30/cisco-ai-model-provenance-kit/
• https://podcast.securityweek.com/

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti