Gli attacchi avversariali sfruttano il fatto che i modelli ML apprendono correlazioni statistiche, non comprensione: una perturbazione minuscola e mirata – impercettibile a un umano – può ribaltare la classificazione. L'adesivo sul cartello di stop che l'auto legge come limite di velocità, il pixel-noise che fa vedere "gibbone" dove c'è un panda, il malware ritoccato per sembrare benigno all'antivirus ML.
Le famiglie principali:
- evasion (a inferenza): input costruito per ingannare il modello in produzione – aggira i classificatori di sicurezza, i filtri di moderazione, i rilevatori di spam
- poisoning (in addestramento): contaminare i dati di training perché il modello impari la cosa sbagliata o una backdoor
- model inversion / extraction: ricostruire dati di training o rubare il modello dalle sue risposte
Cosa cambia rispetto alla sicurezza classica: qui non c'è patch definitiva – è una proprietà dei modelli, non un bug. Le difese sono probabilistiche (adversarial training, input sanitization, ensemble, rilevamento di anomalie) e a strati. È il cugino ML della prompt injection sugli LLM: dove il sistema "decide" statisticamente, l'input ostile è una superficie d'attacco permanente da presidiare, non da chiudere una volta per tutte.