È stato necessario attendere fino al 1998 perché una legge federale imponesse l'airbag in ogni veicolo — oltre un secolo dopo l'invenzione dell'automobile e circa tre decenni dopo che gli airbag furono inizialmente sviluppati come misura di sicurezza. Un pattern simile si sta ora ripetendo con i robotaxi e la cybersecurity, secondo gli esperti del settore.

Louay Abdelkader, direttore della product management presso QNX — il fornitore di software automobilistico di proprietà di BlackBerry i cui sistemi operativi in tempo reale sono integrati in oltre 215 milioni di veicoli in tutto il mondo — considera questa una questione critica per il settore. «Certo... tenete presente che nella sicurezza automobilistica, ci è voluto un po' prima che venisse adottata», ha dichiarato a Fortune. Abdelkader sostiene che i legislatori dovrebbero elevare la cybersecurity allo stesso livello di priorità degli airbag, sottolineando che ogni veicolo connesso introduce un certo grado di rischio informatico.

Gran parte del dibattito pubblico sui robotaxi, tuttavia, si è concentrata su altre questioni: se i sistemi autonomi siano sufficientemente intelligenti da evitare collisioni, come le compagnie di assicurazione dovrebbero attribuire la responsabilità in caso di incidenti e come le forze dell'ordine dovrebbero gestire auto senza conducente che commettono violazioni del codice della strada.

I robotaxi si stanno espandendo rapidamente negli Stati Uniti. Zoox ha recentemente ottenuto l'approvazione normativa dalla National Highway Traffic Safety Administration (NHTSA) per un'esenzione commerciale, concedendo al servizio a pagamento un accesso più ampio per operare senza comandi manuali. Tesla è entrata nel mercato dei robotaxi con il suo Cybercab in servizio in almeno sette città. Waymo, di proprietà di Alphabet è cresciuta dalle sue origini in Arizona a 11 grandi città statunitensi, stringendo anche partnership con la società di rideshare Uber in mercati selezionati.

A differenza dei veicoli convenzionali, i robotaxi si affidano a dozzine di unità di controllo elettronico interconnesse, reti ad alta velocità, connettività cloud, GPS, telecamere, lidar, radar e modelli di intelligenza artificiale che interpretano continuamente l'ambiente circostante. Ciascuno di questi componenti espande quella che i professionisti della cybersecurity chiamano «superficie di attacco» — il numero di possibili punti di ingresso che gli hacker possono sfruttare. In modo cruciale, i robotaxi dipendono anche da piattaforme centralizzate di gestione delle flotte che inviano i veicoli ai punti di ritiro, il che significa che l'infrastruttura di prenotazione dei passaggi diventa essa stessa un potenziale bersaglio, non solo le auto sulla strada.

Mentre Hollywood spesso raffigura hacker che prendono il controllo remoto di un intero veicolo, gli esperti affermano che gli attacchi moderni hanno maggiori probabilità di colpire l'ecosistema più ampio che circonda le auto autonome. Anche se gli attaccanti non riescono a guidare direttamente un veicolo, le comunicazioni interrotte potrebbero degradare la capacità di un sistema autonomo di navigare in modo sicuro.

A San Francisco, il «burlone tecnologico» Riley Walz ha dimostrato questa vulnerabilità organizzando un attacco di tipo denial-of-service (DDoS) di gruppo sui Waymo locali. Walz ha documentato la bravata su X. Lo scherzo ha coinvolto 50 persone che hanno ordinato simultaneamente un Waymo nella stessa strada senza uscita, creando un ingorgo che ha costretto l'azienda a sospendere le corse fino alla mattina seguente.

L'incidente DDoS si è verificato nonostante le normative della California — dove Waymo opera a San Francisco e Los Angeles — richiedano ai produttori di veicoli autonomi di dimostrare di poter monitorare, aggiornare e mantenere le proprie flotte in modo sicuro, conformandosi alle linee guida federali sulla cybersecurity dei veicoli. Waymo e la California DMV non hanno risposto alle richieste di commento.

L'avvento dell'IA generativa ha ulteriormente amplificato i rischi per la cybersecurity. Storicamente, gli hacker avevano bisogno di tempo significativo, competenze tecniche e risorse per identificare e sfruttare le vulnerabilità. L'IA ha drasticamente compresso quella tempistica, secondo Abdelkader. Ha avvertito che gli attori malevoli possono ora utilizzare l'IA per identificare vulnerabilità, automatizzare attacchi e sviluppare exploit molto più velocemente — e con maggiore intento malevolo — rispetto allo scherzo di Walz.

Abdelkader ha affermato che la cybersecurity dei robotaxi è responsabilità condivisa dei produttori e dei legislatori. Ha sostenuto che i produttori devono integrare la sicurezza nei veicoli autonomi fin dall'inizio, anziché trattarla come un'aggiunta. «Quando si sviluppa un sistema di cybersecurity, si parte dalle fondamenta. È come costruire una casa», ha detto. «Se le fondamenta non sono solide, diventa molto difficile costruire una casa robusta e sicura».

Altre giurisdizioni hanno già iniziato a trattare la cybersecurity come parte integrante della regolamentazione dei veicoli autonomi anziché come un ripensamento. L'Arizona ha incorporato la pianificazione della cybersecurity in politiche più ampie di diffusione dei veicoli autonomi, mentre stati come il Michigan hanno istituito iniziative di cybersecurity attraverso partnership con l'industria e istituti di ricerca.

I regolatori internazionali si sono spinti ancora oltre. Il Regolamento ONU n. 155 delle Nazioni Unite richiede ora ai produttori di veicoli in molti mercati di mantenere sistemi certificati di gestione della cybersecurity per l'intero ciclo di vita di un veicolo, mentre lo standard ISO/SAE 21434 stabilisce criteri ingegneristici per la cybersecurity nell'ambito dello sviluppo dei veicoli. Gli Stati Uniti non dispongono di un mandato federale equivalente, lasciando un mosaico di requisiti a livello statale.

A New York, tuttavia, dove il sindaco Zohran Mamdani si è rifiutato di rinnovare la licenza a Waymo, la cybersecurity è stata assente dal dibattito sui robotaxi. Il sindaco si è invece concentrato sulla tutela del lavoro, citando i tassisti come sua principale preoccupazione. «Se un'azienda come Waymo arriva a New York, troverà anche un governo cittadino impegnato a sostenere i lavoratori che mantengono la città in funzione», ha dichiarato Mamdani in una conferenza stampa. «Quei lavoratori includono anche i nostri tassisti a cui, per troppo tempo, è stata venduta l'illusione di poter lavorare per raggiungere la classe media». L'ufficio di Mamdani non ha risposto a una richiesta di commento.

Abdelkader sostiene che i legislatori di tutto il Paese dovrebbero costruire sui quadri esistenti anziché attendere che un incidente informatico ne riveli una debolezza. Ha affermato che i responsabili delle politiche separano troppo spesso la sicurezza dalla cybersecurity, anche se le due sono «legate a doppio filo».

«I legislatori e i politici devono collaborare con loro per garantire che, andando avanti, se ci sono miglioramenti da apportare, si comprenda quale tipo di supporto è necessario», ha dichiarato a Fortune. «Devono essere in grado di comunicare e condividere quel feedback. È l'unico modo per far crescere l'industria in modo efficace e a beneficio della società».