Una nuova ricerca di UC Berkeley mostra che il fine-tuning di un modello di IA su piccoli dataset apparentemente innocui può innescare un "collasso della privacy" in cui il modello smette gradualmente di rispettare le norme di privacy consolidate — un deterioramento che le valutazioni di sicurezza standard e i revisori umani non riescono costantemente a rilevare.

Insegnare a un modello generico a fungere da miglior agente di assistenza clienti può sembrare innocuo. Secondo il team di Berkeley, lo stesso processo che affina un modello per un compito specifico può anche togliergli la capacità di giudicare quando la condivisione di informazioni è appropriata. E il peggio è che i modelli continuano a apparire perfettamente sicuri proprio nei test pensati per segnalare tali problemi.

Un fallimento che supera l'ispezione

I ricercatori chiamano il fenomeno "collasso della privacy". Un modello fine-tuned smette progressivamente di aderire alle norme di privacy consolidate anche quando i suoi dati di addestramento non contengono nulla di evidentemente pericoloso.

Il fine-tuning è il processo con cui le aziende prendono un modello generico e lo addestrano ulteriormente su un dataset più ristretto — ad esempio trascrizioni di servizio clienti, conversazioni di supporto o esempi di un agente che utilizza strumenti software. Il team di Berkeley ha scoperto che questo addestramento aggiuntivo può danneggiare la capacità del modello di comprendere la privacy contestuale, il principio per cui l'opportunità di condividere informazioni dipende da chi chiede e perché.

I numeri sono impressionanti. In modelli come GPT-4o-mini, la precisione nei benchmark di privacy contestuale — test standardizzati del comportamento dei modelli — è calata fino al 98-99% dopo il fine-tuning. Nel frattempo, gli stessi modelli hanno continuato a ottenere punteggi elevati nelle valutazioni di sicurezza convenzionali. I ricercatori descrivono il risultato come un "fallimento silenzioso".

La divergenza evidenzia anche un limite degli strumenti di test stessi: le valutazioni di sicurezza convenzionali non sono progettate per misurare il giudizio sulla privacy contestuale — il senso di chi richiede le informazioni e perché. Un modello può quindi superare ogni verifica eseguita da un team e continuare a gestire male i tipi di scambi che tali verifiche non simulano mai.

Dati innocui, risultati dannosi

Parte di ciò che rende inquietante il risultato sono i dati di addestramento coinvolti. Il collasso è emerso su dataset che la maggior parte dei team considererebbe benigni, inclusi dialoghi empatici e interazioni di assistenza clienti.

Lo studio ha testato sei modelli, coprendo sia sistemi closed che open-weight — dove open-weight significa modelli i cui parametri addestrati sono rilasciati pubblicamente, così che chiunque possa scaricarli e fare fine-tuning. La vulnerabilità è emersa in più famiglie di modelli, a indicare che non è una peculiarità di un unico fornitore, e si è confermata su dataset relativi all'uso agenziale di strumenti e a compiti basati sulla memoria.

Il team ha anche esaminato gli interni dei modelli per individuare dove si verifica il danno. Le rappresentazioni legate alla privacy negli strati più profondi dei modelli si sono rivelate particolarmente fragili, e tali caratteristiche sono risultate più vulnerabili al fine-tuning rispetto alle caratteristiche legate al compito specifico oggetto di addestramento.

Non è il primo avviso

I risultati di Berkeley si inseriscono in un' tendenza in atto da tempo. Uno studio del 2024 di Stanford aveva riferito che anche un lieve fine-tuning poteva compromettere la sicurezza di modelli come GPT-3.5 e Llama-2-Chat. Quel lavoro precedente si concentrava in senso ampio sulle salvaguardie di sicurezza. La ricerca di Berkeley restringe il focus alla privacy e aggiunge un dettaglio inquietante: il deterioramento non si manifesta dove qualcuno sta guardando.

Cosa significa per le aziende che costruiscono sull'IA

Gli stakeholder più direttamente interessati sono le aziende che personalizzano modelli fondamentali per i propri prodotti. Il fine-tuning è uno dei modi più comuni per rendere un modello generico utile per un flusso di lavoro specifico. Se l'addestramento su ordinarie trascrizioni di assistenza può erodere il giudizio sulla privacy di un modello, tali implementazioni possono comportare rischi ignoti ai loro creatori — e superare una valutazione di sicurezza standard offrirebbe una falsa rassicurazione.

I ricercatori chiedono metodi di valutazione migliori, costruiti specificamente per testare il ragionamento sulla privacy negli agenti di IA durante le interazioni reali. Per le organizzazioni che gestiscono modelli fine-tuned, questa richiesta punta a uno sviluppo da seguire: valutazioni specifiche per la privacy che testino il giudizio durante le interazioni in tempo reale degli agenti. Poiché la vulnerabilità interessa sia modelli closed che open-weight, nessun campo può considerare il problema un'affare di altri. E se le caratteristiche di privacy negli strati più profondi sono unicamente fragili, il passo successivo è determinare come proteggerle durante l'addestramento senza sacrificare le prestazioni sul compito per cui le aziende pagano.

I risultati sono stati riportati da CryptoBriefing venerdì 6 novembre 2026.