Confer: l’AI di Moxie Marlinspike (Signal) che nessuno può spiare

Quando Moxie Marlinspike ha progettato Signal, non ha semplicemente creato un’app di messaggistica: ha ridefinito lo standard della comunicazione privata digitale, dimostrando che la crittografia end-to-end poteva essere al tempo stesso robusta e invisibile all’utente. Oggi, con Confer, Marlinspike tenta un’operazione analoga nel campo dell’AI conversazionale, uno dei territori più problematici in assoluto dal punto di vista della privacy.

L’obiettivo è ambizioso: costruire un assistente AI che “funzioni e basta”, ma che al tempo stesso renda tecnicamente impossibile l’accesso ai dati degli utenti da parte dell’operatore della piattaforma, di governi, hacker o soggetti terzi. Non una promessa contrattuale, bensì una garanzia crittografica verificabile.

Confer: assistente AI progettato contro la sorveglianza strutturale

Il progetto Confer, già disponibile online e pienamente funzionante, nasce come risposta diretta a quella che Marlinspike considera una deriva inevitabile dell’AI contemporanea: l’accumulo massivo di dati personali e riservati in grandi data lake centralizzati.

Le piattaforme online che permettono di interagire con i moderni Large Language Models (LLM) non sono semplici strumenti di interrogazione, ma ambienti di dialogo. Gli utenti non digitano parole chiave, bensì raccontano paure, idee, strategie aziendali, conflitti personali. Il linguaggio usato è quello della confidenza, non della ricerca.

Così le aziende che si occupano dello sviluppo dei modelli AI e permettono agli utenti di fare comodamente inferenza su di essi, diventano depositarie di una quantità di informazioni personali (conferite dagli stessi utenti) senza precedenti, spesso conservate per obblighi legali, per addestramento dei modelli o per finalità interne non sempre trasparenti. Il caso dell’ordine giudiziario che ha imposto a OpenAI di conservare le conversazioni di ChatGPT, incluse quelle eliminate, ha mostrato quanto fragile sia l’idea di “opt-out” nella pratica.

Confer ribalta questo schema: se il dato non è tecnicamente accessibile, non può essere consegnato, monetizzato o violato. Alla fine è “il sale” alla base della crittografia end-to-end.

Crittografia end-to-end applicata all’intelligenza artificiale

Marlinspike spiega che Confer si basa su un’architettura interamente open source, progettata per essere ispezionabile e verificabile. Ogni messaggio dell’utente e ogni risposta del modello linguistico sono cifrati sul dispositivo locale prima di raggiungere il server. La chiave crittografica privata non lascia mai l’hardware dell’utente ed è generata tramite passkey, una soluzione tecnica che combina autenticazione forte e crittografia moderna.

Le conversazioni possono essere archiviate sui server di Confer esclusivamente in forma cifrata. Ciò consente la sincronizzazione tra dispositivi senza introdurre punti di accesso privilegiati. Anche in caso di compromissione dell’infrastruttura, i dati rimangono inutilizzabili.

Un elemento chiave è la forward secrecy: le chiavi possono ruotare nel tempo, impedendo che un’eventuale violazione consenta di ricostruire conversazioni passate o future. È lo stesso principio che ha reso Signal uno strumento affidabile per giornalisti, attivisti e professionisti in contesti ad alto rischio.

Trusted Execution Environment e attestazione remota

Sul lato server, Confer utilizza un Trusted Execution Environment (TEE): significa che il codice e i dati elaborati dalla CPU sono cifrati anche nei confronti degli amministratori del sistema. Nemmeno chi gestisce fisicamente i server può ispezionare le conversazioni o manipolare le risposte dell’AI.

La presenza della remote attestation aggiunge un ulteriore livello di fiducia verificabile: il server fornisce una prova crittografica che dimostra esattamente quale software è in esecuzione all’interno del TEE.

Chiunque può confrontare queste prove con il codice pubblico, assicurandosi che non vi siano componenti nascosti o modifiche non dichiarate. Ogni rilascio è firmato digitalmente e registrato in un transparency log, un approccio che richiama le migliori pratiche della sicurezza crittografica moderna.

Un’esperienza utente volutamente semplice

Nonostante la complessità tecnica sottostante, Confer si presenta con un’interfaccia minimale. L’accesso avviene in pochi gesti e, una volta autenticati, i messaggi precedenti sono decifrati in locale e resi disponibili su tutti i dispositivi associati all’account. La sicurezza non deve essere una competenza dell’utente, ma una proprietà intrinseca del sistema.

Il supporto nativo è già disponibile su macOS, iOS e Android. Su Windows è necessario un autenticatore di terze parti, mentre su Linux il supporto è ancora sperimentale, affidato a estensioni comunitarie.

Nel panorama attuale esistono poche alternative realmente orientate alla riservatezza. Il chatbot Proton Lumo adotta un modello crittografico simile a quello di Proton Mail, con una gestione delle chiavi più articolata ma risultati analoghi per l’utente finale. Venice, invece, sceglie un approccio radicale: tutto resta sul dispositivo locale, eliminando completamente lo storage remoto. Nessuna di queste soluzioni, però, proviene dai grandi player dell’AI.