Sicurezza strutturale dell'IA: l'imperativo della governance dello spazio latente nella bio-progettazione generativa ad alto rischio

Sintesi esecutiva

L'era nascente dell'intelligenza artificiale (IA) generativa ha inaugurato un cambio di paradigma nella scoperta scientifica, in particolare nei settori farmaceutico e biotecnologico. La capacità dei modelli di deep learning di esplorare vaste regioni dello spazio chimico e di proporre nuovi candidati terapeutici ha compresso i tempi della scoperta di farmaci da anni a settimane. Tuttavia, questa capacità trasformativa possiede un'ombra insita: il "dual-use" dilemma. Le stesse architetture algoritmiche progettate per identificare cure salvavita possono, con una modifica banale, essere riproposte per progettare agenti biochimici altamente letali. Il seminale esperimento dell'"interruttore invertito" condotto da Collaborations Pharmaceuticals, in cui un modello generativo ottimizzato per la tossicità ha generato 40,000 potenziali armi chimiche—compreso l'agente nervino VX e nuovi analoghi—in meno di sei ore, costituisce una testimonianza inconfutabile di questo rischio. ¹

Questo whitepaper, preparato per Veriprajna, sostiene che lo standard di settore attuale per la sicurezza dell'IA—spesso caratterizzato da "wrapper LLM" che si affidano al prompt engineering e al filtraggio testuale post-hoc—è fondamentalmente insufficiente per i domini ad alto rischio. Questi superficiali guardrail non affrontano la realtà geometrica dello spazio latente del modello, dove tossiche e capacità terapeutiche esistono su una varietà continua, spesso intrecciata. I filtri basati sul testo sono ciechi alla semantica strutturale della chimica e vulnerabili a perturbazioni avversarie, lasciando le organizzazioni esposte a rischi regolamentari, reputazionali ed esistenziali catastrofici.

Veriprajna introduce un nuovo standard per l'IA enterprise: Governance dello spazio latente . Spostando il luogo del controllo dallo strato di output alle strutture latenti ad alta dimensionalità del modello stesso, abilitiamo una forma di "Sicurezza strutturale dell'IA." Questo approccio utilizza vincoli topologici, mappatura della varietà e apprendimento per rinforzo vincolato per precludere matematicamente la generazione di output dannosi. Questo documento offre un'analisi esaustiva delle carenze tecniche delle metodologie attuali, esplora la topologia della tossicità e dettaglia i principi architetturali delle soluzioni deep AI che assicurano la conformità con gli emergenti standard rigorosi quali il NIST AI Risk Management Framework e ISO 42001.

1. L'orizzonte dual-use: l'"interruttore invertito" e la democratizzazione della letalità

La convergenza tra intelligenza artificiale e biologia molecolare ha a lungo promesso una rivoluzione nella scoperta di farmaci. Tuttavia, l'inerente dualità di questa tecnologia—dove la capacità di guarire è matematicamente adiacente alla capacità di nuocere—è passata da un teorico rischio discusso nei circoli accademici a una realtà operativa dimostrata. La barriera d'ingresso per la progettazione di armi chimiche sofisticate è stata drasticamente abbassata, non dalla proliferazione di materiali fisici, ma dalla democratizzazione dell'intelligenza computazionale richiesta per progettarle.

1.1 L'esperimento MegaSyn: un caso di studio sul dual-use algoritmico

In preparazione della conferenza Spiez Convergence, un evento biennale di controllo degli armamenti organizzato dall'Ufficio federale svizzero della protezione civile, i ricercatori di Collaborations Pharmaceuticals hanno condotto un esperimento proof-of-concept per valutare il potenziale di uso improprio dell'IA. ² Il team ha utilizzato un modello generativo commerciale, MegaSyn, originariamente progettato per predire la bioattività e generare nuovi candidati terapeutici per malattie rare e trascurate.

La metodologia impiegata era disturbantemente semplice, evidenziando l'accessibilità di questo vettore di minaccia. Il modello generativo era guidato da una funzione di punteggio che penalizzava la tossicità e premiava l'efficacia terapeutica. Per "invertire l'interruttore," i ricercatori hanno invertito la funzione di ricompensa. Invece di penalizzare la tossicità, al modello è stato chiesto di massimizzarla, specificamente prendendo di mira il profilo di letalità del VX, uno degli agenti nervini più potenti noti all'uomo. ¹

I risultati sono stati generati in meno di sei ore su un server consumer-grade standard, utilizzando un dataset e un'architettura ampiamente compresi nella chemio-informatica comunità:

Tabella 1: Esiti dell'esperimento dell'"interruttore invertito"

Metrica	Risultato	Contesto
Tempo di generazione	< 6 ore	Eseguito su standard hardware (Mac/Linux server), dimostrando una bassa barriera di calcolo.
Volume di output	40,000 molecole	Una libreria massiccia di candidati potenziali generati a una velocità che i chimici umani non possono eguagliare.
Profilo obiettivo	VX (agente nervino)	Il modello ha riscoperto con successo il VX e altri

Col1	Col2	noti agenti nervini delle serie G e delle serie V.
Letalità	> potenza del VX	Un sottoinsieme significativo di molecole era predetto essere be_more_ tossico del VX.
Novità	Alta	Migliaia di composti erano nuovi, non comparendo in alcun database pubblico o lista di sorveglianza governativa.

Questo esperimento non ha richiesto un supercomputer né un attore statale canaglia con milioni di finanziamenti. Ha utilizzato dataset open-source (come ChEMBL), architetture generative standard (RNN e modelli basati su LSTM) e una comprensione commercialmente disponibile della predizione di tossicità. ⁵ Le implicazioni sono profonde: la barriera d'ingresso per progettare agenti biochimici ad alta letalità è stata abbassata al costo di una GPU consumer e di una comprensione di base di Python. Il modello di IA, addestrato a comprendere le "regole" della tossicità per evitarle, possedeva intrinsecamente la conoscenza per sfruttarle. ³

1.2 L'architettura della vulnerabilità

Per comprendere perché questo "flip" sia stato così fluido, occorre esaminare l'architettura sottostante di modelli come MegaSyn. Il modello utilizzava un'architettura di rete neurale ricorrente (RNN) addestrata su stringhe SMILES (Simplified Molecular Input Line Entry System). Il sistema operava su un algoritmo "hill-climb", raffinando iterativamente i candidati molecolari per massimizzare una specifica funzione obiettivo. ⁵

Il ciclo generativo coinvolge tre componenti critici:

1.​ Il generatore: Una rete basata su LSTM che predice il token successivo in una stringa SMILES (ad es., 'C', 'N', '=', 'O') per formare strutture chimicamente valide. Apprende la "grammatica" della chimica da dataset massicci come ChEMBL 28. ⁵

2.​ Il predittore: Un modello discriminativo (o un insieme di modelli) che stima specifiche proprietà della molecola generata, come solubilità, bioattività contro un bersaglio e tossicità (ad es., LD50, inibizione hERG).

3.​ L'ottimizzatore: Un loop di apprendimento per rinforzo o hill-climbing che restituisce il punteggio del predittore al generatore, orientando la distribuzione di probabilità dei token futuri verso regioni a punteggio più alto.

Nella modalità terapeutica, la funzione di ricompensa dell'ottimizzatore ($R$) è definita come:

$$R(x) = \text{Bioactivity}(x) - \lambda \cdot \text{Toxicity}(x)$$

dove $\lambda$ è un fattore di ponderazione che penalizza gli esiti tossici. Nella modalità avversaria "invertita", i ricercatori hanno semplicemente negato la penalità:

$$R(x) = \text{Bioactivity}(x) + \lambda \cdot \text{Toxicity}(x)$$ Il generatore stesso—il motore della creazione—è rimasto intatto. Ha semplicemente seguito il gradiente della nuova funzione di ricompensa. Questo dimostra che la capacità di generare armi non è un "bug" né un modulo distinto che si possa rimuovere; è intrinseca alla comprensione del modello dello spazio chimico. Se un modello comprende ciò che rende una molecola sicura, per definizione comprende ciò che la rende insicura, poiché queste sono regioni complementari della stessa varietà ad alta dimensionalità. ⁹

1.3 Il rischio universale: oltre la chimica

Mentre l'esperimento Urbina si è concentrato sulle armi chimiche, il principio si applica universalmente all'IA generativa negli ambienti enterprise. La dualità dell'"ottimizzazione" significa che qualsiasi sistema progettato per massimizzare una metrica può essere invertito per minimizzarla, o per massimizzare un dannoso correlato.

●​ Cybersecurity: Un modello addestrato a identificare e patchare vulnerabilità zero-day (codifica difensiva) deve comprendere la meccanica dell'exploit. Invertito, diventa un motore automatizzato per la scoperta e la trasformazione in arma delle zero-day. ¹⁰

●​ Sistemi finanziari: Un modello ottimizzato per rilevare le frodi apprendendo i pattern di illecite transazioni può essere invertito per generare transazioni che imitano perfettamente il legittimo comportamento, di fatto "ottimizzando" il riciclaggio di denaro. ¹¹

●​ Pianificazione strategica: Un'IA progettata per ottimizzare la strategia di mercato di una società potrebbe, se allineata a una funzione obiettivo spietata, proporre strategie che tecnicamente massimizzano il valore per gli azionisti ma violano le leggi antitrust o gli standard etici.

L'Executive Order sullo sviluppo e l'uso sicuro, protetto e affidabile dell'intelligenza artificiale evidenzia esattamente questa capacità—abbassare la barriera d'ingresso per lo sviluppo di minacce biologiche, chimiche e informatiche—come una primaria preoccupazione di sicurezza nazionale. ¹⁰ Le attuali risposte del settore tecnologico spesso coinvolgono "filtri di sicurezza" o "addestramento all'allineamento," ma come esploreremo, questi interventi di superficie sono matematicamente fragili di fronte alle profonde capacità di ottimizzazione strutturale dell'IA moderna.

2. La fallacia del wrapper LLM: perché i guardrail di superficie falliscono

La tendenza prevalente nell'attuale "corsa all'oro dell'IA" è il dispiegamento del "wrapper

LLM"—un'applicazione che funge da interfaccia sottile tra un utente e un modello di fondazione (come GPT-4, Claude o Llama). Questi wrapper utilizzano il prompt engineering (System Prompt) e un filtraggio dei contenuti di base per orientare il comportamento del modello. Per le applicazioni industriali ad alto rischio, in particolare quelle che coinvolgono la sicurezza fisica e la bio-sicurezza, questo approccio è pericolosamente inadeguato.

2.1 Il limite del "consulente disincarnato"

I Large Language Model (LLM) sono fondamentalmente motori probabilistici disincarnati. Predicono il token successivo sulla base di correlazioni statistiche nei loro dati di addestramento, non su una comprensione fondata della realtà fisica o biologica. Come notato nella ricerca sugli LLM nella scoperta scientifica, un LLM agisce come un "consulente disincarnato" piuttosto che come un assistente di ricerca in laboratorio. ¹³

Nel contesto della bio-sicurezza, un wrapper LLM manca dei loop di feedback integrati necessari per verificare la sicurezza. Opera sul linguaggio, non sulle leggi della fisica o della chimica. Quando a un wrapper viene chiesto di progettare una molecola, può "allucinare" strutture dal suono plausibile ma chimicamente invalide. Più pericolosamente, se does genera una struttura valida, manca dell'intrinseca capacità di verificarne la tossicità oltre semplici lookup in database. Se una molecola è nuova—come lo erano migliaia degli analoghi del VX generati nell'esperimento MegaSyn—l'LLM non ha alcun riferimento testuale per segnalarla come pericolosa. ¹³

La "conoscenza" di un LLM è statica, congelata al momento dell'addestramento. Non può eseguire una simulazione per determinare se un nuovo fold proteico è patogeno. Può solo ricordare che "l'antrace è cattivo." Questo affidamento alla memorizzazione meccanica di concetti "cattivi" è un difetto fatale quando si ha a che fare con sistemi generativi progettati per esplorare spazi concettuali new.

2.2 La fragilità del filtraggio post-hoc

La maggior parte delle soluzioni di IA enterprise si affida a "guardrail" che funzionano come filtri post-hoc. Questi sistemi intercettano il prompt dell'utente (filtraggio in input) o la risposta del modello (filtraggio in output) e lo confrontano con un elenco di termini vietati, espressioni regolari (Regex) o un modello di classificazione secondario (ad es., l'endpoint di moderazione di OpenAI). ¹⁵

Tabella 2: Limiti del filtraggio post-hoc nei domini ad alto rischio

Tipo di limite	Descrizione	Conseguenza in bio-sicurezza
Cecità contestuale	I filtri cercano specifici parole chiave (ad es., "VX", "Sarin", "Bomba").	Non blocca nuovi composti o precursori che mancano di nomi comuni

Col1	Col2	(ad es., "Compound X-293").
Offuscamento SMILES	La tossicità è codificata nella struttura, non nel nome.	Un filtro blocca la parola "Sarin" ma lascia passare la stringa SMILES O=P(C)(F)O, che il modello comprende come Sarin.
Scogliere di attività	Modifiche strutturali minori causano massicci spostamenti di tossicità.	Un wrapper vede una molecola simile al 99% a un farmaco sicuro e la approva, perdendo il singolo atomo che conferisce la letalità.17
Natura reattiva	Blocca il contenuto_afer_ generazione.	Il modello ha già eseguito il calcolo. In un sistema in tempo reale, la latenza consente potenziali fughe o attacchi side-channel.

Il problema dell'"activity cliff" è particolarmente condannatorio per i wrapper basati sul testo. In chimica medicinale, un activity cliff si verifica quando un cambiamento molto piccolo nella struttura porta a un cambiamento sproporzionatamente grande nella proprietà biologica. ¹⁸ Un wrapper che usa un filtro basato sulla similarità potrebbe approvare una molecola perché assomiglia "per lo più" all'aspirina o a un inibitore di chinasi sicuro, senza riconoscere che la sostituzione di un gruppo idrossile con un atomo di fluoro ha radicalmente alterato il suo profilo di tossicità. I modelli basati sul testo, che operano sulla distanza semantica dei token piuttosto che su varietà di bio-attività 3D, sono notoriamente deboli nel predire questi cliff. ¹⁴

2.3 Vulnerabilità avversaria: l'attacco "SMILES"

La prova più convincente contro l'approccio wrapper è la prevalenza del "jailbreaking"—attacchi avversari progettati per aggirare l'addestramento di sicurezza. Mentre il "Red Teaming" si concentra spesso sull'ingegneria sociale (ad es., "la ricetta del napalm della nonna"), i rischi tecnici nella bio-sicurezza sono ben più sofisticati.

L'attacco SMILES-Prompting: Ricerche recenti hanno dimostrato una nuova tecnica di jailbreak nota come "SMILES-prompting." Gli attaccanti aggirano i filtri di sicurezza inserendo la rappresentazione ASCII (SMILES) di una molecola vietata anziché il suo nome. I filtri di contenuto addestrati sul linguaggio naturale spesso non riconoscono la semantica tossica nascosta nella sintassi chimica.20

●​ Meccanismo: L'attaccante richiede istruzioni di sintesi per [O-]S(=O)(=O)[O-].. (solfato di tallio, un veleno per topi) invece di chiedere "veleno."

●​ Risultato: L'LLM, riconoscendo la sintassi chimica ma senza innescare il filtro di parole chiave per contenuti "dannosi", fornisce ossequiosamente il protocollo di sintesi.

●​ Scala: Gli studi mostrano che questo metodo può aggirare i meccanismi di sicurezza in modelli di punta come GPT-4 e Claude 3 con tassi di successo allarmanti, talvolta superiori al 90% per specifiche sostanze. ¹¹

Inoltre, framework di attacco automatizzati come ToxicTrap utilizzano algoritmi evolutivi per trovare piccole perturbazioni a livello di parola che inducono i classificatori di tossicità a etichettare testo tossico come benigno. ²² Se un sistema di sicurezza può essere sconfitto da un sinonimo, non è un sistema di sicurezza—è un dosso.

Per una società di consulenza enterprise come Veriprajna, costruire una soluzione sopra un wrapper facilmente eludibile è una responsabilità. Una vera sicurezza di grado enterprise richiede una fondamentale re-ingegnerizzazione di come il modello naviga il proprio spazio latente.

3. La geometria della tossicità: comprendere i rischi latenti

Per comprendere perché i wrapper falliscono e come Veriprajna riesce, occorre comprendere il ambiente matematico in cui operano i modelli generativi: lo spazio latente . I modelli generativi profondi (VAE, GAN, modelli di diffusione) non memorizzano i dati; imparano a mappare dati ad alta dimensionalità (come le strutture molecolari) in una rappresentazione compressa a dimensionalità inferiore chiamata spazio latente ($Z$). In questo spazio, i punti dati simili sono raggruppati insieme, e la generazione è l'atto di campionare da questa varietà.

3.1 La varietà continua della tossicità

Il "paesaggio della tossicità" è una regione all'interno di questo spazio latente. Non è un elenco discreto di cattive molecole, ma una varietà continua—una forma definita dalle proprietà fisico-chimiche che conferiscono letalità.

●​ Rischio continuo: La tossicità non è binaria; è un gradiente. La transizione da un terapeutico farmaco a un agente tossico può essere una traiettoria liscia nello spazio latente. Un modello in effetti "interpola" tra molecole note. Se interpola tra due molecole sicure che racchiudono una regione tossica, il percorso può attraversare la "Valle della Morte". ²³

●​ L'ipotesi della varietà: L'assunto centrale del deep learning è che i dati del mondo reale giacciano su una varietà a dimensionalità inferiore immersa in uno spazio ad alta dimensionalità. Gli attacchi avversari spesso sfruttano le regioni off questa varietà, o "buchi" nella distribuzione dove il comportamento del modello è indefinito e imprevedibile. ²⁵

Quando i ricercatori di Collaborations Pharmaceuticals hanno "invertito l'interruttore," hanno essenzialmente detto al modello di eseguire una salita del gradiente lungo il "vettore di tossicità" in questo spazio latente. Poiché lo spazio è continuo, il modello poteva facilmente scivolare dai composti sicuri nella regione di alta tossicità.

3.2 Il problema dell'intreccio

Idealmente, un modello generativo disintreccerebbe "tossicità" da "bioattività" in assi ortogonali separati nello spazio latente. Se così fosse, la sicurezza sarebbe semplice come bloccare l' asse "tossicità" a zero. Tuttavia, nei modelli biologici profondi, queste caratteristiche sono profondamente intrecciate .

Una caratteristica fisico-chimica che consente a un farmaco di penetrare la barriera emato-encefalica (un tratto altamente desiderabile per trattare l'Alzheimer o il Parkinson) è spesso esattamente la stessa caratteristica che consente a un agente nervino di raggiungere il suo bersaglio e causare paralisi. ¹ Analogamente, un'alta affinità di legame—la capacità di aderire saldamente a una proteina—è buona per un farmaco ma fatale se la proteina è l'acetilcolinesterasi (il bersaglio del VX).

A causa di questo intreccio, i semplici meccanismi di "rifiuto" (come quelli nei wrapper) di fatto lobotomizzano il modello. Se si bloccano tutte le caratteristiche associate alla tossicità (ad es., "blocca tutta la penetrazione della barriera emato-encefalica"), si distrugge l'utilità terapeutica del modello. La sfida è navigare la varietà operativa sicura —un sottoinsieme dello spazio latente in cui l'efficacia è preservata ma la tossicità è topologicamente esclusa.

3.3 Collasso della rappresentazione e activity cliff

Uno dei fallimenti critici dei modelli "black box" standard è il collasso della rappresentazione . Questo si verifica quando il modello mappa due molecole distinte sugli stessi punti, o quasi identici, nello spazio latente perché non cattura la sottile differenza strutturale che le distingue esse.

●​ Limiti basati su grafo: Molti modelli molecolari usano reti neurali a grafo (GNN). Per quanto potenti, le GNN possono faticare a distinguere tra stereoisomeri o sostituzioni atomiche minori se la profondità del message-passing è insufficiente. Ciò porta al collasso della rappresentazione, in cui una tossina e un farmaco sicuro condividono lo stesso embedding latente. ¹⁷

●​ La conseguenza: Se il modello non può distinguere il punto "sicuro" da quello "tossico" nella sua geometria interna, nessuna quantità di filtraggio esterno lo salverà. Il modello crede che siano lo stesso.

●​ Soluzioni basate su immagine: Ricerche emergenti, come il framework MaskMol, suggeriscono che rappresentazioni basate su immagine (apprendimento da immagini molecolari) o approcci multimodali possano catturare meglio queste sottili distinzioni, preservando i "cliff" nel paesaggio latente. ¹⁷

L'approccio di Veriprajna utilizza modelli generativi consapevoli della topologia che mappano la functional topologia (attività) piuttosto che solo la topologia structural (sintassi). Questo assicura che gli activity cliff siano rispettati come "confini duri" nel processo di generazione sicura, impedendo al modello di scivolare attraverso un cliff nella tossicità. ²⁶

4. La metodologia di Veriprajna: governance dello spazio latente

Veriprajna si differenzia andando oltre il paradigma del "wrapper" per implementare la governance dello spazio latente . Questo implica un intervento nel processo di generazione before che i dati siano decodificati, applicando vincoli strutturali che rendono la generazione di contenuti tossici matematicamente impossibile (o statisticamente trascurabile) anziché semplicemente "filtrata."

4.1 Vincoli strutturali: lo scudo matematico

Il filtraggio post-hoc è reattivo: il modello genera un candidato e un giudice lo respinge. La generazione vincolata è proattiva: al modello è impedito di considerare candidati non sicuri.

Tabella 3: Confronto dei paradigmi di sicurezza

Caratteristica	Filtraggio post-hoc (Wrapper)	Strutturali/latenti Vincoli (Veriprajna)
Meccanismo	Genera $\rightarrow$ Revisiona $\rightarrow$ Accetta/Respinge	Vincola il campionamento latente $\rightarrow$ Genera
Punto di controllo	Output (Testo/Pixel/SMILES)	Vettore latente ($z$) / Geometria della varietà
Costo computazionale	Alto (generazione sprecata cicli su output respinti)	Basso (vincoli applicati durante campionamento/inferenza)
Robustezza	Bassa (suscettibile a jailbreak/offuscamento)	Alta (i vincoli sono intrinseci alla matematica)
Gestione della novità	Fallisce (non può filtrare ciò che non conosce)	Successo (vincola in base a varietà di proprietà)
Conformità	Traccia di audit dei rifiuti (rumorosa)	Prova matematica di comportamento delimitato

4.2 Apprendimento post-hoc dei vincoli latenti

Veriprajna impiega tecniche per apprendere i vincoli post-hoc su incondizionati pre-addestrati modelli. Questo evita il costo proibitivo di riaddestrare foundation model massicci assicurando al contempo un controllo robusto.

Il flusso di lavoro:

1.​ Pre-addestramento non supervisionato: Partiamo da un potente modello generativo incondizionato (VAE o GAN) che apprende la distribuzione di strutture chimiche valide ($p(x)$). Questo modello apprende "come fare le molecole" ma non "quali molecole fare". ²³

2.​ Addestramento della funzione di vincolo: Addestriamo una "Value Function" separata ($v(z)$) oppure una "Constraint Function" ($c(z)$) che opera direttamente sullo spazio latente. Questa funzione mappa un vettore latente $z$ a un punteggio di sicurezza.

○​ Questa funzione è addestrata su dati etichettati (tossico vs. sicuro) per identificare le "regioni" dello spazio latente che corrispondono ad alta tossicità.

○​ Crucialmente, a differenza dell'esperimento MegaSyn che optimized per questa regione, noi definiamo questa regione come una Zona proibita (o varietà negativa).

3.​ Campionamento vincolato (gradient steering): Durante la fase di generazione, usiamo un'ottimizzazione basata sul gradiente (come la dinamica di Langevin) per spostare la distribuzione di campionamento.

○​ Se un vettore campionato $z$ cade in o vicino a una regione tossica, il gradiente della funzione di vincolo $\nabla c(z)$ spinge il vettore indietro nella varietà sicura before che sia decodificato in una molecola.

○​ Questo è matematicamente analogo a "sterzare" la generazione lontano dal bordo del cliff. Il modello "immagina" una molecola tossica ma è costretto a risolverla in un analogo sicuro. ²³

4.3 Analisi topologica dei dati (TDA) e difesa della varietà

Per affrontare il rischio di nuove tossine che giacciono fuori dalla distribuzione di addestramento (Out-Of-Distribution o OOD), Veriprajna utilizza l'Analisi topologica dei dati (TDA).

●​ Diagrammi di persistenza: Calcoliamo i diagrammi di persistenza dei dati di addestramento "sicuri" dati. Questa tecnica matematica analizza la forma della nuvola di dati (i suoi buchi, loop e vuoti) a scale diverse. Ci dà un'impronta topologica di come la "sicurezza" appare come. ²⁶

●​ Distanza dalla varietà: Quando il modello propone un vettore $z$, ne calcoliamo la distanza dalla varietà dei dati sicuri usando la decomposizione guidata dalla varietà.

●​ Il rilevamento del vuoto: Se un vettore giace troppo lontano dalla varietà—fluttuando nel "vuoto" dello spazio latente—è segnalato come ad alto rischio, anche se i predittori specifici di tossicità sono incerti. Gli attacchi avversari spesso cercano di nascondere tossine in queste regioni a bassa densità (i "buchi" nella conoscenza del modello). La TDA ci consente di rilevare e respingere queste anomalie in base alla geometria, non solo alla probabilità. ²⁵

4.4 Apprendimento per rinforzo vincolato (CRL) con incentivi

adattivi

Per i modelli che richiedono ottimizzazione (ad es., massimizzare la potenza del farmaco), utilizziamo l'apprendimento per rinforzo vincolato (CRL) piuttosto che la semplice massimizzazione della ricompensa.

●​ RL standard: Massimizza la ricompensa $R$. (Rischio: lo scenario dell'"interruttore invertito" in cui $R$ diventa tossicità).

●​ CRL di Veriprajna: Massimizza la ricompensa $R$ soggetto al costo $C < Limit$.

●​ Meccanismo di incentivo adattivo: L'RL vincolato tradizionale può essere instabile, oscillando intorno al confine del vincolo. Veriprajna implementa un incentivo adattivo meccanismo che premia l'agente per restare well within i limiti, non solo per non attraversarli.

○​ Introduciamo una "zona cuscinetto" nello spazio latente. Man mano che il modello si avvicina al vincolo di tossicità, una penalità crescente (funzione barriera) lo spinge indietro, assicurando una convergenza liscia e stabile verso soluzioni sicure. ²⁹

5. Approfondimento tecnico: affrontare la vulnerabilità "MegaSyn"

Per mettere davvero in sicurezza la chimica generativa, dobbiamo sezionare le specifiche vulnerabilità architetturali esposte dall'esperimento MegaSyn e affrontarle con i nostri proposti strutturali guardrail.

5.1 Decostruire MegaSyn

Il modello MegaSyn citato nel paper di Nature Machine Intelligence utilizza un approccio di ensemble specifico ⁵ :

●​ Generatore centrale: Una rete neurale ricorrente (RNN) basata su LSTM.

●​ Rappresentazione in input: Stringhe SMILES tokenizzate in caratteri (ad es., "C", "N", "=", "1").

●​ Metodo di addestramento: "Teacher Forcing," in cui al modello viene fornito il token precedente corretto durante l'addestramento per accelerare la convergenza.

●​ Priming: Il modello crea "Primed Models" affinando su sotto-strutture specifiche di una molecola bersaglio usando le regole RECAP.

●​ La vulnerabilità di ottimizzazione: L'algoritmo "Hill-Climb" è un metodo di ottimizzazione greedy. Quando la funzione di punteggio è stata invertita a Score = Toxicity, il modello ha scalato in modo efficiente il gradiente verso la letalità massima perché la "sintassi" di un agente nervino (legami fosforo-ossigeno, catene laterali alchiliche specifiche) è chimicamente valida ed era presente nei dati di addestramento (ChEMBL), anche se non etichettata come "arma."

5.2 Prevenire il "flip": il protocollo Veriprajna

Come la governance dello spazio latente di Veriprajna impedirebbe un flip in stile MegaSyn?

1.​ Vincoli hard-coded: Invece di una funzione di ricompensa mutabile che un utente può semplicemente invertire ($-1$ in $+1$), Veriprajna incorpora il vincolo di tossicità nel campionamento posteriore . Il vincolo non è un numero in uno script Python; è una condizione al contorno nel motore di inferenza. Per "invertirlo", occorrerebbe riarchitettare fondamentalmente il software, non solo cambiare un file di configurazione.

2.​ Restrizione della varietà: La "varietà CWA" (spazio degli agenti di guerra chimica) sarebbe mappata usando la TDA. Questa regione sarebbe designata come uno "spazio nullo." Qualsiasi aggiornamento di gradiente che tenti di spostare il vettore latente in questo spazio verrebbe azzerato o invertito.

3.​ Rilevamento degli activity cliff: Il nostro modello utilizzerebbe rappresentazioni basate su immagine (come MaskMol) accanto a rappresentazioni a grafo per rilevare i sottili motivi strutturali degli agenti nervini (ad es., il legame P-F in Sarin/Soman) che potrebbero essere persi da semplici modelli basati su descrittori. Questi motivi innescherebbero una "penalità di cliff" che sovrascrive la ricompensa hill-climb. ¹⁷

6. Panorama regolamentare e conformità

Il passaggio da "Wrapper" a "guardrail strutturali" non è solo un aggiornamento tecnico; è una necessità strategica guidata da un ambiente regolamentare in rapido irrigidimento. I governi e gli organismi internazionali stanno passando da "linee guida volontarie" a rigorosi framework di conformità che esigono spiegabilità, controllo e sicurezza dimostrata.

6.1 L'ordine esecutivo della Casa Bianca e la Genesis Mission

L'Executive Order sullo sviluppo e l'uso sicuro, protetto e affidabile dell'intelligenza artificiale (ottobre 2023) e la successiva "Genesis Mission" (novembre 2025) rappresentano uno spostamento sismico nella politica federale sull'IA. ¹⁰

●​ Il mandato: L'EO identifica esplicitamente il rischio che l'IA abbassi le barriere allo sviluppo di armi CBRN (Chimiche, Biologiche, Radiologiche, Nucleari) come una minaccia di sicurezza nazionale di livello 1.

●​ La Genesis Mission: Questa nuova iniziativa dirige il Department of Energy (DOE) a costruire una piattaforma di IA integrata per la scoperta scientifica. Crucialmente, impone "misure di cybersecurity basate sul rischio appropriate" e ambienti sicuri per la sperimentazione diretta dall'IA. ³²

●​ Divario di conformità: Un wrapper LLM standard non può dimostrare di impedire la creation di minacce biologiche; può solo mostrare che tries a filtrarle. Questo approccio di "best effort" probabilmente non soddisferà gli standard "sicuri e affidabili" richiesti per contratti federali o l'integrazione con la Genesis Platform.

●​ Il vantaggio di Veriprajna: I nostri vincoli strutturali forniscono prova di impossibilità (entro limiti statistici). Possiamo dimostrare ai regolatori che la "varietà CBRN" è inaccessibile ai nostri modelli, allineandoci perfettamente al requisito dell'EO di rigorosi test di sicurezza e "Red Teaming". ³³

6.2 NIST AI Risk Management Framework (AI RMF 1.0)

Il NIST AI RMF è lo standard aureo per la governance civile dell'IA negli USA. Enfatizza quattro funzioni: Map, Measure, Manage, and Govern . ³⁴

●​ Profilo di IA generativa (NIST.AI.600-1): Questo profilo specifico identifica le "Informazioni CBRN" come un rischio unico esacerbato dalla GenAI. ³⁶ Avverte che "Chemical and Biological Design Tools (BDTs)" possono predire strutture nuove non presenti nei dati di addestramento.

●​ Allineamento Veriprajna:

○​ Measure: Il nostro uso dell'Analisi topologica dei dati (TDA) fornisce metriche quantitative per l'incertezza epistemica —misurando quanto "lontano" un output generato sia dai dati sicuri noti. Questo soddisfa il requisito NIST di misurazione rigorosa dell'affidabilità del sistema.

○​ Manage: I vincoli latenti forniscono un meccanismo tecnico per gestire il rischio che è superiore ai tentativi basati su policy. Passiamo da "Policy as Documentation" a "Policy as Code" (o piuttosto, "Policy as Geometry").

6.3 ISO/IEC 42001:2023

ISO 42001 è il primo standard internazionale al mondo di sistema di gestione per l'IA, fornendo un framework certificabile per la governance dell'IA. ³⁸

●​ Requisito centrale: Lo standard impone "Sicurezza e uso etico" e "Robustezza e resilienza" contro gli attacchi avversari. Richiede alle organizzazioni di eseguire valutazioni d'impatto dell'IA e di implementare controlli per mitigare i rischi identificati.

●​ Robustezza avversaria: ISO 42001 evidenzia specificamente la necessità di difendersi da input progettati per manipolare il comportamento del modello (come lo SMILES prompting). Veriprajna difesa della varietà affronta esplicitamente questo respingendo input che producono vettori latenti fuori dalla varietà di dati valida, neutralizzando i tentativi di "jailbreak" che si basano su prompt fuori distribuzione. ⁴⁰

●​ Certificazione: L'approccio strutturato di Veriprajna consente tracce di audit chiare. Possiamo registrare non solo gli output, ma le constraint violations tentate dal modello durante il processo di generazione, fornendo agli auditor dati granulari sulle prestazioni di sicurezza del sistema. ⁴¹

7. Strategia di implementazione: il protocollo "Deep Solution"

Veriprajna si posiziona non come fornitore di chatbot, ma come architetto di un'infrastruttura di IA sicura e specifica di dominio. La nostra strategia di implementazione per i clienti segue un protocollo "Deep Solution" in quattro fasi progettato per trasformare la loro IA da un wrapper rischioso a un motore di scoperta governato.

Fase 1: Mappatura della varietà e audit topologico

Prima di dispiegare qualsiasi modello generativo, eseguiamo un audit topologico dei dati proprietari del cliente e dei dati pubblici rilevanti (ad es., ChEMBL, Tox21).

●​ Obiettivo: Definire la "varietà operativa sicura."

●​ Tecnica: Usare l'omologia persistente per identificare le caratteristiche topologiche (loop, vuoti) delle regioni sicure vs. tossiche.

●​ Deliverable: Una "mappa di topologia della sicurezza" che visualizza i confini dello spazio latente e identifica potenziali "buchi" in cui il modello potrebbe allucinare o essere attaccato.

Fase 2: Addestramento dei vincoli latenti (i "Critici")

Non ci limitiamo a fare il fine-tuning del modello di base (che rischia il catastrophic forgetting). Invece, addestriamo reti ausiliarie leggere chiamate Constraint Critics .

●​ Tecnica: Apprendimento post-hoc di funzioni di valore ($v(z)$) che predicono punteggi di rischio dagli embedding latenti. ²³

●​ Architettura: Questi critici sono disaccoppiati dal generatore. Questo è un vantaggio architetturale cruciale: man mano che nuove minacce sono identificate (ad es., una nuova classe di armi chimiche), possiamo aggiornare il Critico senza riaddestrare il foundation model massiccio, assicurando agilità e sicurezza aggiornata.

Fase 3: Integrazione di campionamento vincolato e steering

Integriamo i constraint critic direttamente nella pipeline di inferenza del cliente.

●​ Meccanismo: Durante la generazione, usiamo la dinamica di Langevin o lo gradient steering .

●​ Processo: Mentre il modello campiona lo spazio latente per generare una molecola, il Critico calcola il gradiente della superficie di tossicità. Se la traiettoria punta verso una regione tossica, il meccanismo di steering applica un gradiente opposto, "spingendo" la traiettoria indietro verso la varietà sicura.

●​ Risultato: Il modello in effetti "pensa" a una molecola tossica ma è matematicamente costretto a "risolvere" il pensiero in un analogo sicuro prima che qualsiasi output sia generato.

Fase 4: Molecular Red Teaming e supporto alla certificazione ISO

Sottoponiamo il sistema dispiegato al "Molecular Red Teaming."

●​ Metodo: Usiamo agenti avversari automatizzati (come ToxicTrap e bot custom di SMILES-prompting) per bombardare il modello con input edge-case, tentando di forzarlo attraverso gli activity cliff. ²¹

●​ Verifica: Forniamo un certificato di sicurezza basato sulla probabilità statistica di violazione del vincolo (ad es., "Probability of toxic generation < $10^{-6}$"), fornendo la base evidenziale per la certificazione ISO 42001.

8. Conclusione: il futuro dell'innovazione sicura

L'esperimento dell'"interruttore invertito" di Collaborations Pharmaceuticals non è stato un'anomalia; è stata una dimostrazione della volatilità fondamentale dell'ottimizzazione non vincolata nell'IA. Nella corsa a dispiegare l'IA enterprise, molte organizzazioni costruiscono castelli sulla sabbia—affidandosi a wrapper fragili che crollano sotto pressione avversaria o contesti nuovi.

Per l'industria farmaceutica, e invero per qualsiasi settore che tratti realtà fisiche o finanziarie ad alto rischio, l'era del "Wrapper" deve finire. La sicurezza non può essere incollata all'output; deve essere incorporata nella geometria del modello stesso.

Veriprajna offre l'unico percorso praticabile in avanti: soluzioni Deep AI . Padroneggiando lo spazio latente, non ci limitiamo a filtrare l'oscurità; ristrutturiamo l'universo matematico del modello per assicurare che la luce della scoperta sia l'unico percorso che possa prendere. Forniamo i guardrail che consentono all'innovazione enterprise di accelerare senza il rischio di un fallimento dual-use catastrofico.

Questa non è solo IA sicura. Questa è intelligenza strutturalmente assicurata .

Appendice A: Formulazione matematica dei vincoli latenti

Per fornire una base rigorosa alla nostra "governance dello spazio latente," dettagliamo la formulazione matematica dei vincoli applicati durante il processo di generazione.

A.1 Il problema di ottimizzazione vincolata

Formuliamo il processo generativo non come un semplice campionamento $z \sim p(z)$, ma come un problema di ottimizzazione vincolata. Sia $G(z)$ il generatore che mappa il vettore latente $z$ nello spazio dei dati $X$. Sia $C(x)$ una funzione di costo (ad es., predittore di tossicità). Cerchiamo di campionare $z$ tale che:

$$\min_z \mathcal{L}_{gen}(z) \quad \text{s.t.} \quad C(G(z)) < \epsilon$$

dove $\epsilon$ è la soglia di sicurezza.

A.2 Funzioni di valore post-hoc

Poiché valutare $C(G(z))$ (generare la molecola ed eseguire un predittore) è costoso e non differenziabile, apprendiamo una Latent Value Function $V(z)$ che approssima il costo direttamente nello spazio latente:

$$V(z) \approx C(G(z))$$

Questa funzione è addestrata a minimizzare l'errore quadratico medio su un dataset di campioni generati $\{(z_i, y_i)\}$, dove $y_i$ è la tossicità ground truth.

A.3 Gradient steering (dinamica di Langevin)

Durante l'inferenza, campioniamo un iniziale $z_0$ dalla prior $p(z)$. Poi aggiorniamo iterativamente $z$ usando il gradiente della funzione di valore per spostarlo nella regione sicura:

$$z_{t+1} = z_t - \alpha \nabla_z V(z_t) + \sqrt{2\alpha} \xi_t$$

dove:

●​ $\alpha$ è la dimensione del passo (learning rate).

●​ $\nabla_z V(z_t)$ è il gradiente della funzione di valore di tossicità (sterzando via dalla tossicità).

●​ $\xi_t \sim \mathcal{N}(0, I)$ è rumore gaussiano aggiunto per mantenere la diversità (Langevin noise). ²³

Questo processo assicura che il campionato finale $z$ giaccia nella varietà sicura definita da $V(z) < \epsilon$ before il generatore $G(z)$ sia mai chiamato a produrre la molecola finale.

Appendice B: Analisi dettagliata dei framework regolamentari

B.1 NIST AI RMF 1.0 e profilo GenAI

Clausola rilevante: NIST.AI.600-1 (Generative AI Profile)

●​ Rischio 2.1: Informazioni o capacità CBRN. "Lowered barriers to entry... access to materially nefarious information... design tools (BDTs) may predict novel structures."

●​ Azione Veriprajna: Affrontiamo esplicitamente il rischio di "struttura nuova" via TDA. Definendo la sicurezza in modo topologico, non ci affidiamo a un elenco di "known bads" (che fallisce per strutture nuove) ma alla "forma dei known goods."

B.2 ISO/IEC 42001:2023

Clausola rilevante: A.9.2 (AI System Safety)

●​ Requisito: "The organization shall implement controls to ensure AI systems act safely... taking into account the need for fallback plans."

●​ Azione Veriprajna: Il nostro meccanismo di incentivo adattivo funge da fallback. Se lo steering primario del gradiente fallisce (ad es., il gradiente svanisce), il sistema torna a un "centroide" sicuro nello spazio latente piuttosto che emettere il campione grezzo.

Clausola rilevante: A.10.3 (Adversarial Attacks)

●​ Requisito: "The organization shall assess the vulnerability... to adversarial attacks."

●​ Azione Veriprajna: Forniamo un "Red Teaming Report" come deliverable standard, quantificando la resistenza del sistema agli attacchi ToxicTrap e SMILES-prompting. ²¹

Opere citate

1. AI Can Create Deadly Weapons? Scientists Sound Alarm! | WION Podcast YouTube, consultato l'11 dicembre 2025, https://www.youtube.com/watch?v=oedheh87lnI

2. Artificial intelligence finds 40,000 toxic molecules - Digitec, consultato l'11 dicembre 2025, https://www.digitec.ch/en/page/artificial-intelligence-finds-40000-toxic-molecules-23192

3. Artificial intelligence could be repurposed to create new biochemical weapons | King's College London, consultato l'11 dicembre 2025, https://www.kcl.ac.uk/news/artificial-intelligence-could-be-repurposed-to-create-new-biochemical-weapons

4. Meet the harmful side of AI, as lethal as chemical weapons - IndiaAI, consultato l'11 dicembre 2025, https://indiaai.gov.in/article/meet-the-harmful-side-of-ai-as-lethal-as-chemical-weapons

5. (PDF) MegaSyn: Integrating Generative Molecular Design ..., consultato l'11 dicembre 2025, https://www.researchgate.net/publication/360904282_MegaSyn_Integrating_Generative_Molecular_Design_Automated_Analog_Designer_and_Synthetic_Viability_Prediction

6. MegaSyn: Integrating Generative Molecular Design, Automated Analog Designer, and Synthetic Viability Prediction | ACS Omega - ACS Publications, consultato l'11 dicembre 2025, https://pubs.acs.org/doi/10.1021/acsomega.2c01404

7. Well, I never: AI is very proficient at designing nerve agents | John Naughton | The Guardian, consultato l'11 dicembre 2025, https://www.theguardian.com/commentisfree/2023/feb/11/ai-drug-discover-nerve-agents-machine-learning-halicin

8. MegaSyn: Integrating Generative Molecular Design, Automated Analog Designer, and Synthetic Viability Prediction - PMC - PubMed Central, consultato l'11 dicembre 2025, https://pmc.ncbi.nlm.nih.gov/articles/PMC9178760/

9. Dual Use of Artificial Intelligence-powered Drug Discovery - PMC - NIH, consultato l'11 dicembre 2025, https://pmc.ncbi.nlm.nih.gov/articles/PMC9544280/

10. Chemical & Biological Weapons and Artificial Intelligence: Problem Analysis and US Policy Recommendations, consultato l'11 dicembre 2025, https://futureoflife.org/document/chemical-biological-weapons-and-artificial-intelligence-problem-analysis-and-us-policy-recommendations/

11. Involuntary Jailbreak - arXiv, consultato l'11 dicembre 2025, https://arxiv.org/html/2508.13246v1

12. Mitigating Risks at the Intersection of Artificial Intelligence and Chemical and Biological Weapons | RAND, consultato l'11 dicembre 2025, https://www.rand.org/pubs/research_reports/RRA2990-1.html

13. LLMs in Research: the Good, the Bad, and the Future | Enable Medicine, consultato l'11 dicembre 2025, https://www.enablemedicine.com/blog/llms-in-research-the-good-the-bad-and-the-future

14. Are large language models right for scientific research? - CAS.org, consultato l'11 dicembre 2025, https://www.cas.org/resources/cas-insights/are-large-language-models-right-scientific-research

15. How do you implement LLM guardrails to prevent toxic outputs? - Zilliz Vector Database, consultato l'11 dicembre 2025, https://zilliz.com/ai-faq/how-do-you-implement-llm-guardrails-to-prevent-toxic-outputs

16. How do you implement LLM guardrails to prevent toxic outputs? - Milvus, consultato l'11 dicembre 2025, https://milvus.io/ai-quick-reference/how-do-you-implement-llm-guardrails-to-prevent-toxic-outputs

17. MaskMol: knowledge-guided molecular image pre-training framework for activity cliffs with pixel masking - NIH, consultato l'11 dicembre 2025, https://pmc.ncbi.nlm.nih.gov/articles/PMC12462177/

18. Recent Progress in Understanding Activity Cliffs and Their Utility in Medicinal Chemistry, consultato l'11 dicembre 2025, https://www.researchgate.net/publication/256187970_Recent_Progress_in_Understanding_Activity_Clifs_and_Their_Utility_in_Medicinal_Chemistry f

19. DeepAC – conditional transformer-based chemical language model for the prediction of activity cliffs formed by bioactive compounds - RSC Publishing, consultato l'11 dicembre 2025, https://pubs.rsc.org/en/content/articlehtml/2022/dd/d2dd00077f

20. Breaking the Rules with Chemistry: Understanding SMILES-Prompting LLM Jailbreak Attack, consultato l'11 dicembre 2025, https://www.keysight.com/blogs/en/tech/nwvs/2025/06/12/smiles-prompting-jailbreak-attack

21. SMILES-Prompting: A Novel Approach to LLM Jailbreak Attacks in Chemical Synthesis, consultato l'11 dicembre 2025, https://arxiv.org/html/2410.15641v1

22. Towards Building a Robust Toxicity Predictor - arXiv, consultato l'11 dicembre 2025, https://arxiv.org/html/2404.08690v1

23. LATENT CONSTRAINTS: LEARNING TO GENERATE CONDITIONALLY FROM UNCONDITIONAL GENERATIVE MODELS - IA, consultato l'11 dicembre 2025, https://webia.lip6.fr/~briot/cours/unirio3/Projects/Papers/Latent%20Constraints%20Learning%20to%20Generate%20Conditionally%20from%20Unconditional%20Generative%20Models.pdf

24. Latent Constraints: Learning to Generate Conditionally from Unconditional Generative Models - Google Research, consultato l'11 dicembre 2025, https://research.google/pubs/latent-constraints-learning-to-generate-conditionally-from-unconditional-generative-models/

25. Manifold-driven decomposition for adversarial robustness - NSF Public Access Repository, consultato l'11 dicembre 2025, https://par.nsf.gov/biblio/10568356-manifold-driven-decomposition-adversarial-robustness

26. On the Need for Topology-Aware Generative Models for Manifold-Based Defenses - Liner, consultato l'11 dicembre 2025, https://liner.com/review/on-the-need-for-topologyaware-generative-models-for-manifoldbased-defenses

27. Activity cliff-aware reinforcement learning for de novo drug design - PMC PubMed Central, consultato l'11 dicembre 2025, https://pmc.ncbi.nlm.nih.gov/articles/PMC12013064/

28. [1711.05772] Latent Constraints: Learning to Generate Conditionally from Unconditional Generative Models - arXiv, consultato l'11 dicembre 2025, https://arxiv.org/abs/1711.05772

29. Incentivizing Safer Actions in Policy Optimization for Constrained Reinforcement Learning, consultato l'11 dicembre 2025, https://arxiv.org/html/2509.09208v1

30. Incentivizing Safer Actions in Policy Optimization for Constrained Reinforcement Learning - IJCAI, consultato l'11 dicembre 2025, https://www.ijcai.org/proceedings/2025/0592.pdf

31. Fact Sheet: President Donald J. Trump Unveils the Genesis Mission to Accelerate AI for Scientific Discovery - The White House, consultato l'11 dicembre 2025, https://www.whitehouse.gov/fact-sheets/2025/11/fact-sheet-president-donald-j-trump-unveils-the-genesis-missionto-accelerate-ai-for-scientific-discovery/

32. Launching the Genesis Mission - The White House, consultato l'11 dicembre 2025, https://www.whitehouse.gov/presidential-actions/2025/11/launching-the-genesis-mission/

33. White House Launches 'Genesis Mission' to Accelerate AI-Enabled Scientific Discovery, consultato l'11 dicembre 2025, https://www.morganlewis.com/pubs/2025/12/white-house-launches-genesis-mission-to-accelerate-ai-enabled-scientific-discovery

34. NIST AI RMF - ModelOp, consultato l'11 dicembre 2025, https://www.modelop.com/ai-governance/ai-regulations-standards/nist-ai-rmf

35. Navigating the NIST AI Risk Management Framework - Hyperproof, consultato l'11 dicembre 2025, https://hyperproof.io/navigating-the-nist-ai-risk-management-framework/

36. NIST AI 6001, Artificial Intelligence Risk Management Framework - Johns Hopkins Center for Health Security, consultato l'11 dicembre 2025, https://centerforhealthsecurity.org/sites/default/files/2024-06/2024-06-02-jhchs-nist-ai-6001-rfc.pdf

37. Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile - NIST Technical Series Publications, consultato l'11 dicembre 2025, https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.600-1.pdf

38. Understanding ISO 42001 and Demonstrating Compliance - ISMS.online, consultato l'11 dicembre 2025, https://www.isms.online/iso-42001/

39. ISO/IEC 42001 Certification: AI Management System - DNV, consultato l'11 dicembre 2025, https://www.dnv.com/services/iso-iec-42001-artificial-intelligence-ai--250876/

40. ISO 42001 - Promptfoo, consultato l'11 dicembre 2025, https://www.promptoo.dev/docs/red-team/iso-42001/ f

41. ISO 42001: paving the way for ethical AI | EY - US, consultato l'11 dicembre 2025, https://www.ey.com/en_us/insights/ai/iso-42001-paving-the-way-for-ethical-ai