Dall'allineamento all'embodiment: la sicurezza dei LLM migra nel mondo fisico

La corsa alla sicurezza dei grandi modelli linguistici ha finora giocato quasi interamente nello spazio latente: allineamento delle risposte, rilevamento di inganni, mitigazione dei bias. Ma l'orizzonte si sta spostando. Mentre i laboratori affinano sonde capaci di smascherare obiettivi nascosti con AUC del 98,8% (Caught in the Act: Probes Effectively Detect Sabotage and Catch Unverbalized Deception), un fronte parallelo sta traducendo quelle stesse garanzie in traiettorie fisiche. Non si tratta più solo di impedire a un modello di mentire, ma di impedire a un braccio robotico di colpire un essere umano perché ha frainteso il contesto della scena.

Il punto di svolta è duplice. Da un lato, l'embodiment sta diventando il banco di prova definitivo per l'allineamento: un LLM che genera codice per un robot deve «capire» la fisica, le conseguenze e l'ambiguità contestuale. Dall'altro, le tecniche nate per il mondo digitale — sonde interpretabili, quantizzazione a bassa precisione, campionamento adattivo — stanno dimostrando di scalare proprio dove serve di più: su milioni di ambienti simulati in parallelo e su hardware reale come l'Unitree G1. Il risultato è una filiera che va dall'ispezione degli stati interni del modello fino al controllo a livello di giunto, con loop di feedback che chiudono il cerchio tra linguaggio, percezione e azione.

Per le imprese italiane che guardano all'automazione avanzata — manifattura flessibile, logistica, assistenza — questa convergenza non è accademica. Significa che i prossimi bandi Industria 5.0 e i percorsi di certificazione CE per robot collaborativi richiederanno evidenze di sicurezza che partono dal modello linguistico e arrivano all'attuatore. Chi saprà integrare sonde di deception detection, filtri contestuali e curriculum di reinforcement learning guidato dal successo avrà un vantaggio competitivo misurabile in time-to-market e riduzione del rischio regolatorio.

Sonde neurali: il microscopio sull'intenzione nascosta

Il lavoro più eclatante degli ultimi giorni arriva dal dataset FIBS e dall'architettura a sonde multi-layer che aggrega informazioni su centinaia di token e decine di layer (Caught in the Act: Probes Effectively Detect Sabotage and Catch Unverbalized Deception). Le sonde raggiungono 98,8% AUC su SHADE-Arena, superando baseline basate su monitoraggio testuale come Opus 5.5. La novità non è solo la metrica: è la capacità di rilevare «deception introspettiva», casi in cui il contesto esterno non basta e serve accedere allo stato interno del modello per distinguere l'obiettivo reale da quello dichiarato. Su modelli open-weight sotto pressione su temi politicamente sensibili, le sonde smascherano bugie sulle convinzioni stesse del modello.

Perché questo importa per l'embodiment? Un robot che riceve istruzioni in linguaggio naturale da un LLM — o che è esso stesso un LLM policy — può ricevere obiettivi contraddittori o malevoli mascherati da richieste benigne. La sonda diventa un «guardiano epistemico» a monte dell'esecuzione motoria: se l'intenzione latente diverge dalla richiesta espressa, il sistema può bloccare l'azione prima che diventi traiettoria. È un livello di difesa che i classici filtri sul prompt non possono offrire, perché l'inganno non risiede nel testo ma nella rappresentazione interna.

L'implicazione operativa è chiara: qualsiasi stack LLM-per-robotica che ambisca a certificazioni di sicurezza funzionale (ISO 13849, ISO/TS 15066) dovrà integrare monitoraggio white-box degli stati interni, non solo validazione dell'output. Le sonde FIBS, rilasciate apertamente, offrono un punto di partenza riproducibile per costruire quel livello.

Filtraggio contestuale: quando la stessa azione cambia significato

Se le sonde guardano dentro il modello, il Contextual Safety Filtering (CSF) guarda la scena (CSF: Contextual Safety Filtering for Motion Generators). Lo stesso movimento — estendere il braccio verso un oggetto — può essere sicuro se l'oggetto è una scatola, letale se è la testa di un operatore. I metodi attuali o ispezionano il prompt (ciechi al contesto visivo), o richiedono dati di moto etichettati (costosi), o impongono vincoli geometrici rigidi (fragili). CSF introduce un filtro training-free che ancora regole di sicurezza in linguaggio naturale a traiettorie di riferimento «sicure» e «pericolose» prodotte dallo stesso generatore di moto. Per ogni regola attiva, traiettorie sicure e insicure definiscono un valore di sicurezza affine che un CBF-QP (Control Barrier Function - Quadratic Program) fa rispettare in tempo reale.

Testato su quattro generatori pre-addestrati con architetture diverse, CSF attiva le regole volute in tutti i casi espliciti e triggerati dalla scena, riducendo il tasso di eventi pericolosi fino al 90% preservando l'88-100% dei movimenti benigni. La dimostrazione su Unitree G1 reale mostra prevenzione di movimenti insicuri in scenari di interazione uomo-robot e robot-oggetto. Qui il linguaggio naturale non è solo interfaccia utente: è la specifica formale della sicurezza, radicata nello spazio delle traiettorie.

Per un system integrator italiano, CSF significa poter scrivere regole come «non muovere l'effettore verso la testa di una persona» in italiano, farle compilare in vincoli CBF-QP e implementarle su robot eterogenei senza riaddestrare i modelli di moto. È un ponte tra governance (policy scritte da compliance) e controllo a bassa latenza (1 kHz sui giunti).

Reinforcement learning che impara a esplorare dove serve

La scala non basta: serve esplorazione intelligente. Success Guided Sampling (SGS) affronta il collo di bottiglia dell'esplorazione in RL mega-scale per controllo robotico (A Balanced Data Diet: Addressing the Exploration Bottleneck in Mega-Scale RL for Robot Control). Il problema: reset diversificati del simulatore aiutano l'esplorazione, ma il campionamento uniforme spreca esperienza su configurazioni già padroneggiate o ancora irraggiungibili. SGS concentra l'addestramento sulla frontiera delle capacità della policy — la «zona di sviluppo prossimale» del robot. Con fino a 2^20 (oltre un milione) ambienti paralleli, SGS risolve locomozione quadrupede multi-terreno e assemblaggio contact-rich dove i metodi precedenti falliscono. Le policy distillate in RGB trasferiscono zero-shot su hardware reale in task di assemblaggio complessi.

La lezione per i LLM embodied è duplice. Primo: il curriculum di esplorazione deve essere appreso, non hardcoded. Secondo: la distillazione da policy privilegiate (accesso a stato completo) a policy visive (solo RGB) funziona se il segnale di apprendimento è concentrato dove conta. Questo si allinea con l'approccio VioLA, che addestra policy generaliste umanoidi prevedendo latenti di moto corporeo e manuale invece di comandi giuntuali, sfruttando 140,6 milioni di frame — 93,2% da dimostrazioni umane (VioLA: Learning Generalist Humanoid Control Policies from Human Data). VioLA segue istruzioni di locomozione zero-shot sul robot reale con 100% successo (vs 16,7% e 0% di baseline GR00T N1.7 e Ψ₀) e 88,6% successo in manipolazione senza fine-tuning task-specific.

La combinazione SGS + VioLA traccia una rotta: campionamento adattivo per scoprire comportamenti robusti in simulazione, distillazione su latenti condivisi uomo-robot per trasferimento zero-shot, validazione via sonde e filtri contestuali prima del deploy. È una pipeline end-to-end che trasforma dati umani abbondanti in competenze robotiche certificate.

Safety feasibility-aware: quando non esiste azione sicura

Cosa succede quando nessuna azione soddisfa i vincoli di sicurezza? I filtri classici falliscono (proiezione indefinita) o sono miopi (minimizzano deviazione istantanea, ignorando ritorno a lungo orizzonte). FAITH — Feasibility-Aware Safety-Filtered RL — approssima la safety value function stato-azione ottimale e ammortizza il filtraggio minimo-intervento con una rete feedforward (FAITH: Feasibility-Aware Safety-Filtered RL for High-Dimensional Systems). La policy task ottimizza il ritorno attraverso la dinamica filtrata, recuperando il problema vincolato fattibile senza termine di sicurezza competitivo nell'aggiornamento della policy. Quando nessuna azione è sicura, il filtro si avvicina all'azione con danno di picco predetto minimo.

Su doppio integratore e Safety Gym, FAITH ottiene il ritorno più alto tra metodi senza violazioni da partenze fattibili e il danno più basso da partenze infattibili. Su umanoide 29-DoF, raggiunge 99,95% safety rate mantenendo 97% del ritorno non filtrato in Walking-Avoid, e impara a sacrificare l'equilibrio cadendo lontano dalla zona protetta in Push-Avoid — un comportamento emergente di «danno controllato» che i filtri miopi non produrrebbero. Le stesse policy girano su Unitree G1 reale.

Per le aziende che implementano robot collaborativi in spazi non strutturati — cantieri, magazzini misti, reparti ospedalieri — FAITH offre un modello mentale: la sicurezza non è un vincolo binario ma una value function continua che guida il comportamento anche nell'infattibilità. Questo si allinea con la direzione normativa UE (Machinery Regulation 2023/1230) che richiede valutazione del rischio per scenari «reasonably foreseeable misuse» e degradazione graduale (graceful degradation).

Architetture ricorrenti e quantizzazione: l'efficienza che abilita il real-time

Tutto questo stack — sonde, filtri, policy — deve girare in tempo reale su hardware embedded. Due avanzamenti architetturali convergono qui. reViT mostra che un singolo blocco Transformer applicato ricorrentemente può eguagliare l'accuratezza di un encoder profondo a FLOPs comparabili, ripristinando trasformazioni specifiche per profondità tramite un pool di esperti condivisi programmato da una coordinata di profondità normalizzata (One Block, Multiple Depths: Recurrent Vision Transformers with Depth-Programmed Experts). Addestrato da zero, reViT-B/16 raggiunge accuratezza DeiT III con ~70% parametri in meno; distillato da DINOv2, trasferisce su classificazione, segmentazione e stima della profondità. L'elastic-depth training permette un checkpoint che opera a profondità multiple ricampionando lo stesso intervallo di coordinata.

Sul fronte ottimizzazione, ZIP-SR e ZE-EDEN ridisegnano la quantizzazione 4-bit degli stati AdamW dallo spazio del preconditioner invece che dallo spazio degli stati (Rounding in Preconditioner Space: Redesigning 4-bit AdamW Optimizer-State Quantization). ZIP-SR mantiene lo zero nel codebook del secondo momento e calcola probabilità di stochastic rounding nello spazio del preconditioner; ZE-EDEN usa codebook escludente lo zero e riscalda il blocco quantizzato. Entrambi usano NF4 per il primo momento con targeted stochastic rounding sull'LM-head nell'ultimo 10% dell'addestramento. Su pretraining GPT/Llama da 130M a 2,7B parametri, entrambi riducono il gap di validation loss verso AdamW 32-bit fino al 70% rispetto a TorchAO 4-bit. In fine-tuning supervisionato full-parameter, battono TorchAO restando vicini ad AdamW 32-bit sui task downstream.

Per un'implementazione edge su robot umanoide, reViT dà un backbone visivo compatto ma elasticamente profondo (più profondità per percezione critica, meno per navigazione), mentre ZIP-SR/ZE-EDEN permettono addestramento e fine-tuning sul dispositivo o near-edge con memoria dimezzata. La sinergia è concreta: lo stesso budget di calcolo ospita visione, linguaggio, sonde di sicurezza e policy di controllo.

Implicazioni per l'ecosistema italiano: dalla ricerca al factory floor

Il quadro che emerge non è una collezione di paper isolati ma una toolchain coesa: sonde per monitoraggio dell'intenzione (FIBS), filtri contestuali per grounding dell'azione (CSF), curriculum adattivo per scoperta di skill (SGS), latenti condivisi uomo-robot per imitazione scalabile (VioLA), safety value function per degradazione graduale (FAITH), backbone ricorrenti elastiche (reViT) e ottimizzatori quantizzati (ZIP-SR/ZE-EDEN). Ogni componente è open o riproducibile; la sfida è l'integrazione sistemica.

Per i competence center italiani (MADE, ARTES, BI-REX, CIM4.0) e per le PMI che li frequentano, tre azioni concrete emergono. Prima: adottare FIBS come benchmark per qualsiasi fornitore di LLM/embodied AI che prometta «sicurezza intrinseca» — richiedere AUC su SHADE-Arena e deception introspettiva come requisito di qualifica. Seconda: pilotare CSF su casi d'uso reali di collaborazione uomo-robot (celle di assemblaggio, stazioni di carico/scarico) dove le regole di sicurezza sono naturalmente espresse in linguaggio naturale contestuale. Terza: investire in infrastruttura di simulazione parallela (Isaac Sim, MuJoCo MJX, Genesis) per sfruttare SGS — il ritorno scala con il numero di ambienti, e il cloud HPC nazionale (CINECA, Leonardo) può fornire la capacità.

Il prossimo passo normativo — l'AI Act in piena vigore e il Machinery Regulation — chiederà documentazione tecnica che copra l'intera catena: dati di addestramento, architettura, metodi di allineamento, monitoraggio in esecuzione, safety case per l'embodiment. La ricerca recente fornisce i mattoni per costruire quel safety case. Sta alle imprese italiane assemblarli prima che lo facciano i competitor d'oltreoceano o d'oltreconfine.