Oltre l'immagine: l'infrastruttura che sostiene gli abusi con l'IA

Lettura e dibattito · AEICF

Un'immagine manipolata può essere il punto di partenza di un'indagine. Ma la sua circolazione dipende da una rete di servizi che permette di pubblicare una pagina, mantenerla accessibile, trovarla e ricavarne introiti. Esaminare questa rete solleva interrogativi rilevanti per chi lavora con le immagini scientifiche e forensi: che cosa possiamo osservare? Come ne documentiamo le evidenze? E fino a che punto ci permettono di arrivare tali evidenze?

Sarah Morgan, Hany Farid e Sophie J. Nightingale affrontano questa prospettiva in The Backbone of Abuse: How Infrastructure Providers Enable the Proliferation of AI-Generated Non-Consensual Intimate Imagery, pubblicato il 30 Settembre 2026 su Journal of Online Trust and Safety. Il loro oggetto di studio sono le immagini intime sintetiche non consensuali, una forma di abuso in cui la manipolazione dell'immagine non rende meno reale il danno alla persona rappresentata.

Che cosa hanno studiato e che cosa hanno rilevato

Tra il 5 febbraio e il 19 Marzo 2026, il gruppo di ricerca ha esaminato manualmente 400 siti candidati. Ne ha identificati 88 con i contenuti studiati; 38 di essi erano dedicati interamente a tali contenuti. La selezione è partita da segnalazioni e directory ed è stata ampliata con strumenti per individuare domini simili. Si è concentrata sulle rappresentazioni di persone famose e ha utilizzato indizi relativi ai siti e ai contenuti per classificarli. La natura non consensuale si è basata su una presunzione motivata riguardante tali persone, non su una verifica individuale del loro consenso.

Gli autori hanno esaminato nove componenti: hosting, reti di distribuzione dei contenuti (CDN), DNS, registrazione dei domini, certificati SSL, sistemi di gestione dei contenuti, analisi dei dati, posta elettronica e pubblicità. La loro analisi individua una concentrazione dei rilevamenti in determinati fornitori e tecnologie. La figura 1 e l'appendice A dell'articolo illustrano in dettaglio i conteggi e le basi utilizzate per ciascun servizio.

Tre elementi chiave per interpretare i risultati

Il campione non equivale all'intero Internet

Si tratta di uno studio esplorativo, con una procedura di ricerca e un periodo di osservazione definiti. La selezione tramite domini simili può introdurre distorsioni; inoltre, non permette di estendere automaticamente i risultati a persone prive di una presenza pubblica, spazi privati o siti non individuati. Il suo contributo consiste nel descrivere e rendere visibile una parte dell'ecosistema, non nel fornire un censimento universale.

Una percentuale richiede il suo denominatore

Nella categoria che l'articolo definisce hosting, Cloudflare compare in 64 delle 105 identificazioni di fornitori: circa il 61 %. Questa base di 105 non corrisponde al numero di siti. Un sito può utilizzare più servizi della stessa categoria e, in altre categorie, alcune informazioni non sono state identificabili. Presentare tutte le proporzioni come percentuali degli 88 siti cambierebbe il significato dei risultati. Si vedano la sezione 4.1, la figura 1 e la tabella 1 dell'appendice.

Trovare un dominio noto non misura l'esposizione quotidiana

I ricercatori hanno individuato 82 degli 88 siti nelle prime due pagine dei risultati di Google. Lo hanno fatto mediante ricerche costruite a partire da domini già noti, arrivando a inserirne la URL completa. Il risultato indica che i siti sono stati individuati con quel protocollo; non misura la probabilità che una persona trovi tali contenuti mediante una ricerca generica. La procedura e le sue fasi sono illustrate nella sezione 4.4, pagina 11.

Servizi, intermediari e software: relazioni diverse

Per applicare questo filone di lavoro alla documentazione forense, proponiamo di distinguere con precisione la funzione osservata. Un indirizzo IP pubblico può corrispondere a un intermediario che riceve le richieste e le trasmette a un altro server. Pertanto, il rilevamento di tale indirizzo non permette di identificare da solo il luogo in cui è conservato il contenuto originale. La documentazione di Cloudflare su DNS e proxy inverso descrive questa separazione tra la sua rete e il server di origine.

Qualcosa di simile accade con i sistemi di gestione dei contenuti. Rilevare WordPress può indicare l'uso di un programma installato su un servizio di hosting di terzi. Non dimostra che il sito sia ospitato su WordPress.com. La documentazione ufficiale di WordPress distingue espressamente il software open source dal servizio commerciale di hosting.

Queste cautele rappresentano la nostra proposta di lettura tecnica dello studio. Non eliminano l'interesse a esaminare l'infrastruttura: aiutano a formulare relazioni verificabili. È opportuno distinguere l'osservazione rilevata dalla funzione che le viene attribuita e da qualsiasi conclusione su controllo, conoscenza o responsabilità. Quest'ultima richiede ulteriori evidenze e un'analisi specifica.

Cosa potrebbe accompagnare una schermata web

La domanda che ci poniamo in AEICF è se una schermata possa risultare più informativa incorporando una scheda dell'infrastruttura osservata. Sarebbe una linea di lavoro da valutare, non una procedura che questo studio abbia convalidato per i nostri interventi.

• Oggetto e momento. Pagina o risorsa esaminata, data, ora e fuso orario. Una relazione osservata oggi potrebbe essere cambiata al momento di una successiva consultazione.
• Osservazione conservata. Record DNS, risposta HTTP, certificato presentato o frammento di codice pertinente, insieme alla fonte e al metodo di acquisizione. Il dato originale permette di riesaminare l'interpretazione.
• Funzione attribuita. Distinguere registrazione del dominio, DNS, intermediazione, hosting di origine e software rilevato. Quando le evidenze non consentono di individuare una funzione, lasciarla espressamente indeterminata.
• Ambito e alternative. Indicare ciò che è stato verificato, ciò che proviene da uno strumento esterno e quali spiegazioni rimangono possibili. La condivisione di un fornitore o di una tecnologia non dimostra di per sé che due siti abbiano lo stesso operatore.
• Conservazione e verifica. Documentare strumenti e versioni, conservare i registri necessari e calcolare le impronte di integrità. Un'impronta aiuta a verificare che un file non sia cambiato; non dimostra di per sé che la sua interpretazione sia corretta.

Prima di impostare un'indagine occorrerebbe verificare la riproducibilità delle osservazioni, la gestione delle discrepanze tra strumenti e le informazioni minime necessarie. Occorrerebbe inoltre definire come proteggere i dati delle persone coinvolte ed evitare che la documentazione amplifichi la diffusione dell'abuso. L'utilità del contesto tecnico dipende tanto da ciò che permette di spiegare quanto dai limiti che chiarisce.

Lettura originale e fonti

Morgan, S., Farid, H. e Nightingale, S. J. (2026). The Backbone of Abuse: How Infrastructure Providers Enable the Proliferation of AI-Generated Non-Consensual Intimate Imagery. Journal of Online Trust and Safety, 3(4). Pubblicato il 30 Settembre 2026.

• Pubblicazione originale e DOI.
• Leggi il PDF completo: selezione e raccolta dei dati, pagine 5–8; infrastruttura e denominatori, pagine 8–9; ricerche mirate, pagina 11; etica della ricerca, pagine 25–26; tabelle dei fornitori, pagine 27–29.
• Cloudflare: funzionamento del DNS e del proxy inverso.
• WordPress: differenza tra il software e WordPress.com.

Le illustrazioni sono schemi originali preparati per questa lettura. Il grafico del campione utilizza i conteggi pubblicati dagli autori; lo schema dell'infrastruttura è concettuale e non rappresenta un'indagine su un sito specifico.