Nel 1832
Victor Hugo fece pronunciare all'arcidiacono Frollo una profezia destinata a
durare: "Ceci tuera cela", questo (il libro) ucciderà quello (l'edificio).
La stampa avrebbe sottratto alla cattedrale di pietra il monopolio del sapere,
consegnandolo a chiunque sapesse leggere. Quasi due secoli dopo, un progetto Open
Source nato in sordina, REA Reverse Engineer Anything, ha raccolto in pochi
giorni più di centomila stelle su GitHub promettendo di far smontare a un
agente di intelligenza artificiale qualsiasi programma, fino al codice sorgente.
L'articolo legge il fenomeno con la lente di Hugo: ogni tecnologia che abbatte
un recinto del sapere è insieme liberazione e minaccia. Con questo articolo
intendo distinguere i fatti dalle ipotesi e dalle interpretazioni, ridimensionare
il clamore mediatico, richiamare il quadro giuridico europeo e italiano sulla
decompilazione (art. 64-quater della legge sul diritto d'autore e sentenza Top
System della Corte di giustizia) e proporre una tesi: il sapere tecnico che
diventa accessibile a tutti non va temuto né idolatrato, ma governato con
regole chiare e con un'etica della responsabilità.
Ceci tuera
cela: la
cattedrale, il libro e il recinto del sapere
C'è un
capitolo di Notre-Dame de Paris che molti lettori saltano, impazienti di
tornare a Quasimodo ed Esmeralda. È un errore, perché lì dentro c'è forse la
pagina più moderna che Victor Hugo abbia mai scritto, il capitolo si intitola
"Ceci tuera cela" e ha una storia curiosa: nella prima edizione del
1831 mancava, perché la cartella che lo conteneva era andata smarrita, e fu
pubblicato soltanto nell'edizione definitiva del dicembre 1832.
La scena è
semplice: l'arcidiacono Claude Frollo tende una mano verso un libro stampato,
l'altra verso la sua cattedrale, e pronuncia la sentenza “questo ucciderà
quello”. Hugo spiega subito che non si tratta solo del timore di un prete
davanti alla diffusione delle idee. Per secoli l'architettura era stata il
grande libro dell'umanità: le facciate, i portali, le vetrate raccontavano la
Bibbia e la storia a chi non sapeva leggere, e quel racconto era custodito da
chi edificava e da chi officiava. Con Gutenberg il pensiero diventa leggero,
moltiplicabile, impossibile da sequestrare, il sapere esce dal recinto.
Hugo non era
un nostalgico, sapeva che la stampa aveva reso il pensiero umano
"indistruttibile" proprio perché disperso in mille copie, e salutò
quella dispersione come una conquista di libertà. Ma sapeva anche che ogni
conquista ha i suoi sconfitti, e non tutti sono tiranni: c'erano gli
scalpellini, i maestri vetrai, le corporazioni che vivevano di un sapere
tramandato e protetto. Sarebbe stato lo stesso Hugo, con il suo romanzo, a
salvare la cattedrale dall'incuria, accendendo l'opinione pubblica che portò ai
restauri di Lassus e Viollet-le-Duc. Il libro, alla fine, non uccise
l'edificio: lo cambiò di funzione e, paradossalmente, lo preservò.
Tengo a mente
questa lezione perché oggi la stessa scena si ripete con altri attori. Al posto
della cattedrale c'è il software chiuso, il cui codice sorgente è custodito
come un tempo i segreti dei costruttori; al posto del libro c'è un agente di
intelligenza artificiale capace di leggere il codice macchina e di raccontarci
che cosa fa, e al posto di Frollo ci siamo noi, con una mano su ciò che temiamo
e l'altra su ciò che amiamo.
REA: un
programma che insegna a smontare i programmi
REA, acronimo
di Reverse Engineer Anything, è un software libero, rilasciato con
licenza MIT, che fa da ponte tra gli agenti di intelligenza artificiale che
scrivono codice e gli strumenti professionali di reverse engineering. In parole
semplici: invece di passare giorni davanti a un disassemblatore, si chiede
all'agente come funziona una certa funzione di un'applicazione, e l'agente
interroga per noi gli strumenti di analisi, restituendo conclusioni corredate
dalle prove raccolte.
Il raggio
d'azione è ampio: REA lavora su siti web, applicazioni JavaScript ed Electron,
componenti .NET, registrazioni del traffico di rete, app Android e,
soprattutto, binari nativi, cioè il codice macchina dei programmi compilati.
Per questi ultimi si appoggia a strumenti che i professionisti della sicurezza
conoscono da anni: Ghidra, rilasciato pubblicamente dalla NSA nel 2019, Hopper
e IDA. L'analisi avviene sul computer dell'utente, non su un servizio remoto.
La storia del
suo successo merita attenzione, perché dice molto sul modo in cui oggi si forma
la notorietà. Il progetto nasce nell'aprile 2026 per opera di un unico
sviluppatore che si firma morluto. A luglio viene presentato su Hacker
News e raccoglie appena tre punti: indifferenza totale. Poi, dal 4 ottobre,
entra nella classifica dei progetti di tendenza su GitHub e da lì cresce in
modo esponenziale. Il 10 ottobre, quattro giorni fa, arriva in prima pagina su
Hacker News, e i download giornalieri del pacchetto aumentano di oltre quaranta
volte in una settimana e le "stelle" su GitHub, la moneta della
reputazione tra programmatori, superano le centomila in pochi giorni.
A far
esplodere il caso sono state le dimostrazioni: agenti che correggono programmi
altrui o ne ricostruiscono intere funzionalità partendo dal solo codice
compilato. Lo slogan del progetto è di quelli che restano in testa: vedi una
funzione che ti piace in un'App, capisci come funziona fino al livello binario,
e rifalla nel tuo prodotto.
Fatti,
ipotesi, interpretazioni: separare la notizia dal clamore
Davanti a ogni
"rivoluzione" annunciata conviene fare ciò che il buon giornalismo
dovrebbe sempre fare: distinguere i fatti dalle ipotesi, le ipotesi dalle
interpretazioni, e tutte e tre dalla “metafisica del marketing”.
I fatti. REA esiste, è gratuito, è aperto e
funziona. La crescita di popolarità è reale, anche se i numeri esatti variano
da una fonte all'altra: chi parla di centonovemila stelle, chi di
centoquindicimila, chi di quasi centosettantamila, a seconda del giorno e,
temo, della fretta con cui alcuni articoli sono stati confezionati.
Le ipotesi. Che un agente possa ricostruire
"qualsiasi cosa" è un'ipotesi, e per ora non regge. Gli stessi casi
di studio pubblicati mostrano che ogni risultato ha richiesto un obiettivo ben
delimitato, letture manuali e una persona competente in grado di valutare le
prove. In almeno un confronto diffuso in rete, un agente privo di REA è
arrivato al traguardo prima di quello che lo usava.
Le
interpretazioni. REA non ha
inventato una nuova tecnica di decompilazione: ha confezionato in modo
eccellente strumenti che esistevano da anni, rendendoli pilotabili da una
macchina. La vera novità non è tecnica ma sociale. Come la stampa non inventò
la scrittura ma ne abbatté il costo, così REA non inventa il reverse
engineering ma ne abbatte la soglia d'ingresso. Ciò che ieri richiedeva un
esperto e settimane di lavoro, oggi può richiedere un buon prompt e un
pomeriggio: è questa riduzione di costo, non il codice in sé, a cambiare le
regole del gioco.
C'è poi un
capitolo che chiamerei di cronaca minore ma istruttiva. Pochi giorni dopo il
boom sono comparsi un repository clone con presunti installer e alcuni
"token" crittografici che sfruttano il nome REA. Il progetto ha
dichiarato di non aver emesso né sostenuto alcuna moneta digitale.
Il diritto
davanti al codice aperto
Smontare un
programma non è, di per sé, un illecito, ma non è nemmeno una libertà senza
confini. Il legislatore europeo ha trovato un equilibrio già nel 1991, oggi
codificato nell'art. 6 della direttiva 2009/24/CE e recepito in Italia
dall'art. 64-quater della legge 22 aprile 1941, n. 633.
La regola è
precisa. riprodurre e tradurre il codice di un programma senza il consenso del
titolare è lecito solo quando è indispensabile per ottenere le informazioni
necessarie a far dialogare con altri programmi un software creato
autonomamente. Servono tre condizioni: deve agire chi ha diritto di usare una
copia del programma; le informazioni non devono essere già facilmente e
rapidamente accessibili; l'attività deve limitarsi alle parti del programma
necessarie a quello scopo. Le informazioni così ottenute non possono essere
usate per altri fini, né comunicate a terzi oltre quanto serve
all'interoperabilità. E, dettaglio prezioso, le clausole contrattuali che
vietassero questa decompilazione sono nulle.
Nel 2021 la
Corte di giustizia dell'Unione europea, con la sentenza Top System
(causa C-13/20), ha aggiunto un tassello importante: il legittimo acquirente
può decompilare un programma, in tutto o in parte, anche per correggere errori
che ne compromettono il funzionamento, in base all'art. 5 della direttiva e non
solo all'art. 6. Il sapere tecnico, insomma, può essere riaperto per riparare e
per collegare.
Posto il
quadro, la conclusione è netta. Lo slogan "vedi una funzione, capiscila,
rifalla nel tuo prodotto" esce quasi sempre dai confini delle eccezioni.
Ricostruire una funzionalità dopo averne decompilato il codice, per poi
offrirla in un prodotto concorrente, non è interoperabilità né correzione di
errori: è sfruttamento del lavoro altrui. Discorso diverso vale per
l'osservazione del comportamento di un programma: le idee e i principi che
stanno alla base di un software non sono protetti dal diritto d'autore, che
tutela l'espressione e non l'idea. Studiare come una cosa funziona è cultura;
copiarne il codice è un'altra faccenda.
Restano poi le
altre recinzioni giuridiche: le condizioni di licenza e di servizio, che spesso
vietano l'analisi del software, e soprattutto le misure tecnologiche di
protezione, la cui elusione costituisce un illecito autonomo. Gli stessi autori
di REA lo dicono con chiarezza: lo strumento è destinato a usi leciti, e le
licenze dei software commerciali su cui si appoggia vanno acquistate
regolarmente. Lo strumento è neutro; chi lo impugna no.
I nuovi
confini del sapere
Se il diritto
traccia i limiti, la cultura deve indicare la direzione. E qui il caso REA ci
pone tre domande che vanno oltre il singolo software.
La prima
riguarda la riservatezza. L'analisi avviene sul computer dell'utente, ma le
conclusioni passano all'agente e, attraverso di esso, al fornitore del modello
linguistico. Chi analizza il software di un cliente, o un'applicazione che
tratta dati personali, deve sapere che frammenti di codice e informazioni
rilevate possono uscire dal proprio perimetro. Il principio di
responsabilizzazione del GDPR non si sospende per entusiasmo tecnologico.
La seconda
riguarda chi produce software. Per decenni una parte della protezione delle
applicazioni si è affidata alla fatica: smontare un programma costava troppo
per valerne la pena. Quella fatica oggi si è ridotta drasticamente., ne segue
una lezione pratica per sviluppatori e imprese: ciò che ha valore va custodito
lato server, i segreti non vanno lasciati nel codice distribuito, e la vera
difesa diventa la qualità del servizio, non l'oscurità del codice. Chi, come
me, ha contribuito a creare un'applicazione di intelligenza artificiale (AlterEgoGPT), si pone la domanda senza
giri di parole: che cosa potrebbe ricostruirne un agente?
La terza
domanda è la più alta, ed è quella che Hugo ci aiuta a formulare. Nel 1877, in Histoire
d'un crime, scrisse una frase che è stata poi deformata in mille aforismi
apocrifi, ma che nella sua versione autentica suona così: "On résiste à
l'invasion des armées; on ne résiste pas à l'invasion des idées". Si
resiste all'invasione degli eserciti, non a quella delle idee. Il sapere che
diventa accessibile non si ferma con i divieti, si può soltanto decidere a che
cosa servirà.
E qui il bivio
è netto, lo stesso strumento che permette a un ricercatore di scovare una
vulnerabilità e di proteggere migliaia di utenti può permettere a un altro di
sfruttarla. Lo stesso agente che ripara un vecchio programma abbandonato dal
produttore può copiare il lavoro di una piccola impresa che non ha i mezzi per
difendersi. Il sapere tecnico è come la polvere da sparo nella storia
dell'umanità: può aprire gallerie nelle montagne o seminare morte. La
differenza non la fa la chimica, la fanno la cultura, le regole e la coscienza
di chi la usa. Per questo credo che la vera sfida dell'intelligenza artificiale
non sia tecnologica ma educativa: formare persone capaci di usare il sapere per
costruire e non per distruggere, per la conoscenza e per la pace.
Questo non
ucciderà quello
Frollo aveva
ragione a metà. Il libro non uccise la cattedrale: le tolse il monopolio del
racconto e la restituì alla bellezza, al punto che fu proprio un libro a
salvarla. Allo stesso modo, gli agenti capaci di smontare il software non
uccideranno l'ingegno di chi lo crea, gli toglieranno una protezione fondata
sulla fatica e sull'oscurità, obbligandolo a fondarne una più solida sulla
qualità, sulla trasparenza e su regole condivise.
Il mio invito,
da giurista e da divulgatore, è di non cedere né alla paura né all'idolatria.
Non alla paura, perché il sapere che si diffonde è sempre stato, nel lungo
periodo, un bene per l'umanità, non all'idolatria, perché nessuno strumento,
per quante stelle raccolga su GitHub, esonera chi lo usa dal rispondere delle
proprie scelte. Le leggi ci sono, e sono più sagge di quanto i titoli di
giornale lascino credere, serve conoscerle, applicarle e, dove occorre,
aggiornarle con il contributo di chi studia questi fenomeni ogni giorno.
Del resto,
l'equilibrio che cerchiamo era già stato trovato. Nel giugno 1878 Victor Hugo
presiedeva a Parigi il Congresso letterario internazionale, da cui sarebbe nato
il cammino verso la Convenzione di Berna. In quella sede distinse il libro dal
pensiero: come libro, l'opera appartiene al suo autore; ma, disse, "comme
pensée, il appartient — le mot n'est pas trop vaste — au genre humain".
Come pensiero, appartiene al genere umano. È la stessa linea che il diritto
d'autore traccia ancora oggi tra l'espressione, che si tutela, e l'idea, che
circola libera. Ed è la linea che dovremmo seguire anche davanti al codice:
rispettare il lavoro di chi lo ha scritto, senza pretendere di chiudere in
cassaforte la conoscenza che contiene.
Victor Hugo ci
ha lasciato in eredità un'idea semplice: il sapere non si imprigiona, ma chi lo
crea merita rispetto. Spetta a noi fare in modo che, una volta libero, cammini
dalla parte della conoscenza, dei diritti e della pace.
avv. Giovanni
Bonomo – A.L. Advalux C.I.O.
Fonti
- Victor
Hugo, Notre-Dame de Paris, libro V, cap. 2, "Ceci tuera
cela" (ed. definitiva Renduel, 1832) – testo su Wikisource
- Victor
Hugo, Histoire d'un crime (1877), conclusione – Quote Investigator
- Art. 64-quater, L. 22
aprile 1941, n. 633
- Direttiva 2009/24/CE, art. 6
- CGUE, causa C-13/20, Top System (commento
Cuatrecasas)
- System Design Academy – REA explained
- DEV Community – What Is REA
- MindStudio – What the
Viral REA MCP Actually Does
- ExplainX – REA case studies
- Cyber Security News – REA Tool
- INSIDE – REA open source
Un antico libro aperto nella luce del rosone di una cattedrale gotica: dalle pagine sale un bagliore azzurro.“Ceci tuera cela” di Victor Hugo, riletto nell’era dell’intelligenza artificiale. Immagine generata con AI su ideazione di Giovanni Bonomo · Testo © Giovanni Bonomo
