RubyGems: chi deve avvisare quando un agente sbaglia

Il contesto normativo, nelle sue date

Il quadro europeo fissa gli obblighi di notifica con date precise e giurisdizioni definite. Il 2 agosto 2026 gli obblighi di trasparenza dell'articolo 50 del Regolamento UE 2024/1689 entrano in vigore nell'Unione europea. La data è il punto di partenza dell'analisi. Ogni obbligo di avviso richiede un ruolo che lo firmi, un termine in ore e un destinatario indicato. Il framework prevede questi tre elementi. La loro assenza produce documentazione, non governance.

Il 13 maggio 2026 la società di sicurezza Socket ha documentato la campagna GemStuffer^[1]. La campagna usava il registro RubyGems come canale di trasporto per dati raccolti online. L'analisi descrive oltre cento pacchetti pubblicati da account appena creati. I download sono quasi assenti. I contenuti sono ripetitivi.

Il registro ha risposto in tre passaggi. Ha rimosso oltre 500 pacchetti. Ha sospeso le iscrizioni. Le ha riaperte il 16 maggio. Marty Haught di Ruby Central ha descritto una campagna coordinata di pubblicazione spam, limitata ad account nuovi. I pacchetti e le installazioni esistenti sono rimasti intatti. A settembre 2026 alcuni ricercatori esterni attribuiscono la regia della campagna ad agenti automatici. Il fornitore indicato resta in silenzio.

Quattro mesi fra l'evento e il nome

Fra la pubblicazione di maggio e l'attribuzione di settembre passano quattro mesi. In quell'intervallo il registro ha lavorato. Le pipeline di build hanno tirato dipendenze. I team di sicurezza hanno chiuso i loro ticket.

La domanda su cosa fosse accaduto ha avuto una risposta. Una seconda domanda si è aperta: chi doveva dirlo, a chi, entro quanto tempo. Il segnale di governance è netto. L'attribuzione arriva da terzi, fuori da qualunque canale contrattuale. Il soggetto meglio informato sul comportamento dei propri agenti ha scelto il silenzio. La scelta gli è costata zero.

Il delta per il lettore è misurabile. Un obbligo di notifica scatta solo quando la norma descrive in anticipo il danno. Un'attribuzione tardiva, priva di conseguenza contrattuale, lascia il rischio interamente sul destinatario dell'artefatto.

Chi ha l'obbligo di avvisare, e dentro quale norma

Il quadro europeo ordina gli obblighi per tipo di danno. Ciascuna norma ha il suo perimetro.

• Regolamento UE 2016/679 (GDPR), articolo 33: notifica all'autorità di controllo entro 72 ore, quando la violazione tocca dati personali. In vigore dal 25 maggio 2018.
• Direttiva UE 2022/2555 (NIS2), articolo 23: preallarme entro 24 ore e notifica entro 72 ore per i soggetti essenziali e importanti. Termine di recepimento: 17 ottobre 2024.
• Regolamento UE 2024/2847 (Cyber Resilience Act), articolo 14: segnalazione a ENISA e al CSIRT entro 24 ore per le vulnerabilità sfruttate attivamente. Gli obblighi di segnalazione partono l'11 settembre 2026.

Le tre voci dell'elenco condividono lo stesso limite. Il fattore che fa scattare l'obbligo è la violazione di dati personali, l'interruzione del servizio oppure la vulnerabilità sfruttata in concreto. Fuori da questi tre casi, nessun termine di notifica scritto si attiva.

Nel caso di maggio il materiale raccolto era fatto di pagine pubbliche di portali comunali britannici. Il servizio è rimasto disponibile. I pacchetti esistenti sono rimasti intatti. Un uso improprio del registro come canale di trasporto cade fuori da tutte e tre le definizioni. Cade quindi fuori da ogni termine di notifica scritto.

Qui si apre il buco di copertura. L'obbligo di avviso nasce da un danno che la norma descrive in anticipo. Un registro usato come deposito di dati pubblici resta fuori da quella descrizione. Il General Counsel deve rispondere a una domanda precisa: quale norma copre un abuso del canale che non tocca dati personali, disponibilità o vulnerabilità.

Il contratto copre la disponibilità e tace sulla correttezza

Un service level agreement misura il tempo di attività, la latenza, il tempo di ripristino. Non misura la correttezza del contenuto.

Le licenze aperte più diffuse escludono ogni garanzia sul prodotto. Limitano la responsabilità di chi lo ha scritto. I termini d'uso dei registri pubblici seguono la stessa linea. Offrono un servizio. Evitano di promettere che il contenuto sia quello che dichiara di essere. La correttezza di ciò che si scarica resta fuori dal perimetro contrattuale.

Il risultato per chi compra software è netto. Il fornitore risponde dei minuti di interruzione. Tace sull'integrità dell'artefatto consegnato. Un'azienda che lancia ogni notte migliaia di build su dipendenze pubbliche ha, su quel flusso, un livello di garanzia pari a zero.

Il rischio esiste. Il contratto lo ignora. Il bilancio lo assorbe. Questa asimmetria vale per ogni registro pubblico che una pipeline interroga in automatico: npm, PyPI, Maven Central, RubyGems.

Chi paga il costo della verifica

Un registro pubblico vive di lavoro volontario e di poche persone stipendiate. La struttura economica è fragile per costruzione.

Quando arriva una campagna di pubblicazione massiva, quei manutentori sospendono le iscrizioni, rimuovono i pacchetti, scrivono l'avviso alla comunità. Il costo della verifica cade su di loro, su chi usa il registro a titolo gratuito e sui ricercatori che pubblicano l'analisi. Chi ha generato il traffico contribuisce al conto dell'infrastruttura in misura minima.

Il Cyber Resilience Act introduce la figura dello steward del software libero, con obblighi più leggeri rispetto a quelli del fabbricante. La scelta riconosce per iscritto la fragilità economica dei registri pubblici. Lascia aperto il problema vero: chi finanzia la verifica quando il volume cresce di un ordine di grandezza.

L'attribuzione agli agenti e lo standard di prova

Attribuire una campagna a un agente automatico richiede prove che oggi hanno forma incerta. La prova si divide in due metà.

I registri conservano i log di pubblicazione, le chiavi API, gli orari, gli indirizzi di rete. Il fornitore del modello conserva i log di sessione, i prompt, le chiamate agli strumenti esterni. Le due metà della prova stanno in mani diverse. Una sola delle due ha un obbligo di conservazione scritto in una norma.

L'articolo 50 del Regolamento UE 2024/1689 impone la trasparenza sui sistemi che interagiscono con le persone. Si applica dal 2 agosto 2026. Un agente che pubblica pacchetti verso un registro cade in una zona dove il fornitore decide in autonomia quanto raccontare e quando. Il silenzio di settembre è la prova empirica di quella libertà.

Tre decisioni per il consiglio

Prima decisione: quale ruolo, indicato per nome, risponde dell'integrità della catena di build. La domanda va chiusa per iscritto, prima del prossimo rilascio. Un framework che evita di nominare produce documentazione. La documentazione da sola resta teatro di conformità.

Seconda decisione: quale clausola di comunicazione entra nei contratti con i fornitori di agenti. Il testo utile fissa tre cose: un termine in ore, un destinatario preciso, una soglia di evidenza che fa scattare l'avviso.

Terza decisione: quale voce di bilancio copre la verifica delle dipendenze pubbliche. L'alternativa reale sta fra un costo interno di scansione e firma, un contributo diretto ai registri che l'azienda usa ogni giorno, un mirror privato sotto controllo aziendale. Il consiglio sceglie fra queste tre strade. Mette la scelta a verbale con la data.

Orizzonte regolatorio

Lo stato attuale si legge per giurisdizione e per data.

Nell'Unione europea gli obblighi di segnalazione del Cyber Resilience Act partono l'11 settembre 2026. Il corpo del regolamento si applica dall'11 dicembre 2027. Gli obblighi di trasparenza dell'articolo 50 del Regolamento 2024/1689 valgono dal 2 agosto 2026. La proposta Digital Omnibus, ancora in discussione, sposta le regole sull'alto rischio a dicembre 2027.

Negli Stati Uniti il quadro resta frammentato stato per stato. Una legge federale coerente arriva oltre la fine di questo decennio. Il Regno Unito, dove stanno i portali toccati dalla campagna, lavora per linee guida invece che per regolamento vincolante.

La domanda che il General Counsel porta al prossimo comitato rischi ha una forma sola. Quale termine di comunicazione vale per gli agenti che l'azienda usa oggi, e chi lo ha firmato per iscritto.