MI5: oltre 100 accademici in progetti finanziati dal MSS cinese

Il 30 settembre 2026 l’MI5, il servizio di sicurezza interna del Regno Unito, ha diffuso un avviso pubblico di spionaggio, cosa piuttosto rara. L’avviso riguarda un ente cinese che finanzia ricerca accademica: il China General Technology Research Institute (CGTRI), noto anche come China Academy of General Technology (CAGT). Secondo l’MI5, l’ente ha legami molto stretti con il ministero della Sicurezza di Stato cinese (MSS), e più di 100 accademici legati al Regno Unito hanno contribuito a progetti finanziati attraverso di esso.

Non è un’intrusione informatica, e non ci sono CVE da correggere. Per chi si occupa di sicurezza in università, centri di ricerca e aziende che fanno ricerca e sviluppo, però, il tema è concreto: chi finanzia davvero un progetto, e chi può accedere ai dati, al codice e ai modelli che ne escono.

Cosa è successo

Secondo l’avviso, riportato da Infosecurity Magazine e The Register, lo scopo principale del CGTRI è finanziare ricerca che migliora direttamente le capacità tecniche dell’MSS nelle attività di spionaggio. L’MSS si occupa sia di controspionaggio interno sia di intelligence all’estero.

I progetti finanziati dal CGTRI a cui hanno contribuito accademici legati al Regno Unito riguardano:

• intelligenza artificiale;
• cybersicurezza;
• sistemi di comunicazione occulta;
• steganografia, cioè le tecniche per nascondere informazioni dentro altri dati, per esempio immagini o file audio.

L’MSS, secondo l’MI5, ne ricava un sostegno alle proprie attività di spionaggio, che rappresentano una minaccia per la sicurezza nazionale britannica.

L’MI5 non accusa tutti i ricercatori coinvolti di aver aiutato consapevolmente l’intelligence cinese. L’avviso riconosce che in alcuni casi gli accademici potevano non sapere che dietro il progetto c’era il CGTRI, e che molti istituti e ricercatori hanno probabilmente collaborato in buona fede, visti i legami «offuscati» dell’ente con l’MSS.

Infosecurity Magazine aggiunge un contesto: all’MSS vengono ricondotti molti operatori informatici, compresi quelli dietro campagne attribuite a gruppi come Silk Typhoon e Salt Typhoon. È un’indicazione della testata, non un contenuto dell’avviso.

Cosa chiede l’MI5

L’agenzia raccomanda con forza alle università britanniche di:

1. rivedere subito ogni collaborazione in corso o prevista con il CGTRI, perché l’MSS non tragga altri benefici dalla ricerca britannica;
2. risalire alla fonte del finanziamento di qualsiasi collaborazione con istituti cinesi, per escludere un collegamento con il CGTRI;
3. nella valutazione delle collaborazioni, usare il Research Collaboration Advice Team (RCAT) del governo britannico e le linee guida Trusted Research della National Protective Security Authority (NPSA), e chiedere un parere legale indipendente.

Chi continua a lavorare a progetti finanziati dal CGTRI, ora che i legami sono stati resi pubblici, dovrebbe rivolgersi a un legale.

Le conseguenze penali

L’avviso richiama due reati del National Security Act 2023:

• sezione 3, assistenza a un servizio di intelligence straniero: commette reato chi tiene una condotta che può aiutare in modo concreto un servizio straniero in attività legate al Regno Unito, se sa o dovrebbe ragionevolmente sapere che è così;
• sezione 17, ottenimento di un beneficio materiale da un servizio di intelligence straniero: riguarda chi accetta o conserva un beneficio sapendo, o dovendo ragionevolmente sapere, che proviene da un servizio straniero. Il pagamento legittimo di beni o servizi leciti è escluso.

Come osserva The Register, dopo la pubblicazione dell’avviso sarà più difficile sostenere di non sapere chi c’era dietro i fondi.

Il quadro tecnico

Le fonti non descrivono attacchi, malware o indicatori: non c’è quindi una catena di attacco da mappare su MITRE ATT&CK. Le aree di ricerca indicate dall’MI5, però, sono quelle che servono a nascondere comunicazioni e dati. La steganografia, per esempio, compare in ATT&CK come tecnica di offuscamento dei dati nelle comunicazioni di comando e controllo (T1001.002).

Per un’organizzazione che fa ricerca, il rischio non è solo il contratto firmato, ma tutto quello a cui il progetto dà accesso: reti, dataset, codice sorgente, modelli di IA e proprietà intellettuale. È il punto sollevato anche da un esperto di sicurezza citato da Infosecurity Magazine: non basta controllare i nomi sugli accordi, bisogna sapere chi accede a cosa, come è controllato quell’accesso e se ci si accorgerebbe di uno spostamento anomalo di dati sensibili.

Impatto per le aziende europee e italiane

L’avviso riguarda il Regno Unito, e le fonti non dicono se il CGTRI finanzi progetti anche in altri paesi. Il problema però non è solo britannico: università, centri di ricerca e aziende europee lavorano spesso in consorzi internazionali, con ricercatori che collaborano con istituti britannici e cinesi.

Per i soggetti NIS2 il tema rientra nella gestione del rischio della catena di fornitura e nel controllo degli accessi. La direttiva elenca le organizzazioni di ricerca tra i settori del suo allegato II. Lo stesso vale per la sanità e le aziende farmaceutiche, che finanziano e condividono ricerca con partner esterni.

Cosa fare subito

1. Cerca il CGTRI nei tuoi contratti: controlla accordi di ricerca, finanziamenti, borse e consulenze con entrambi i nomi, China General Technology Research Institute e China Academy of General Technology, e le rispettive sigle.
2. Risali al finanziatore finale: per le collaborazioni con istituti cinesi verifica chi paga davvero, non solo la controparte indicata nell’accordo.
3. Coinvolgi l’ufficio legale, soprattutto se hai personale, sedi o progetti nel Regno Unito.
4. Riduci gli accessi al necessario: account dedicati per progetto, permessi minimi su repository, dataset e modelli, revoca alla fine della collaborazione.
5. Sorveglia i dati della ricerca: registra accessi e modifiche alle cartelle e ai repository sensibili, e verifica i trasferimenti insoliti verso l’esterno.

Come aiuta ARXDOME

ARX Sentry controlla l’integrità dei file nelle cartelle stabilite e mostra nelle pagine del SOC accessi, accessi privilegiati e notturni e modifiche agli account. ARX Trace mostra cosa è cambiato nei file e dove, con l’attività per cartella, utile per capire chi ha toccato i dati di un progetto.

Ultimo aggiornamento: 3 ottobre 2026