OSINT su una crisi in corso: come BackBox AI ha seguito le proteste di ottobre in Europa

In Francia la giornata nazionale contro il carovita del 17 ottobre 2026 ha portato in piazza, in circa 110 cortei, tra 550.000 persone secondo il ministero dell'Interno e 800.000 secondo gli organizzatori. In decine di città la protesta è sfociata in scontri e saccheggi. Lo stesso giorno in Italia la mobilitazione lanciata sui social da «Italia in Piazza» ha raccolto circa 11.000 manifestanti in tutto il Paese, e a Milano è degenerata in due giorni di guerriglia urbana e di assalti ai negozi del centro. Una settimana dopo, il 24 ottobre, entrambi i Paesi hanno vissuto una seconda giornata di mobilitazione.

Capire eventi del genere mentre sono ancora in corso è difficile per chiunque. Le informazioni arrivano in tre lingue e su una dozzina di piattaforme contemporaneamente, i primi numeri vengono corretti nel giro di poche ore, le letture politiche e la disinformazione corrono più veloci delle verifiche, e chi organizza le azioni più gravi ha tutto l'interesse a non farsi vedere.

Li abbiamo seguiti con BackBox AI e il suo profilo Threat Hunter, conducendo un'indagine OSINT (open source intelligence, cioè intelligence da fonti aperte) su che cosa è successo, su chi c'era dietro e su come stava evolvendo la situazione. Abbiamo usato solo fonti pubbliche e legato ogni conclusione a evidenze verificabili; i risultati sono pubblicati in una dashboard interattiva.

Quattro domande, nessuna risposta data per scontata

L'indagine è partita da tre domande di ricerca, a cui se n'è aggiunta poi una quarta:

1. Che cosa è successo davvero a Milano e a Parigi il 17 e il 18 ottobre?
2. Esistono prove di un coordinamento digitale o transnazionale tra i gruppi attivi nelle due città?
3. Esistono prove di reati collegati, come furti organizzati, ricettazione o rivendita della merce saccheggiata?
4. Stati stranieri (nel dibattito si parlava di Russia, Iran e Algeria) hanno avuto un ruolo nelle proteste?

La regola di lavoro è stata fissata nel workspace ancora prima di avviare le ricerche: niente si dà per scontato, e ogni ipotesi va verificata con riscontri indipendenti e confrontata con spiegazioni alternative. In una vicenda in cui esponenti di governo e commentatori avevano già evocato regie occulte, questa regola ha orientato l'intera indagine.

Come lavora il Threat Hunter su una crisi

In BackBox AI un profilo è una configurazione costruita per un tipo di missione e dotata dei soli strumenti che quella missione richiede. In questo caso il Threat Hunter ha raccolto fonti in italiano, francese e inglese con la ricerca web, il recupero di pagine e documenti, un browser headless per gli screenshot e Tor per il dark web, e ha conservato tutto in un workspace persistente: i task di ogni ciclo di ricerca, i documenti di analisi, le evidenze, i report e i grafi delle relazioni.

Sono tre abitudini a fare la differenza tra un elenco di link e un prodotto di intelligence.

Ogni fonte ha un tipo e un peso. Le fonti primarie (siti degli organizzatori, canali Telegram pubblici, comunicati ufficiali) restano distinte dagli articoli di stampa, dagli aggregatori e dai contenuti pubblicati dagli utenti. Due articoli che riprendono lo stesso lancio d'agenzia valgono come un'unica origine, non come due conferme.

Ogni affermazione ha uno stato e un livello di confidenza. L'indagine separa i fatti verificati dalle dichiarazioni attribuite, dalle inferenze analitiche e dalle ipotesi ancora aperte, e assegna a ogni conclusione una confidenza alta, media o bassa. Il dato annunciato da un ministro, la cifra rivendicata dagli organizzatori e la stima pubblicata da un quotidiano non sono fatti dello stesso tipo, e il registro non finge che lo siano.

Ogni evidenza è tracciabile. Ogni voce del registro delle evidenze riporta un identificativo, l'URL, le date di pubblicazione e di acquisizione e, quando l'originale è stato salvato, il suo hash SHA-256. Gli screenshot sono stati controllati uno per uno prima dell'archiviazione. Il registro è passato da 54 voci il 21 ottobre a oltre settanta la sera del 24.

Nel registro finisce anche ciò che è stato cercato senza trovarlo. Su richiesta dell'operatore, l'agente ha aperto un circuito Tor e lanciato 21 ricerche legate agli eventi su tre motori di ricerca del dark web, Ahmia, Tor66 e Torch: nessuna ha restituito tracce della merce saccheggiata il 17 e il 18 ottobre offerta in vendita. Il risultato è registrato come esito negativo con limiti espliciti, perché quegli indici coprono solo una parte dei servizi onion. Lo stesso rigore vale per gli strumenti. Il 21 ottobre i motori di ricerca usati di solito restituivano pagine vuote o controlli anti-bot, così l'agente ha ripiegato sui feed RSS delle testate e ha classificato le affermazioni interessate come «titolo, testata e data certi, contenuto non verificato», invece di trattarle tacitamente come confermate.

Seguire gli eventi mentre accadono

Il primo ciclo completo si è svolto il 21 ottobre, quattro giorni dopo i disordini, e si è chiuso in giornata: ricostruzione dei fatti nelle due città, domande su coordinamento e reati, estensione alle interferenze straniere e un consolidamento che ha riacquisito le fonti primarie ancora attive per confrontarle con gli originali archiviati.

Il secondo ciclo si è svolto il 24 ottobre, il giorno della nuova mobilitazione, in tre passaggi. Al mattino l'agente ha fotografato lo stato delle fonti primarie prima che accadesse qualsiasi cosa, ha trattato ogni affermazione sulla giornata come una previsione e non come un'osservazione, e ha annotato in anticipo che cosa verificare nel pomeriggio. Nel pomeriggio ha riacquisito in contemporanea tre canali Telegram, ha seguito le dirette dei media italiani e francesi e ha registrato l'esito: in Italia raduni contenuti e in larga parte pacifici, senza saccheggi sistematici; a Parigi 110.000 manifestanti secondo la prefettura, su un percorso imposto dalle autorità.

È proprio il passaggio del mattino a mostrare la differenza tra seguire un evento e ricostruirlo a posteriori. Il giorno prima il Movimento 17 ottobre aveva annullato le otto piazze annunciate per passare a concentramenti comunicati mezz'ora prima: tre punti di ritrovo per città alle 14:30, poi la piazza finale alle 15:30. Le sue chat cittadine su Telegram erano state chiuse o cancellate. A Clermont-Ferrand l'appello a un grande raduno, visto più di un milione di volte su X, si era rivelato un'esca pensata per ingannare i presunti sistemi di intelligenza artificiale con cui la polizia analizzerebbe i social. L'agente non ha letto nel silenzio che ne è seguito un segnale rassicurante: ha registrato che la visibilità delle fonti aperte sui dati operativi più utili, dove e quando, si stava riducendo per scelta deliberata di chi veniva osservato, e ha spostato il peso dell'analisi sulle fonti istituzionali, sulle dirette giornalistiche e sugli aggregatori neutrali che continuavano a pubblicare.

Il passaggio serale ha chiuso la giornata con i dati ufficiali: 410.000 manifestanti in tutta la Francia secondo il ministero dell'Interno, 800.000 secondo la CGT. Rispetto al 17 ottobre il conteggio ufficiale risultava inferiore di circa un quarto, mentre Parigi restava ferma a 110.000: il calo veniva quindi dal resto del Paese. Il corteo parigino ha seguito il percorso imposto, ma al momento dello scioglimento oltre 500 casseurs si sono scontrati con la polizia. Al termine della raccolta dei dati restava invece in sospeso l'esito del raduno convocato per le 20:00 in place de la Concorde, che le autorità avevano chiuso in via preventiva: il registro lo dichiara apertamente, senza azzardare ipotesi.

Lo stesso passaggio ha fatto emergere tre fatti che hanno cambiato il quadro. A Orléans tra 11.000 e 26.000 persone hanno sfilato contro il congresso del Rassemblement national, in una giornata rimasta tranquilla; alla mobilitazione aveva dato slancio la sparatoria avvenuta il giorno prima a Trappes, su cui indaga la procura nazionale antiterrorismo francese seguendo la pista del razzismo. I gilet gialli hanno annunciato che il prossimo atto, il 31 ottobre, sarà dedicato alla libertà di manifestare e non più al potere d'acquisto. Infine i gruppi di estrema destra francesi, che fino al pomeriggio si stavano organizzando online, sono scesi in strada: il registro considera verificati gli scontri di Nizza, con gli 11 fermi comunicati dalla prefettura, mentre un episodio analogo a Tolosa poggia su una sola fonte e quello di Clermont-Ferrand resta da verificare.

In questo caso è stato l'operatore ad avviare ogni ciclo. La piattaforma consente anche di programmare attività da eseguire in autonomia, una possibilità utile per un monitoraggio periodico in vista delle date già annunciate.

Che cosa hanno mostrato le evidenze

Al 24 ottobre le risposte alle quattro domande erano queste.

La domanda sul coordinamento merita un approfondimento, perché è lì che l'analisi si è rivelata più utile. Al posto della solita contrapposizione tra «contagio» e «complotto», la validazione ha introdotto una scala su cinque livelli che misura quanto siano legati i movimenti dei due Paesi (nella dashboard è la scala di accoppiamento). L'imitazione della data e della cornice narrativa (L0) è confermata: l'appello italiano citava esplicitamente la Francia e altri Paesi, e la data del 24 ottobre è stata condivisa senza alcun accordo documentato. La letteratura tattica condivisa (L1) esce rafforzata: secondo la stampa italiana, nelle chat del movimento circolava un vademecum ispirato alla rivoluzione egiziana del 2011, insieme a una guida anti-arresto scritta in inglese. Sugli attori ponte (L2), cioè gruppi in grado di collegare le due piazze, emergono i primi segnali: l'Aisi ha riferito al Copasir dell'interesse degli ambienti antagonisti tradizionali a inserirsi nella mobilitazione. Il coordinamento operativo (L3) e una regia unica (L4) non sono stati osservati, un giudizio negativo a cui l'agente assegna confidenza media proprio perché un coordinamento del genere passerebbe dai canali chiusi, che restano fuori dalla sua vista.

Sulle interferenze straniere le evidenze vanno in direzione opposta a buona parte dei commenti. I media statali e le reti di propaganda russe hanno sfruttato le immagini dei disordini, un dato che il registro considera verificato, ma nessuna fonte pubblica ha mostrato un loro ruolo nell'organizzarli. L'unica accusa specifica rivolta all'Iran, un drone sopra i cortei, è stata ritirata dal ministero degli Esteri francese. Esponenti della diaspora algerina in Francia avevano chiesto ai giovani di non sventolare bandiere algerine nei blocchi delle scuole, per non alimentare le letture che attribuivano i disordini ai ragazzi di origine immigrata. Il principale vettore di disinformazione è stato interno: otto notizie false molto diffuse, smentite da fact-checker e autorità francesi, tra cui un'immagine generata con l'intelligenza artificiale vista più di sei milioni di volte.

Sui reati, il registro distingue con precisione ciò che le fonti aperte possono mostrare da ciò che non possono vedere. In Francia la rivendita è stata reale e documentata: annunci su Vinted, Leboncoin ed eBay che citavano apertamente i saccheggi del 17 ottobre, trattative spostate su Snapchat, un giornalista che ha portato a termine un acquisto. In Italia non è emerso nulla di paragonabile, anche perché la merce sottratta a Milano (cibo, abbigliamento sportivo, biciclette, contanti) lascia meno tracce online. Secondo l'agente la ricettazione organizzata sfugge per costruzione alle ricerche per parole chiave: per questo ha previsto una nuova verifica, basata sui singoli articoli in vendita, a quattordici e a quarantacinque giorni dagli eventi.

Un'analisi che si corregge

Due episodi spiegano perché il metodo conti quanto i risultati.

Il primo nasce da una validazione indipendente del lavoro del 21 ottobre, che ha giudicato troppo nette alcune conclusioni negative. «Nessuna regia transnazionale» è diventato «nessuna regia transnazionale osservata con strumenti aperti a quattro giorni dagli eventi», e la confidenza è scesa da alta a media; «nessuna ricettazione organizzata» è diventato «non osservabile con il metodo attuale». La validazione ha segnalato anche una distorsione del campione: il profilo dei saccheggiatori era costruito su chi era stato arrestato, cioè per definizione sui meno abili.

Il secondo riguarda un canale Telegram pubblico con il nome del Movimento 17 ottobre che il 21 ottobre conteneva soltanto quattro messaggi a favore dell'ordine pubblico, in aperta contraddizione con tutto ciò che si sapeva del movimento. L'agente lo ha prima segnalato come anomalia e poi lo ha datato con un'analisi forense: il canale era stato creato il 19 ottobre alle 23:34 UTC, i quattro messaggi erano stati pubblicati nel giro di trenta secondi e dopo non era comparso più nulla. Il 24 ottobre, su suggerimento della validazione, ha riletto la copertura giornalistica originale e ha scoperto che al movimento erano sempre stati attribuiti soltanto un account Instagram e un gruppo Telegram chiuso: che il canale pubblico appartenesse al movimento lo aveva dato per scontato l'indagine stessa. Oggi il registro conserva sia l'ipotesi iniziale sia la correzione (EV-097 nella dashboard), e la spiegazione più probabile, un'operazione di contropropaganda condotta da terzi sotto il nome del movimento, ha una confidenza medio-alta.

Le previsioni servono allo stesso scopo. Prima del 24 ottobre l'agente ha registrato cinque previsioni verificabili sulla seconda mobilitazione, chiarendo in anticipo che cosa avrebbe significato ciascun esito per le ipotesi di lavoro, così che l'analisi potesse essere smentita dai fatti. In serata è arrivato il momento del bilancio, condotto con la stessa prudenza usata per formularle. In Italia l'esito previsto si è verificato, con raduni circoscritti alle città annunciate e nessun saccheggio sistematico, ma il registro considera indeterminato il meccanismo: hanno pesato più fattori, preventivi e tattici, che non si possono separare, e l'analisi sceglie di non elencarli per non trasformare una valutazione in un'indicazione operativa. Nuovi attori sono comparsi davvero, ma si tratta di gruppi di estrema destra mobilitati contro i saccheggiatori e, secondo la stampa, del gruppo hacktivista filorusso Noname057(16), schierato a sostegno di una mobilitazione studentesca a Empoli. Non sono le folle opportuniste su cui verteva la previsione, che va quindi considerata confermata solo in parte.

La rivendita della merce saccheggiata è cominciata già la mattina del 18 ottobre, molto prima del picco atteso tra i sette e i quattordici giorni dai disordini: la premessa ne esce indebolita, ma un avvio immediato e un picco successivo possono convivere, e la finestra di verifica resta aperta fino al 1° novembre. Il canale Telegram pubblico, come previsto, non è andato oltre i suoi quattro messaggi. Il prossimo riscontro è già in calendario: i cortei indetti dall'USB per il 30 ottobre a Torino, Reggio Emilia e Roma, un test naturale per capire se i raduni ridotti del 24 ottobre siano il segno di un'organizzazione indebolita o soltanto di un cambio di tattica. Tutte le previsioni, con esiti ed evidenze, sono nella dashboard.

Anche i risultati della sera sono stati validati: nessun falso positivo e qualche correzione di precisione, come dichiarare il perimetro di una previsione confermata e riportare i numeri senza aggettivi. Il registro documenta poi un errore dell'indagine stessa: scaricando una seconda volta la diretta di una testata, l'agente ha sovrascritto la copia del pomeriggio prima di rinominarla. L'incidente è annotato insieme alla lezione che ne è stata tratta: ogni acquisizione porta il suffisso del proprio ciclo e nessuna pagina viene più riscaricata sullo stesso percorso.

Dal workspace alla dashboard

Tutto questo è conservato nel workspace di BackBox AI: un report di intelligence in diciassette sezioni, il registro delle evidenze, un catalogo di 73 fonti giornalistiche, una cronologia, un'analisi dei collegamenti, due grafi delle relazioni e undici screenshot archiviati. Per rendere i risultati utilizzabili anche da chi non aprirà mai un workspace, l'agente ha prodotto una dashboard pubblica, che abbiamo ridisegnato e integrato in questo sito.

La dashboard mostra i numeri principali per ciascun Paese, la cronologia degli eventi dal primo video su TikTok del 7 settembre alle date già annunciate per novembre, la rete degli attori e delle loro relazioni, la scala di accoppiamento, la valutazione di ogni accusa di interferenza, il tracker delle previsioni e l'indice completo delle evidenze, con ricerca e filtri. Ogni numero e ogni affermazione rimandano alle evidenze su cui si basano, e ogni evidenza elenca i punti della dashboard in cui è citata. I dati stanno in un file JSON separato, in inglese, italiano e francese: a ogni ciclo di monitoraggio il workspace ne produce una nuova versione, e pubblicarla basta ad aggiornare la dashboard senza toccare la pagina.

Dove si fermano le fonti aperte

Il valore di un lavoro di questo tipo dipende dall'onestà sui suoi limiti, e l'indagine li dichiara in modo esplicito.

I canali chiusi restano invisibili, per natura e sempre più per scelta: la comunicazione operativa più rilevante è passata da gruppi privati fin dall'inizio, e si è fatta ancora più opaca man mano che i movimenti si adattavano. L'assenza di prove non è una prova di assenza, tanto più a pochi giorni dai fatti. Una parte della stampa francese a pagamento è stata letta solo attraverso i metadati RSS, e la copertura di X e TikTok è parziale senza accesso alle API. Va ricordato poi che il prodotto è un orientamento per le indagini, non una prova utilizzabile in giudizio.

L'indagine ha tracciato anche confini che non sono tecnici. La dashboard nomina movimenti, piattaforme e attori pubblici, non privati cittadini, e riporta gli sviluppi giudiziari con la presunzione di innocenza che li accompagna. Sono state usate solo superfici pubbliche: nessun login, nessun account falso, nessun ingresso in gruppi privati. Alla domanda su quali possibilità esistessero per accedere ai gruppi chiusi con tecniche più invasive, l'agente non ha fornito alcun metodo di intrusione, ha spiegato perché quei metodi costituiscono reati e renderebbero inutilizzabili le eventuali prove, e ha indicato invece le strade lecite a disposizione delle autorità: richieste di conservazione dei dati alle piattaforme, ordini europei di produzione delle prove elettroniche, segnalazioni previste dal Digital Services Act e cooperazione di polizia tramite Europol ed Eurojust.

Per tutta la durata del lavoro l'operatore ha mantenuto il controllo: la verifica sul dark web, il consolidamento del workspace e la dashboard stessa sono stati richiesti esplicitamente, e ogni passaggio è documentato nel workspace.

A chi serve

Lo stesso metodo si adatta a chiunque debba capire una situazione in evoluzione a partire da fonti aperte e poter difendere le proprie conclusioni in un secondo momento.

Gli analisti delle forze dell'ordine e della sicurezza pubblica vi trovano un quadro della situazione costruito su dati pubblici raccolti in modo lecito, con attenzione ai punti caldi e alle contromanifestazioni e con la disinformazione separata dai fatti prima che condizioni le decisioni. A giornalisti e fact-checker offre un lavoro sulle fonti che tiene traccia della provenienza di ogni affermazione, del peso che merita e del momento in cui è stata corretta. Ai team aziendali di sicurezza e gestione del rischio permette di seguire gli eventi che toccano persone, sedi e attività, dalle chiusure dei negozi ai coprifuoco, fino agli avvisi di viaggio. Ad analisti e ricercatori consegna un registro riproducibile al posto di un insieme di impressioni.

Quello che non fa è sostituire investigatori, redattori o capacità di giudizio. L'agente si fa carico del grosso del lavoro di raccolta, verifica e documentazione; sono le persone a decidere che cosa significano i risultati e come usarli.

Se devi seguire gli eventi che contano per la tua organizzazione, scrivici.