L’MI5 ha fatto qualcosa che i servizi di sicurezza britannici riservano solo ai casi più gravi: un allarme pubblico, con tanto di nome dell’organizzazione coinvolta. Il bersaglio è il China General Technology Research Institute (CGTRI), un ente che secondo l’agenzia di controspionaggio del Regno Unito è in realtà una copertura del Ministero della Sicurezza di Stato cinese (MSS), usata per finanziare ricerca accademica che rafforza direttamente le capacità di spionaggio di Pechino. Oltre 100 ricercatori con legami con atenei britannici risultano aver contribuito a progetti pagati, spesso senza saperlo, da Pechino tramite questo canale. Non è uno scenario da film di spionaggio: è la fotografia di come l’intelligence offensiva moderna si infiltri nei laboratori universitari con assegni di ricerca invece che con microfilm.

Cos’è il CGTRI e perché l’MI5 lo considera un front dell’MSS

Nell’alert pubblicato il 30 settembre e rilanciato nei giorni successivi da stampa specializzata e generalista, l’MI5 descrive il CGTRI (中国通用技术研究院, anche noto come China Academy of General Technology) come un’organizzazione il cui “scopo primario è finanziare ricerca che migliora direttamente la capacità tecnica di spionaggio del Ministero della Sicurezza di Stato”. In altre parole, non un ente di facciata nel senso classico — privo di attività reale — ma una struttura di finanziamento della ricerca che instrada fondi, contratti e collaborazioni verso progetti accademici dall’evidente doppio uso, civile e di intelligence.

Il meccanismo descritto da MI5 è insidioso proprio per la sua normalità: borse di studio, sovvenzioni per la ricerca, co-finanziamenti di progetti internazionali. Il denaro arriva spesso tramite intermediari o joint venture che ne offuscano l’origine, e l’agenzia sottolinea esplicitamente che “in alcuni casi gli accademici potrebbero non essere consapevoli che il CGTRI sta finanziando il progetto di ricerca cinese” a cui stanno lavorando.

Oltre 100 accademici, aree di ricerca ad alto valore di intelligence

Secondo MI5, i ricercatori coinvolti hanno contribuito a progetti finanziati dal CGTRI in quattro ambiti chiave: intelligenza artificiale, cybersecurity, sistemi di comunicazione covert e steganografia — la tecnica di nascondere informazioni all’interno di altri dati o file apparentemente innocui. Non è un elenco casuale: sono esattamente le competenze che un servizio di intelligence userebbe per costruire canali di comunicazione clandestini resistenti all’intercettazione, strumenti di raccolta automatizzata di dati su larga scala e capacità offensive nel dominio cyber. L’agenzia ha inoltre segnalato che l’intelligence cinese ha ottenuto accesso a ricerca britannica sullo scraping di dati da social media, una capacità con evidenti applicazioni nella profilazione di massa e nell’identificazione di bersagli.

Il quadro che ne emerge è quello di un programma di raccolta tecnologica a lungo termine che sfrutta l’apertura e la reputazione internazionale del sistema universitario britannico per accedere a know-how che sarebbe altrimenti molto più costoso o rischioso ottenere con mezzi di spionaggio tradizionali.

Il rischio penale: National Security Act 2023

L’allarme non è solo un avviso di sicurezza: ha un chiaro risvolto legale. MI5 ha richiamato esplicitamente il National Security Act 2023, in particolare la Section 3 (assistenza a un servizio di intelligence straniero) e la Section 17 (ottenimento di un beneficio materiale da un servizio di intelligence straniero), reati che in Regno Unito possono comportare fino a 14 anni di reclusione. Per gli atenei, questo significa che continuare collaborazioni con il CGTRI dopo l’allarme pubblico non è più solo un rischio reputazionale o di sicurezza nazionale in astratto: è un’esposizione penale concreta per l’istituzione e, potenzialmente, per i singoli ricercatori coinvolti nella gestione dei fondi.

MI5 ha indicato agli atenei di rivolgersi al Research Collaboration Advice Team (RCAT) e di seguire le linee guida sulla “trusted research” della National Protective Security Authority (NPSA) per tracciare l’origine dei finanziamenti e verificare che le controparti cinesi non siano collegate al MSS.

La risposta di Londra e la reazione di Pechino

Il ministro per la Sicurezza britannico, Dan Jarvis, ha scritto direttamente ai vice-chancellor delle università del Regno Unito per sollecitare una revisione immediata delle collaborazioni in corso e pianificate con il CGTRI. Le organizzazioni di rappresentanza degli atenei, Universities UK e il Russell Group, hanno riconosciuto pubblicamente le proprie responsabilità in materia di sicurezza nazionale, sottolineando gli investimenti già fatti in due diligence sulle collaborazioni internazionali — una risposta che lascia intendere quanto il problema fosse già sul radar prima dell’alert pubblico.

Dal canto suo, l’ambasciata cinese a Londra ha respinto le accuse definendole “immaginarie e del tutto fabbricate”, sostenendo che gli scambi educativi tra i due paesi sono “reciprocamente vantaggiosi” e condotti su base volontaria — la linea difensiva standard di Pechino di fronte ad accuse di spionaggio tramite canali accademici, già vista in casi analoghi riguardanti altri paesi occidentali.

Perché conta per chi si occupa di sicurezza, non solo di accademia

Come osservato da Graeme Stewart di Check Point, le università vanno ormai considerate parte del “perimetro di sicurezza nazionale”: custodiscono dataset sensibili, codice sorgente, proprietà intellettuale e accesso a infrastrutture di calcolo che in molti casi superano per potenza quelle di singole aziende private. Per i team di sicurezza che operano in ambito accademico o in partnership università-industria, il caso CGTRI è un promemoria concreto: il controllo degli accessi a reti, repository e dataset di ricerca non può più prescindere da una verifica della provenienza dei finanziamenti che sostengono quei progetti. La prossima falla non arriverà necessariamente da un exploit, ma da un contratto di ricerca firmato in buona fede.

• Chi: China General Technology Research Institute (CGTRI), assessato da MI5 come front del MSS
• Quanti: oltre 100 accademici collegati al Regno Unito coinvolti in progetti finanziati
• Aree di ricerca: intelligenza artificiale, cybersecurity, comunicazioni covert, steganografia, social media scraping
• Base legale: National Security Act 2023, Sezioni 3 e 17 — fino a 14 anni di carcere
• Raccomandazione MI5: revisione immediata delle collaborazioni, tracciamento dei finanziamenti, consulenza RCAT/NPSA

Fonti: MI5, The Hacker News, Infosecurity Magazine, IBTimes UK.