Bug Titan, violazione DMDC e una sanzione in New Jersey: il rischio dei data center esce dalla sala server

Il difetto di Titan è contato per quello che mancava. Secondo The Register del 30 settembre, il servizio convalidava il contenuto di un JSON Web Token, inclusi tenant, audience, app ID e utente, ma non verificava mai la firma del token. Il ricercatore Faav, lavorando con uno strumento di IA che ha costruito e chiamato Antares, è entrato nell'API attraverso un host Azure Cloud Services e poteva inviare SQL senza credenziali valide. Microsoft ha poi blindato l'API e pagato un bug bounty da 5.000 dollari.

Il blog di Faav, citato da The Register, racconta il momento in cui l'accesso è arrivato: "Erano le 2 di notte." Faav ha anche detto di aver riscritto il post su richiesta di Microsoft, tagliando sezioni e numeri. La dichiarazione di Microsoft, fornita a Faav per quel blog, diceva che la segnalazione "ci ha aiutato a proteggere meglio i nostri clienti rendendo più robusti i nostri servizi".

Energia e raffreddamento passano in testa alla fila

Lo stesso giorno sono arrivate due notizie infrastrutturali che non avevano nulla a che fare con il software. Data Center Knowledge ha riferito di una sanzione da 1.070.000 dollari inflitta dal New Jersey Department of Environmental Protection a un operatore di Vineland chiamato DataOne. Secondo lo Stato, l'azienda ha installato e gestito 62 generatori a gas naturale senza i permessi richiesti. Un funzionario statale ha annunciato il provvedimento il 22 settembre, scrive la testata. DataOne ha contestato la conclusione sui generatori temporanei ma ha detto che presenterà domanda per i permessi alle emissioni, secondo il New Jersey Monitor.

"I data center per l'IA stanno diventando sempre più centrali elettriche oltre che strutture di calcolo", ha detto Abhijit Sunil, analista senior di Forrester, a Data Center Knowledge. Ha aggiunto che l'infrastruttura per l'IA "può ormai essere installata più in fretta di quanto i processi tradizionali di autorizzazione e ispezione fossero stati concepiti per controllare". Lo stesso articolo cita Luis Fernandes di IDC, secondo cui un'indagine mondiale sugli operatori colloca l'efficienza energetica e le rinnovabili tra le principali priorità di resilienza e sostenibilità. I due resoconti non si contraddicono, ma inquadrano il problema in modo diverso: uno tratta la generazione in loco come un rischio di conformità, l'altro come una preferenza di acquisto.

La trasparenza, intanto, diventa più difficile da misurare, non più facile. POLITICO ha riferito il 30 settembre che Lighthouse Reports ha presentato un ricorso ai sensi della Convenzione di Aarhus. L'accusa alla Commissione europea è di sottrarre al controllo pubblico i consumi di energia e acqua dei data center. Le cifre della Commissione, citate da POLITICO, attribuiscono ai data center europei 20,7 terawattora di elettricità nel 2025, più o meno quanto consuma la Croazia, e oltre 8.000.000 di metri cubi di acqua. Si tratta di un aumento del 26% per l'elettricità e del 52% per l'acqua rispetto al 2024. I totali provengono da dati incompleti e sono pubblicati solo in forma aggregata.

NL Times ha riferito lo stesso giorno che meno di un quarto dei data center olandesi di grandi dimensioni pubblica i dati su elettricità e acqua potabile. L'Agenzia nazionale per le imprese dei Paesi Bassi ha dati solo su 104 delle 186 strutture commerciali con almeno 500 kW di capacità contate dalla Dutch Datacenter Association alla fine dello scorso anno. Dati pubblici esistono per il consumo elettrico di 44 di esse e per l'acqua di 47.

"Togliere pressione alla rete non elimina un costo ambientale." Abhijit Sunil, Forrester, a Data Center Knowledge

Dentro il rack, lo stack di raffreddamento si divide e si moltiplica

Il lato hardware dello stesso problema si frammenta in livelli. SUNON ha usato l'anteprima dell'OCP Global Summit per organizzare un portafoglio di raffreddamento a liquido su tre livelli: chip, server e rack, secondo TechEdge AI. L'evento si svolge dal 12 al 15 ottobre a San Jose. Lo stesso articolo cita Gartner, che prevede 565 terawattora di consumo elettrico dei data center nel 2026, in aumento del 26% sul 2025. I server ottimizzati per l'IA assorbiranno quest'anno il 31% del totale e supereranno i server convenzionali nel 2027. Il dato IEA nello stesso pezzo ha un perimetro diverso: circa 415 TWh nel 2024, all'incirca l'1,5% dell'elettricità mondiale.

Upsite Technologies fa un'osservazione analoga su dove stia davvero il calore. La sua analisi rileva che i progetti a piastra fredda non sono più confinati alle GPU, perché il silicio di rete intorno a esse ora scalda abbastanza da richiedere il liquido. Il Tomahawk 6 di Broadcom supporta fino a 102,4 Tb/s di capacità di commutazione su un singolo chip, e il Silicon One G300 di Cisco offre 102,4 Tbps con SerDes a 200 Gbps. La piattaforma Vera Rubin di Nvidia, secondo lo stesso pezzo, ridurrebbe il costo di inferenza per token fino a 10 volte rispetto a Blackwell.

I fornitori hanno portato numeri di prodotto al Data Center World Asia di Singapore il 29 e 30 settembre. Midea Building Technologies, secondo Thermal Control Magazine, mostra una CDU magnetica che, a suo dire, riduce l'ingombro delle apparecchiature fino al 70% e sostiene un PUE di sistema inferiore a 1,2 in condizioni adeguate. Accanto espone un chiller centrifugo a cuscinetti magnetici raffreddato ad aria con COP fino a 5,4 e una CDU di grado industriale da 2,6 MW. Il suo progetto Gui'an, legato a Keppel, dichiara fino a 7.654 ore di free cooling all'anno con un PUE stabile sotto 1,2. LG Electronics, in un proprio post nella newsroom, ha descritto un portafoglio "Chip-to-Chiller" che comprende soluzioni idroniche prefabbricate, chiller centrifughi raffreddati ad aria, Coolant Distribution Unit qualificate da Nvidia, raffreddamento a immersione e Fan Wall Unit.

Questi sono numeri di marketing delle aziende stesse, e vanno letti come tali. I riferimenti indipendenti sono meno lusinghieri. Data Center List, basandosi sull'indagine 2024 di Uptime Institute, colloca il PUE medio a 1,56 sulle strutture che lo dichiarano, contro 1,09 di Google e 1,17 di Microsoft sull'intera flotta. Lo stesso insieme di dati segue 6.125 strutture in 183 paesi, di cui 72 dichiarano la capacità: 29,00 GW di capacità IT dichiarata più 7,27 GW stimati su altre 843 sedi. Il totale implicito è di circa 45,23 GW di assorbimento delle strutture al PUE medio di settore.

La coda della rete elettrica, e chi finisce per pagare

Il Texas offre il test più netto su chi sopporta il costo. Inside Climate News ha riferito il 30 settembre che i giudici amministrativi della Public Utilities Commission of Texas hanno stabilito che El Paso Electric non ha valutato adeguatamente le alternative a un impianto a gas naturale da 366 megawatt, chiamato McCloud. L'impianto è destinato ad alimentare il data center da 1 gigawatt e 10.000.000.000 di dollari di Meta nel nord-est di El Paso. I giudici hanno raccomandato l'approvazione solo a condizione che la utility non scarichi sui clienti i costi di capitale e di esercizio, e in caso contrario hanno raccomandato il diniego. I cinque commissari non hanno fissato una votazione.

I dettagli dell'istanza sono precisi. El Paso Electric ha presentato domanda a dicembre per costruire l'impianto con 813 generatori modulari a gas naturale forniti da Enchanted Rock, ciascuno da 450 kilowatt, a un costo stimato di 499.000.000 di dollari. L'impianto rifornirebbe Meta in esclusiva per cinque anni prima di collegarsi alla rete di trasmissione più ampia. I giudici hanno scritto che Wurldwide, una controllata di Meta indicata nella domanda, ha guidato il processo. "Siamo delusi", ha detto Verónica Carbajal della Sembrando Esperanza Coalition, che ha presentato commenti di oltre 1.000 persone contrarie all'istanza.

Il Missouri mostra lo stesso schema su scala di utility. CleanTechnica ha riferito il 29 settembre che Ameren Missouri ha depositato presso la Missouri Public Service Commission un piano di lungo periodo. Il piano aggiungerebbe 5.400 MW di gas entro il 2032, un aumento di 1.700 MW, e rinvierebbe la chiusura delle centrali a carbone: Sioux al 2035 e due unità Labadie di sei anni al 2042. Taglierebbe inoltre di 900 MW gli investimenti solari precedenti al 2030 portandoli a 1.300 MW, eliminando al contempo il nuovo eolico prima del 2030. Jenn DeRose del Sierra Club ha detto che Ameren e le aziende tecnologiche stanno "giocando d'azzardo con il futuro dell'umanità mentre alimentano i data center con carbone e gas".

Il trattamento fiscale è l'altro capo dello stesso registro. The Decoder ha riferito il 30 settembre, citando il New York Times, che Meta ha risparmiato 3.900.000.000 di dollari nel 2025 grazie a un credito federale per la ricerca. L'azienda ha classificato i data center per l'IA come modelli pilota e i chip Nvidia come materiali sperimentali. La cifra è in aumento rispetto ai 2.000.000.000 di dollari del 2024 e ai 700.000.000 di dollari del 2023. Le stesse comunicazioni di Meta alla SEC avvertono che i risparmi potrebbero essere contestati, e il suo accantonamento per posizioni fiscali incerte è salito del 45% a 18.740.000.000 di dollari, secondo il resoconto.

Il rischio per la sicurezza non è rimasto dentro il perimetro. TechCrunch ha riferito il 30 settembre che il Defense Manpower Data Center sta avvisando milioni di militari in servizio e in congedo. Dati personali, compresi i numeri di previdenza sociale, sono stati sottratti nell'arco di diversi mesi tra ottobre 2025 e metà luglio 2026 attraverso una vulnerabilità nella condivisione di file. Un funzionario del Pentagono ha indicato la cifra in circa 2.800.000 persone viventi e quasi 300.000 decedute, secondo CNN e Federal News Network. I registri non erano cifrati. Le forze armate statunitensi contavano 1.300.000 militari in servizio attivo a marzo.

Letti insieme, i casi della settimana indicano una sola realtà operativa: il vincolo sulla capacità di IA non è più solo il silicio. È un permesso, un controllo di firma, un token, una sottostazione, un contatore dell'acqua e una dichiarazione dei redditi. Nessuno di questi sta nel rack. Tutti quanti ormai decidono se il rack funziona.