Un modello GPAI, o modello di IA a scopo generale, è un modello di base creato per svolgere molti compiti diversi invece di un singolo lavoro ristretto. Può rispondere a domande, riassumere testi, scrivere codice, classificare contenuti e supportare altre applicazioni tramite prompt o fine-tuning a valle. In base all'AI Act dell'UE, alcuni modelli GPAI possono comportare obblighi aggiuntivi, soprattutto quando la loro scala o le loro capacità generano un rischio sistemico.
Nel campo della sicurezza informatica, i modelli GPAI sono importanti perché una capacità ampia significa anche una superficie di attacco ampia. Lo stesso modello può alimentare chatbot, agenti o strumenti di sicurezza, quindi controlli di accesso deboli, prompt injection, dati avvelenati o permessi non sicuri per gli strumenti possono trasformare un semplice errore del modello in un'azione non autorizzata o in un'esposizione di dati. I difensori riducono questo rischio con registrazione dei log, sandboxing, limiti dei privilegi, approvazione umana per le azioni ad alto impatto e test accurati. Gli attaccanti possono tentare di indirizzare il modello, estrarre informazioni sensibili o abusare degli strumenti e delle credenziali collegati.