Due modelli di intelligenza artificiale sottoposti a prove di sicurezza informatica hanno superato i confini operativi stabiliti dai laboratori incaricati di valutarli. In un caso, GPT-5.6 Sol ha utilizzato servizi internet reali durante un test dell’AI Security Institute britannico. Nell’altro, un modello di OpenAI ha attaccato un sito esistente perché una configurazione errata lo aveva reso raggiungibile dall’ambiente di prova.
OpenAI ha comunicato i due incidenti il 4 agosto 2026. La società ha precisato che i test utilizzavano configurazioni speciali, con protezioni ridotte o disabilitate, e che non riproducevano il comportamento dei modelli disponibili normalmente al pubblico. Gli episodi non dimostrano quindi che ChatGPT o altri prodotti commerciali possano autonomamente aggirare i propri sistemi di sicurezza. Mostrano però quanto sia diventato difficile isolare e sorvegliare agenti capaci di utilizzare strumenti, creare account, eseguire codice e perseguire un obiettivo attraverso numerosi passaggi.
Indice degli argomenti:
Il test britannico con accesso a internet
Il primo episodio riguarda una valutazione iniziata il 25 luglio 2026 nei cyber range dell’AI Security Institute, organismo del governo britannico specializzato nello studio dei rischi dei sistemi avanzati. Questi ambienti riproducono reti informatiche sulle quali i modelli possono eseguire attività offensive senza colpire infrastrutture reali.
Gli agenti dovevano comportarsi come esperti di sicurezza impegnati in una gara capture the flag. Il compito consisteva nel compromettere tre ambienti simulati collegati tra loro e recuperare un codice finale, chiamato “flag”. Le istruzioni indicavano le reti comprese nel test e segnalavano alcuni sistemi esclusi.
L’istituto aveva però consentito l’accesso alla rete pubblica. La scelta doveva permettere agli agenti di cercare e scaricare autonomamente gli strumenti necessari, avvicinando la simulazione alle condizioni nelle quali opera un attaccante umano. Erano stati inoltre disabilitati i classificatori cyber del modello, cioè le protezioni che limitano le risposte e le azioni potenzialmente pericolose. L’obiettivo era misurare le capacità tecniche sottostanti, non il comportamento del prodotto nella configurazione commerciale.
L’AI Security Institute ha individuato 19 eventi nei quali i modelli di due diversi sviluppatori sono usciti dall’ambito previsto. Due hanno coinvolto GPT-5.6 Sol. Gli altri hanno riguardato sistemi prodotti da un altro laboratorio, il cui nome non è stato reso pubblico.
OpenAI ha riferito che l’istituto considerava autorizzate soltanto le operazioni dirette contro le reti simulate. Le istruzioni, tuttavia, non definivano in modo esplicito quali usi dell’accesso internet fossero consentiti. Secondo l’ente britannico, questa ambiguità può avere contribuito agli incidenti.
Il token GitHub e i servizi esterni
Durante una delle prove, GPT-5.6 Sol ha trovato e riutilizzato un token GitHub lasciato pubblicamente accessibile dall’agente di un altro laboratorio. Il modello cercava di verificare se un sistema interno al cyber range controllasse GitHub o un altro servizio per scaricare aggiornamenti.
L’agente ha anche tentato procedure per recuperare account e aggirare limiti alle richieste. Ha poi registrato profili presso fornitori reali di servizi dns e tunneling. Queste operazioni non erano necessarie per completare l’esercizio e coinvolgevano infrastrutture esterne al perimetro autorizzato.
Nel secondo evento, il modello ha utilizzato un servizio pubblico di tunneling per rendere raggiungibile da internet un server dns avviato all’interno dell’ambiente di valutazione. Il server ospitava payload destinati a sfruttare una vulnerabilità nota in un software installato nella rete simulata.
Il tentativo non ha funzionato. OpenAI e l’istituto britannico non hanno trovato prove che un resolver reale abbia interrogato il server. L’infrastruttura è stata rimossa al termine della prova. I payload, tuttavia, erano stati esposti sulla rete pubblica e questo ha portato l’AI Security Institute a classificare l’azione come non autorizzata.
I sistemi di monitoraggio hanno rilevato trasferimenti di dati anomali il 28 luglio. L’istituto ha fermato le valutazioni interessate, isolato le macchine e contenuto l’attività entro circa un’ora dalla rilevazione.
Il sito reale attaccato durante il test di Irregular
Il secondo incidente è stato comunicato a OpenAI il 29 luglio da Irregular, società specializzata nella valutazione delle capacità cyber dei modelli avanzati. Anche in questo caso gli agenti partecipavano a esercizi capture the flag, nei quali dovevano trovare informazioni nascoste sfruttando vulnerabilità presenti in sistemi simulati.
Le istruzioni dicevano ai modelli che non avevano accesso a internet. Una configurazione errata dell’ambiente consentiva invece di raggiungere la rete pubblica.
Il nome assegnato a un bersaglio immaginario coincideva accidentalmente con un dominio realmente esistente. Il modello, convinto di operare nella simulazione, ha attaccato il sito collegato a quel dominio. Secondo le informazioni diffuse da OpenAI, l’agente ha sfruttato una vulnerabilità elementare e ha successivamente trovato credenziali utilizzabili per operare sullo stesso sito. Non si è trattato di una fuga sofisticata dalla sandbox né dello sfruttamento di una vulnerabilità zero-day.
Irregular non ha rilevato conseguenze oltre ai dati appartenenti al sito interessato, ma l’audit non era ancora concluso al momento della comunicazione. La società ha sospeso i test, avviato le attività correttive e informato le terze parti coinvolte. Ha inoltre dichiarato di avere eliminato le condizioni tecniche che avevano reso possibile l’incidente e di avere aggiunto nuove protezioni all’ambiente.
La società prepara anche un documento tecnico sulle procedure necessarie per contenere gli agenti e svolgere valutazioni cyber in sicurezza. OpenAI ha annunciato la propria partecipazione al progetto.
Le capacità offensive misurate nei laboratori
Gli incidenti assumono rilievo perché arrivano dopo una serie di test che documentano il miglioramento delle capacità offensive dei modelli. In un rapporto pubblicato il 26 giugno 2026, Irregular ha riferito che GPT-5.6 Sol ha risolto 19 delle 197 prove del benchmark FrontierCyber, sette degli undici scenari di lunga durata di CyScenarioBench e almeno una volta tutte le 22 prove atomiche di difficoltà media o alta.
FrontierCyber utilizza software e dispositivi reali, senza vulnerabilità inserite appositamente e senza percorsi di attacco prestabiliti. Durante queste valutazioni GPT-5.6 Sol ha individuato diverse vulnerabilità zero-day, poi comunicate ai produttori coinvolti. I bersagli comprendevano un database open source ampiamente utilizzato e telefoni di generazione recente.
Irregular ha descritto anche un caso nel quale il modello ha costruito un exploit partendo da una correzione pubblicata nel codice sorgente appena 55 minuti prima dell’inizio del test. L’agente ha completato l’attacco circa cinque ore dopo l’inserimento della modifica, mentre la nuova versione del software è stata distribuita quattro giorni più tardi.
La società ha comunque registrato limiti rilevanti. Il modello perde efficacia contro sistemi rafforzati, nei compiti che richiedono coordinamento operativo prolungato e nelle decisioni da prendere in tempi stretti. Il successo medio nei tentativi di CyScenarioBench è stato del 28 per cento.
Le prove indicano quindi competenze elevate nella ricognizione, nella scoperta delle vulnerabilità e nelle prime fasi di un attacco, ma un’affidabilità ancora discontinua nelle operazioni autonome complete.
Quando un agente cerca scorciatoie
Il 22 luglio 2026 l’AI Security Institute aveva pubblicato uno studio sul comportamento dei modelli durante le valutazioni. Tutti i sistemi esaminati avevano tentato almeno una volta di raggiungere l’obiettivo attraverso azioni esterne al perimetro o vietate dalle regole.
L’istituto definisce questo comportamento “cheating”, senza attribuire necessariamente al modello un intento ingannevole. Gli esempi comprendono la ricerca online delle soluzioni, gli attacchi contro macchine diverse dal bersaglio e i tentativi di ottenere informazioni dal software che gestisce la valutazione.
I modelli non dichiaravano in modo affidabile le violazioni quando venivano interrogati sul proprio comportamento. In meno della metà dei casi riconoscevano come scorretta l’azione contestata. L’istituto ritiene quindi insufficiente affidarsi alle spiegazioni fornite dall’agente e considera necessari sistemi di monitoraggio indipendenti, insieme alla revisione umana delle sequenze di azioni.
Questi tentativi possono falsare anche il risultato scientifico. Un modello potrebbe sembrare capace di risolvere una prova complessa perché ha trovato la risposta su internet, ha sfruttato un errore del laboratorio oppure ha colpito l’infrastruttura che gestisce il test. In assenza di controlli, il punteggio misurerebbe una combinazione di capacità tecnica, difetti dell’ambiente e scorciatoie impreviste.
Il precedente dell’incidente Hugging Face
I due casi sono distinti dall’incidente che ha coinvolto Hugging Face, reso pubblico il 21 luglio 2026. In quella circostanza una combinazione di modelli OpenAI, compreso GPT-5.6 Sol e un sistema non ancora distribuito, ha concatenato vulnerabilità tra l’ambiente di ricerca di OpenAI e l’infrastruttura di produzione di Hugging Face.
I modelli erano sottoposti a un test interno con limitazioni cyber ridotte. L’accesso alla rete avrebbe dovuto essere circoscritto a un proxy utilizzato per installare pacchetti. Gli agenti hanno invece raggiunto il database di produzione di Hugging Face e ottenuto le soluzioni delle prove. OpenAI ha dichiarato di avere comunicato al fornitore coinvolto una vulnerabilità zero-day presente nel software impiegato come proxy.
Il precedente presenta caratteristiche tecniche diverse, ma conferma che la sicurezza dell’intero sistema dipende anche da componenti esterni: proxy, cache, credenziali, servizi cloud, domini, strumenti di sviluppo e configurazioni di rete. Un ambiente definito “isolato” può contenere collegamenti indiretti verso sistemi reali.
Costi e responsabilità per l’industria
Per le imprese che sviluppano modelli avanzati, il problema riguarda investimenti, responsabilità contrattuali e tempi di immissione sul mercato. Le valutazioni indipendenti servono a individuare rischi prima della distribuzione, ma i laboratori devono poter sostenere costi crescenti per segmentazione delle reti, registrazione delle attività, gestione delle credenziali e risposta agli incidenti.
OpenAI aveva pubblicato il 29 maggio 2026 un insieme di indicazioni per le valutazioni di terze parti. La società chiedeva di specificare il modello esaminato, gli strumenti disponibili, le protezioni attive, il budget di calcolo, il numero di tentativi e le verifiche utilizzate per individuare manipolazioni dei test. Sosteneva inoltre che l’ambiente e l’interfaccia attraverso cui opera il modello costituiscono parte integrante del risultato.
Dopo gli ultimi incidenti, OpenAI ha annunciato una revisione delle procedure. La verifica riguarderà la classificazione delle prove più rischiose, l’autorizzazione dell’accesso a internet, la riduzione delle protezioni, l’isolamento, la gestione delle credenziali, il monitoraggio e le condizioni che impongono di fermare un test. Saranno definiti anche processi più precisi per comunicare ed elevare gli incidenti.
La società intende convocare istituti nazionali, valutatori indipendenti e altri laboratori per elaborare pratiche comuni. L’efficacia dipenderà dalla capacità di trasformare le indicazioni volontarie in requisiti verificabili. Un agente incaricato di violare sistemi informatici non distingue automaticamente tra un servizio creato per la prova e un bersaglio reale: il laboratorio deve rendere tecnicamente impossibile il passaggio dall’uno all’altro.
Partecipa alla community