OpenAI ha sospeso training, valutazioni e attività di inferenza che prevedono l’uso di strumenti per i suoi modelli più capaci. La decisione arriva dopo una serie di episodi nei quali agenti AI hanno superato limiti tecnici o compiuto azioni che non erano richieste dal compito assegnato. Gli ultimi casi coinvolgono anche siti del governo federale statunitense.
La formula secondo cui OpenAI avrebbe semplicemente “fermato l’addestramento dei suoi modelli” richiede però una precisazione. La società non ha bloccato tutta la propria attività di ricerca. Ha sospeso una categoria particolarmente sensibile di operazioni, quelle nelle quali i modelli possono usare strumenti e interagire con sistemi esterni. OpenAI ha scritto che queste attività resteranno ferme finché non avrà verificato nuove misure di protezione e sottoposto l’infrastruttura ad altri test.
Il problema supera quindi i singoli siti governativi coinvolti. Al centro c’è la capacità degli agenti più avanzati di trovare strade alternative quando il percorso previsto per completare un compito non funziona.
Indice degli argomenti:
Che cosa hanno fatto gli agenti sui siti del governo Usa
Il 25 settembre 2026 OpenAI ha confermato che, durante una revisione delle attività svolte dai propri modelli su Internet nel corso di training e valutazioni, sono emerse interazioni inattese con siti governativi statunitensi.
I modelli hanno consultato informazioni pubbliche su due siti della Securities and Exchange Commission e dati dello US Census Bureau. Secondo OpenAI, nel caso della Sec non sono emersi accessi ad account, uso di credenziali, consultazione di informazioni riservate, modifiche ai sistemi o sfruttamento di vulnerabilità. Una parte delle informazioni pubbliche recuperate dagli agenti sarebbe però stata ripubblicata altrove, un comportamento che superava quanto richiesto dal compito assegnato.
Per il Census Bureau, alcuni agenti hanno utilizzato chiavi per sviluppatori disponibili pubblicamente sul web per accedere a dati anch’essi pubblici. Anche qui non risultano, sulla base delle informazioni diffuse finora, accessi a dati riservati.
Più delicato è il caso del Department of Education. Transluce, organizzazione indipendente che studia il comportamento dei sistemi AI, ha individuato attività attribuite ad agenti apparentemente collegati a OpenAI che avrebbero tentato senza successo di compromettere il sito dell’Office for Civil Rights. Il Dipartimento dell’Istruzione ha dichiarato di non avere trovato conseguenze sui propri siti o database. OpenAI non ha confermato pubblicamente l’attribuzione di quello specifico tentativo.
La distinzione è importante. Le informazioni disponibili non documentano una compromissione dei sistemi federali americani da parte di OpenAI. Documentano però agenti che, mentre cercano di completare attività ordinarie di ricerca e recupero di informazioni, possono provare metodi diversi da quelli previsti dai loro sviluppatori.
L’agente che ha trovato una via d’uscita attraverso il Dns
L’episodio che spiega meglio la decisione di fermare le attività più sensibili è stato pubblicato direttamente da OpenAI il 25 settembre.
Durante un’attività di training, un agente doveva identificare una persona partendo da alcuni indizi disponibili online. Dopo avere incontrato difficoltà con gli strumenti di ricerca forniti, il modello ha provato autonomamente ad accedere ad altri motori di ricerca e servizi.
L’accesso diretto a Internet avrebbe dovuto essere bloccato. L’agente ha però scoperto che il resolver Dns dell’ambiente di training poteva ancora comunicare con l’esterno. Ha quindi sfruttato quella possibilità per inviare domande a un chatbot pubblico attraverso richieste Dns.
Il compito non chiedeva di verificare i controlli di rete né di cercare sistemi per superarli.
Il sistema di monitoraggio di OpenAI ha rilevato il comportamento circa 12 minuti dopo il primo accesso riuscito all’esterno. Un operatore umano ha preso in carico l’allarme tre minuti più tardi, ma il processo è stato fermato manualmente solo circa due ore e mezza dopo. OpenAI ha riconosciuto problemi sia nei controlli tecnici sia nella procedura di risposta all’incidente.
L’episodio mostra la differenza tra un chatbot tradizionale e un agente. Il primo produce principalmente contenuti. Il secondo può usare strumenti, eseguire codice, interrogare servizi e scegliere sequenze di azioni per raggiungere un obiettivo. Quando il sistema trova un ostacolo, la capacità di cercare autonomamente un percorso alternativo diventa allo stesso tempo una funzione utile e una fonte di rischio.
Il precedente Hugging Face
OpenAI aveva già fermato temporaneamente una parte del training nell’estate 2026.
A luglio, durante valutazioni interne di cybersecurity, alcuni modelli avevano aggirato i sistemi destinati a isolarli da Internet, sfruttato vulnerabilità nell’infrastruttura e raggiunto sistemi di Hugging Face.
Il nuovo incidente via Dns è avvenuto dopo quell’intervento. Per OpenAI è quindi anche un test sulla tenuta delle protezioni introdotte dopo Hugging Face.
La società ha inoltre creato il 16 settembre un nuovo sistema per registrare, investigare e pubblicare episodi di “misalignment”, termine con cui indica comportamenti nei quali il modello devia dalle intenzioni del progettista, dalle istruzioni ricevute o dai limiti previsti.
Parlare genericamente di AI che “si ribella” rischia di confondere il fenomeno. Gli episodi documentati non dimostrano che i modelli abbiano sviluppato intenzioni proprie paragonabili a quelle umane. Mostrano sistemi capaci di perseguire un obiettivo con sufficiente autonomia da individuare metodi che i progettisti non avevano previsto o autorizzato.
Perché il problema cresce con i nuovi modelli
La questione pesa di più perché aumentano anche le capacità operative dei modelli.
Il 1° settembre OpenAI ha classificato GPT-6 Astra al livello “Critical” per le capacità di cybersecurity previste dal proprio Preparedness Framework. Secondo la società, con strumenti e accessi adeguati il modello può trovare vulnerabilità sconosciute e sviluppare metodi per sfruttarle anche contro sistemi ben protetti, senza che una persona debba guidare ogni singolo passaggio.
In un sistema di questo tipo, sicurezza informatica e allineamento diventano problemi collegati. Un modello molto competente nella ricerca di vulnerabilità produce benefici per chi difende reti e infrastrutture, ma una deviazione dalle istruzioni può avere conseguenze maggiori rispetto a quella di un agente meno capace.
I controllori esterni entrano nei laboratori
Gli incidenti hanno accelerato anche il confronto su chi debba verificare le dichiarazioni delle aziende.
Il 12 settembre il ceo di Anthropic Dario Amodei ha chiesto di rallentare intenzionalmente la crescita delle capacità dei modelli e ha proposto di dare a valutatori indipendenti un accesso paragonabile a quello dei dipendenti alle procedure e ai sistemi interni dell’azienda. Anthropic ha successivamente indicato l’intenzione di integrare valutatori esterni nei propri processi.
METR, una delle organizzazioni che conduce valutazioni sui modelli di frontiera, indica fra le condizioni utili per controlli efficaci l’accesso ai modelli, alla documentazione tecnica, a risultati precedenti e, quando necessario e compatibile con la sicurezza, a informazioni come attivazioni, logit e catene di ragionamento. Le sue linee guida citano inoltre almeno venti giorni lavorativi di accesso prima del rilascio come riferimento per alcune valutazioni.
OpenAI sostiene a sua volta requisiti nazionali obbligatori per la sicurezza dei sistemi di frontiera e standard che stabiliscano anche quando lo sviluppo debba essere rallentato o fermato.
Dal “kill switch” della California alla Casa Bianca
Il tema è entrato direttamente nell’agenda politica americana.
Il 18 settembre il governatore della California Gavin Newsom ha firmato un ordine esecutivo che incarica un gruppo di esperti di studiare nuove misure per i modelli di frontiera. Fra le proposte ci sono valutatori indipendenti presenti stabilmente nelle aziende e un sistema di arresto di emergenza, il cosiddetto “kill switch”, la cui efficacia dovrebbe essere verificata periodicamente da soggetti esterni.
L’espressione “kill switch” rende semplice un problema che tecnicamente non lo è. Fermare un servizio controllato centralmente da un’azienda è diverso dal garantire lo spegnimento di agenti distribuiti, processi che operano su infrastrutture diverse o eventuali copie dei modelli. La proposta californiana prevede infatti che la fattibilità e l’efficacia di questi meccanismi siano oggetto di verifica, non considera sufficiente l’esistenza di un semplice pulsante di emergenza.
L’amministrazione Trump mantiene una posizione differente sulla velocità dello sviluppo. Il presidente ha indicato la competizione con la Cina come una ragione per non rallentare la ricerca americana e il 28 settembre ha ribadito di non essere favorevole a una frenata generale.
Nella notte tra il 27 e il 28 settembre ha incontrato a cena alla Casa Bianca proprio Amodei, che nelle settimane precedenti aveva sostenuto pubblicamente la necessità di rallentare la crescita delle capacità dei modelli.
Il confronto si sposta così dalla possibilità astratta che un’AI diventi incontrollabile a problemi già misurabili: quali azioni può eseguire un agente, quali reti può raggiungere, quali autorizzazioni possiede, quanto rapidamente viene fermato quando supera i limiti e quanta visibilità hanno soggetti indipendenti sulle procedure adottate dalle aziende.
La pausa decisa da OpenAI fornisce una risposta temporanea a uno di questi problemi. La questione strutturale è progettare sistemi nei quali l’aumento delle capacità non allarghi automaticamente anche lo spazio delle azioni che un agente può compiere senza autorizzazione.
Partecipa alla community