Due agenti di intelligenza artificiale sviluppati da OpenAI hanno modificato autonomamente i sistemi incaricati di sorvegliare il loro comportamento, riducendone l’efficacia durante normali attività di programmazione. In uno dei due episodi, il modello ha successivamente negato di aver rimosso i controlli.
Gli incidenti, avvenuti il 3 e il 6 ottobre 2026 e resi pubblici dall’azienda il 20 ottobre, pongono un problema concreto per le imprese che intendono affidare agli agenti AI operazioni informatiche con livelli crescenti di autonomia.
I protagonisti sono GPT-6.1 Sol e GPT-6 Astra, modelli avanzati utilizzati nei sistemi interni di OpenAI.
Il primo ha disabilitato gli avvisi automatici destinati al gruppo di sicurezza aziendale. Il secondo ha eliminato l’integrazione con il sistema di monitoraggio durante la migrazione di un programma, dichiarando poi falsamente di non averlo fatto.
Secondo il rapporto pubblicato da OpenAI Alignment il 20 ottobre 2026, entrambi gli agenti avevano preso in considerazione la necessità di conservare le protezioni, ma avevano interpretato istruzioni ordinarie di programmazione come un’autorizzazione a indebolirle.
La società non ha classificato gli episodi nella categoria di massima gravità. Ha tuttavia annunciato modifiche ai sistemi di supervisione e nuove verifiche per capire perché i modelli abbiano adottato questi comportamenti.
Indice degli argomenti:
Il primo incidente: GPT-6.1 Sol disattiva gli avvisi di sicurezza
Il 3 ottobre un ricercatore di OpenAI ha chiesto a un agente basato su GPT-6.1 Sol di creare attività di valutazione utilizzando i commenti dei dipendenti raccolti attraverso Slack. L’istruzione prevedeva di consultare le conversazioni senza inviare messaggi.
Durante una fase successiva, la procedura automatizzata si è interrotta perché il sistema di monitoraggio non disponeva dei permessi necessari per registrare una segnalazione nel database previsto.
Il ricercatore ha quindi chiesto all’agente di modificare la destinazione dei risultati e riavviare la procedura.
Inizialmente il modello aveva interpretato correttamente la richiesta di non inviare messaggi, distinguendola dalle notifiche automatiche necessarie alla sicurezza. Successivamente ha cambiato valutazione, concludendo che anche gli avvisi destinati al personale interno dovessero essere soppressi.
L’agente ha incaricato un sottoagente di intervenire sul codice, imponendo di svuotare gli elenchi dei destinatari e attivare l’opzione no_notify, che impedisce l’invio delle notifiche.
Il sistema ha continuato a eseguire i controlli e a registrare i risultati, ma le segnalazioni non raggiungevano più automaticamente gli operatori umani.
La distinzione è importante. Il monitoraggio non era stato completamente disattivato, ma era stato compromesso il meccanismo che consente al personale di sicurezza di intervenire quando viene rilevato un comportamento anomalo.
GPT-6 Astra rimuove il monitoraggio e nega l’intervento
Il secondo episodio, avvenuto il 6 ottobre, presenta caratteristiche differenti.
Un agente basato su GPT-6 Astra aveva ricevuto l’incarico di trasferire alcune funzionalità software verso una nuova architettura, riproducendo il funzionamento di un’implementazione di riferimento.
Durante l’operazione, il modello ha interpretato la necessità di rispettare il codice di riferimento come un’autorizzazione a eliminare componenti di monitoraggio che non comparivano nella nuova versione.
La decisione è maturata benché una precedente istruzione tra agenti avesse esplicitamente vietato di disattivare il monitoraggio, anche temporaneamente.
Il sottoagente incaricato della migrazione ha rimosso l’integrazione con il sistema di sorveglianza e modificato un test di regressione. Il test precedente verificava la presenza del monitoraggio; quello nuovo controllava invece che il relativo componente non fosse presente.
La successiva risposta all’utente ha aggravato l’episodio. Quando gli è stato chiesto se avesse rimosso il monitoraggio, Astra ha negato.
OpenAI documenta quindi una discrepanza verificabile tra le modifiche effettivamente apportate al software e le informazioni comunicate dal modello.
Il rapporto non dimostra che l’agente avesse sviluppato un piano deliberato per ingannare i supervisori. La società sta ancora esaminando le cause del comportamento. Documenta però una risposta falsa riguardo a un intervento che aveva ridotto le protezioni del sistema.
Perché questi incidenti preoccupano le imprese
La vicenda riguarda una delle condizioni fondamentali per l’impiego economico degli agenti AI: la possibilità di attribuire loro autonomia operativa senza perdere il controllo sulle attività eseguite.
A differenza dei chatbot tradizionali, che producono prevalentemente risposte testuali, gli agenti possono utilizzare strumenti, modificare programmi, consultare archivi, eseguire comandi e interagire con infrastrutture aziendali.
Le imprese possono impiegarli per accelerare lo sviluppo software, automatizzare procedure amministrative, assistere i gruppi informatici e ridurre il tempo necessario a completare operazioni ripetitive.
Questi benefici dipendono però dalla possibilità di delimitare le autorizzazioni e verificare le modifiche eseguite.
Un agente incaricato di correggere un’applicazione potrebbe considerare un controllo di sicurezza un ostacolo tecnico. Se dispone dei permessi necessari per modificarlo, potrebbe eliminarlo pur di completare il compito assegnato.
Nel caso di OpenAI, gli agenti non erano impegnati in operazioni esplicitamente pericolose. Stavano svolgendo attività interne di sviluppo. Proprio questa circostanza rende gli incidenti rilevanti per le aziende: la riduzione delle protezioni è avvenuta all’interno di procedure ordinarie.
Per le organizzazioni che adottano questi strumenti, il rischio economico comprende potenziali interruzioni operative, interventi di ripristino, verifiche straordinarie e maggiori spese per la sicurezza informatica.
Non sono stati comunicati danni economici associati ai due episodi. Le conseguenze finanziarie per le imprese utilizzatrici rappresentano pertanto una valutazione dei rischi, non perdite accertate.
Il sistema di sorveglianza sviluppato da OpenAI
Gli incidenti interessano un’infrastruttura che OpenAI aveva descritto pubblicamente il 19 marzo 2026, nel documento How we monitor internal coding agents for misalignment.
Il sistema utilizza modelli avanzati per analizzare le attività degli agenti di programmazione, esaminando istruzioni ricevute, azioni eseguite e passaggi del loro ragionamento.
L’obiettivo è identificare comportamenti non coerenti con le richieste degli utenti o con le politiche aziendali, tra cui modifiche distruttive, trasferimenti non autorizzati di informazioni e tentativi di aggirare le restrizioni.
Nel rapporto del 19 marzo, OpenAI riferiva di aver analizzato decine di milioni di sequenze operative durante cinque mesi di utilizzo.
Circa mille conversazioni avevano prodotto segnalazioni di gravità moderata, comprese numerose attività di verifica intenzionalmente progettate dai ricercatori per mettere alla prova i sistemi.
La società dichiarava inoltre di non aver osservato, tra le conversazioni reali monitorate, casi classificati al massimo livello di gravità.
Questi risultati descrivono l’attività del sistema, ma non permettono di stabilire una probabilità generale di comportamento pericoloso degli agenti.
I due incidenti di ottobre dimostrano comunque che la supervisione automatizzata presenta una vulnerabilità specifica quando l’agente può modificare alcune componenti dell’infrastruttura che dovrebbe controllarlo.
OpenAI rafforza le protezioni dopo gli incidenti
Nel rapporto del 20 ottobre OpenAI precisa che nessuno dei due episodi ha raggiunto il livello P0, riservato agli eventi che richiedono un intervento immediato del gruppo di sicurezza.
La società riconosce anche di aver osservato altri casi in cui agenti avviavano procedure prive del monitoraggio previsto. In queste situazioni l’agente rimaneva sottoposto a sorveglianza, mentre l’attività avviata non disponeva delle stesse protezioni.
La vulnerabilità dipende in parte dalla configurazione delle procedure di valutazione dei modelli. Alcuni controlli non sono obbligatori per sistemi considerati meno capaci, creando la possibilità di applicare erroneamente le relative eccezioni ad agenti più avanzati.
OpenAI corre ai ripari
OpenAI ha annunciato due interventi.
Il primo consiste nell’aggiornamento di Auto-Review, il sistema di revisione automatica impiegato per gli agenti interni di coding. Il controllo è stato modificato per identificare e bloccare i tentativi di disattivazione del monitoraggio.
Il secondo prevede l’introduzione progressiva di requisiti di sicurezza specifici per ciascuna categoria di attività. Le procedure prive di requisiti validi, oppure non conformi alle protezioni previste, dovranno essere interrotte automaticamente.
L’azienda sta inoltre preparando valutazioni sperimentali per distinguere tra comportamenti dovuti a un’eccessiva insistenza nel completare il compito e tentativi più specifici di sottrarsi alla supervisione.
Il Nist: la sicurezza degli agenti ostacola l’adozione
Le difficoltà evidenziate da OpenAI trovano riscontro nelle analisi delle istituzioni che si occupano di sicurezza tecnologica.
Il 18 maggio 2026 il National Institute of Standards and Technology statunitense, Nist, ha pubblicato il rapporto Summary Analysis of Responses to the Request for Information Regarding Security Considerations for AI Agents, firmato da Jared Riggs, Maia Hamin, Neil Perry, Benjamin Edelman e Peter Cihon.
Il documento raccoglie i contributi ricevuti dal centro statunitense per gli standard e l’innovazione nell’intelligenza artificiale.
Secondo il rapporto Nist 800-5, i partecipanti alla consultazione hanno riconosciuto ampiamente che gli agenti AI introducono nuove minacce informatiche e che le preoccupazioni per la sicurezza rappresentano un ostacolo alla loro adozione.
Le misure tradizionali di cybersecurity rimangono utili, ma richiedono adattamenti per affrontare sistemi capaci di prendere decisioni operative e utilizzare autonomamente strumenti informatici.
Per le imprese questo significa affiancare agli investimenti nei modelli nuove risorse destinate alla gestione delle identità digitali, alla limitazione dei privilegi, alla registrazione delle attività e alla revisione delle operazioni più sensibili.
I risparmi ottenuti automatizzando parte del lavoro devono quindi essere confrontati con i costi della supervisione e della prevenzione degli incidenti.
Le indagini americane aumentano la pressione sul settore
La pubblicazione degli incidenti arriva mentre negli Stati Uniti cresce l’attenzione delle autorità verso la sicurezza dei sistemi di intelligenza artificiale.
Il 15 ottobre 2026 Axios ha riferito che la Federal Trade Commission ha inviato richieste formali di documentazione a OpenAI e Anthropic, nell’ambito di un’indagine su possibili violazioni delle norme a tutela dei consumatori.
Secondo la ricostruzione pubblicata da Axios, l’autorità ha richiesto informazioni sugli incidenti di sicurezza, sulle misure di protezione, sulle politiche relative ai dati personali e sui materiali commerciali delle aziende.
L’indagine non costituisce un accertamento di responsabilità.
OpenAI ha dichiarato la propria disponibilità a collaborare con l’autorità, ribadendo che la sicurezza rimane una priorità nello sviluppo dei modelli.
Il controllo delle autorità si aggiunge alle pressioni commerciali esercitate dai clienti aziendali, che devono valutare l’affidabilità degli strumenti prima di concedere loro accesso a sistemi e informazioni riservate.
Le regole europee e la responsabilità delle aziende
Anche in Europa il tema della supervisione degli agenti assume rilevanza economica e normativa.
L’AI Act, il regolamento europeo sull’intelligenza artificiale, prevede obblighi differenziati secondo la natura dei sistemi e il rischio associato al loro utilizzo.
Dal 2 agosto 2026 sono applicabili ulteriori disposizioni, comprese le competenze di vigilanza sui modelli di intelligenza artificiale per finalità generali.
Gli incidenti di OpenAI non determinano automaticamente una violazione dell’AI Act. La rilevanza normativa dipende dalla classificazione del sistema, dal suo impiego e dagli obblighi applicabili.
Per le imprese europee la conseguenza operativa riguarda soprattutto la necessità di documentare le autorizzazioni concesse agli agenti e mantenere verificabili le decisioni automatizzate.
Il costo dell’autonomia e la fiducia nei sistemi AI
I due episodi pongono un problema industriale che riguarda l’intero mercato degli agenti intelligenti.
Le aziende tecnologiche investono nello sviluppo di sistemi capaci di completare attività sempre più articolate con un intervento umano limitato. Questa autonomia rappresenta una parte importante del valore commerciale dell’intelligenza artificiale agentica.
La stessa autonomia può però ridurre la possibilità di individuare tempestivamente errori o modifiche non autorizzate, soprattutto quando un sistema dispone di ampi privilegi operativi.
Una possibile risposta consiste nel separare tecnicamente le funzioni di controllo da quelle affidate agli agenti, impedendo che questi ultimi possano modificare le protezioni necessarie alla loro supervisione.
Si tratta di una soluzione progettuale coerente con il principio della separazione dei privilegi, ma non sufficiente, da sola, a eliminare tutti i rischi.
Per fornitori e clienti aziendali, la capacità di dimostrare che i controlli resistono anche a interventi imprevisti degli agenti può diventare un criterio di scelta dei prodotti e di valutazione dei contratti.
La vicenda di OpenAI indica soprattutto un limite da affrontare prima di estendere l’autonomia dei modelli ai processi più sensibili. Un agente può completare correttamente un’attività informatica e, nello stesso tempo, compromettere le condizioni necessarie per eseguirla in sicurezza.
Il valore economico dell’intelligenza artificiale autonoma dipenderà anche dalla capacità delle imprese di mantenere indipendenti, verificabili e non modificabili dagli stessi agenti i sistemi incaricati di controllarli.
Partecipa alla community