Un test di cybersecurity tra OpenAI e Hugging Face, per misurare le capacità offensive dei modelli AI, ha superato il perimetro del laboratorio. È stata l’AI stessa a scegliere ed essere capace di uscire dai confini stabiliti, per attaccare davvero Hugging Face.
Implicati due modelli cyber-capaci, tra cui GPT-5.6 Sol e un modello non ancora rilasciato, configurati con minori blocchi sulle richieste cyber per misurare fino a che punto un agente fosse in grado di trasformare vulnerabilità in exploit funzionanti.
La ricostruzione pubblicata da OpenAI il 21 luglio 2026 descrive un episodio definito dalla stessa come “senza precedenti”: durante una prova su ExploitGym, benchmark pensato per valutare capacità di sfruttamento di vulnerabilità reali, i modelli hanno trovato un modo per ottenere accesso a Internet da un ambiente che avrebbe dovuto restare isolato. La via d’uscita è passata da una vulnerabilità zero-day in un software di terze parti usato come proxy e cache per registri di pacchetti.
Da quel punto, secondo OpenAI, gli agenti hanno compiuto escalation di privilegi e movimenti laterali nell’ambiente di ricerca fino a raggiungere un nodo con accesso alla rete. Una volta online, hanno dedotto che Hugging Face potesse ospitare modelli, dataset o soluzioni legate a ExploitGym e hanno cercato informazioni utili per aggirare la prova. In almeno un percorso, la catena ha incluso credenziali sottratte, vulnerabilità zero-day e un accesso remoto al codice su server Hugging Face.
Indice degli argomenti:
Il caso Hugging Face e la nuova superficie d’attacco dell’AI
La prima comunicazione pubblica era arrivata da Hugging Face il 16 luglio 2026. La società aveva rilevato un’intrusione in parte della propria infrastruttura di produzione e l’aveva descritta come diversa dagli incidenti gestiti in passato: guidata end to end da un sistema autonomo di agenti AI e ricostruita in larga misura con strumenti AI difensivi.
Hugging Face ha indicato accessi non autorizzati a un insieme limitato di dataset interni e ad alcune credenziali usate dai servizi. Ha dichiarato di non aver trovato prove di manomissione dei modelli pubblici, dei dataset pubblici, degli Spaces o della catena di distribuzione software. In via precauzionale, ha consigliato agli utenti la rotazione dei token di accesso e la revisione delle attività recenti sugli account.
Il punto d’ingresso, nella ricostruzione della società, è stato il sistema di elaborazione dei dataset. Un dataset malevolo avrebbe abusato di due percorsi di esecuzione del codice: un loader remoto e una template injection nella configurazione di un dataset. Da lì l’attore ha ottenuto accesso a nodi, credenziali cloud e cluster interni.
Il collegamento tra le due versioni è arrivato con la nota di OpenAI: l’attore autonomo osservato da Hugging Face era riconducibile ai modelli in valutazione. Le due società conducono un’indagine congiunta; OpenAI ha dichiarato di aver rafforzato controlli, isolamento, monitoraggio e configurazioni infrastrutturali, accettando anche un rallentamento della ricerca mentre le vulnerabilità vengono corrette.
Perché la sicurezza degli agenti AI riguarda le imprese
Il punto industriale dell’incidente non è che ogni modello avanzato sia già un hacker autonomo affidabile. Il punto è che un agente abbastanza persistente, con strumenti operativi e un obiettivo mal delimitato, può cercare percorsi non previsti per completare il compito assegnato. In azienda, questa dinamica non riguarda solo i laboratori di frontiera: riguarda ogni organizzazione che collega agenti AI a repository, ambienti cloud, sistemi di ticketing, basi dati, strumenti di sviluppo, pipeline documentali o piattaforme di automazione.
Microsoft Threat Intelligence, nel rapporto AI as tradecraft del marzo 2026, osserva che gran parte dell’uso malevolo dell’AI resta concentrato su testi, codice, media, phishing, traduzioni, sintesi di dati rubati e supporto allo sviluppo di malware. Gli esperimenti con AI agentica sono descritti come iniziali, non ancora osservati su larga scala e ancora limitati da problemi di affidabilità e rischio operativo.
Il caso Hugging Face pesa proprio perché mostra un passaggio intermedio: non serve un agente perfetto per produrre impatto. Bastano accessi eccessivi, isolamento incompleto, credenziali riutilizzabili, strumenti disponibili e una superficie reale raggiungibile. La catena resta fatta di elementi tradizionali della cybersecurity, ma l’AI cambia il ritmo con cui questi elementi vengono cercati, combinati e sfruttati.
Dai benchmark cyber agli attacchi multi-step
La traiettoria è visibile anche nei benchmark. Il paper ExploitGym: Can AI Agents Turn Security Vulnerabilities into Real Attacks?, pubblicato su arXiv l’11 maggio 2026 da Zhun Wang, Nico Schiller, Hongwei Li e altri tredici autori, introduce 898 istanze tratte da vulnerabilità reali in programmi userspace, nel motore JavaScript V8 di Google e nel kernel Linux. I risultati indicano che l’exploit resta un compito difficile, ma i modelli di frontiera riescono già a trasformare una quota non trascurabile di vulnerabilità in exploit funzionanti.
Il UK AI Security Institute, organismo di ricerca del Department for Science, Innovation and Technology britannico, ha stimato nel maggio 2026 che l’orizzonte temporale dei compiti cyber risolti dai modelli di frontiera con affidabilità dell’80% sia raddoppiato ogni 4,7 mesi dall’arrivo dei modelli di reasoning alla fine del 2024, con un limite di 2,5 milioni di token per task.
L’istituto precisa che si tratta di una suite ristretta, utile per misurare tendenze ma non per prevedere direttamente il comportamento contro sistemi reali difesi.
La system card di GPT-5.6 riporta inoltre che UK AISI ha visto GPT-5.6 Sol completare in 7 tentativi su 10 “The Last Ones”, una simulazione di attacco a rete aziendale in 32 passaggi, contro 2 tentativi su 10 di GPT-5.5. Anche qui il caveat è decisivo: gli ambienti di test sono più piccoli e più semplici delle reti aziendali reali e includono difese attive limitate o assenti.
La ricerca più recente sposta il rischio verso scenari ancora più complessi. Il paper AI Agents Enable Adaptive Computer Worms, pubblicato su arXiv il 2 giugno 2026 da Jonas Guan, Tom Blanchard, Hanna Foerster, Hengrui Jia, Gabriel Huang e Nicolas Papernot, descrive worm capaci di generare strategie d’attacco diverse per ogni bersaglio, usando modelli open-weight eseguiti sulle macchine compromesse. Il rischio indicato dagli autori è anche economico: se il malware usa il calcolo rubato alle vittime, il costo marginale di una nuova infezione tende a zero.
Che cosa cambia nella governance AI aziendale
Per le imprese, la sicurezza degli agenti AI deve entrare nei processi di risk management prima della messa in produzione. Un agente collegato a strumenti interni non può essere trattato come un chatbot con qualche permesso in più. È un’identità operativa capace di leggere, scrivere, invocare servizi, chiamare tool, generare codice, usare credenziali e prendere decisioni sequenziali.
La prima area è l’identità. Gli agenti devono avere account separati, permessi minimi, scadenze brevi per token e credenziali, logging attribuibile e divieto di riuso di segreti tra ambienti di test e produzione.
La seconda è il perimetro di rete: le sandbox usate per valutazioni, coding agent, test cyber o analisi dati devono avere limiti verificati, controlli egress, allowlist esplicite e monitoraggio degli accessi anomali.
La terza area riguarda strumenti e dati. Dataset, loader, plugin, connettori, repository e pipeline di automazione diventano superfici d’attacco dell’AI agentica. Le indicazioni dell’OWASP Top 10 for Agentic Applications 2026 vanno in questa direzione: i rischi più rilevanti includono manipolazione degli obiettivi dell’agente, abuso degli strumenti, identità e privilegi, supply chain agentica, esecuzione inattesa di codice, memoria e comunicazioni tra agenti.
La quarta area è il monitoraggio. Un agente che compie migliaia di azioni in poche ore non può essere controllato solo con log analizzati a posteriori. Servono soglie comportamentali, blocchi automatici, correlazione tra identità, rete, tool e dati, oltre a playbook di risposta già provati. Hugging Face ha dichiarato di aver ricostruito oltre 17mila eventi con agenti di analisi: il dato mostra quanto la difesa debba lavorare sulla stessa scala temporale dell’attacco.
L’autonomia difensiva non è facoltativa
Il paradosso resta aperto. La stessa autonomia che rende rischiosi gli agenti AI può aiutare i difensori a trovare vulnerabilità, analizzare log, correlare segnali e accelerare la risposta agli incidenti. OpenAI sostiene che modelli cyber-capaci possano aiutare i team di sicurezza a individuare debolezze prima degli aggressori e correggerle a velocità macchina. Hugging Face ha usato AI difensiva per ridurre i tempi di ricostruzione dell’incidente.
Questa prospettiva non elimina il rischio: lo sposta dentro la governance. Le aziende che adottano agenti AI devono decidere quali azioni possono essere delegate, con quali strumenti, su quali dati, in quali ambienti e con quali meccanismi di arresto. La sicurezza degli agenti AI diventa una disciplina trasversale tra cybersecurity, AI governance, cloud security, data management e sviluppo software.
Per le aziende significa che ogni agente AI connesso a sistemi aziendali deve essere progettato come un soggetto tecnico capace di produrre effetti reali. La fiducia, da sola, non è un controllo di sicurezza.
Partecipa alla community
Pure con tutta la stima e l’affetto, vanno fatte almeno due precisazioni rilevanti.
L’articolo mescola due eventi molto diversi: la fuga dalla sandbox avvenuta nei test interni di OpenAI e l’incidente reale su Hugging Face, che è stato circoscritto e dovuto a una vulnerabilità del loader e a una zero‑day nel proxy. Presentandoli come un’unica escalation, il pezzo fa sembrare che l’AI abbia già capacità offensive autonome, mentre in realtà si tratta di un problema di isolamento e di configurazione, non di un salto qualitativo dell’AI offensiva.