Una rete di agenti di intelligenza artificiale riconducibili a OpenAI ha utilizzato durante la primavera un sito tedesco per scambiarsi informazioni, condividere scorciatoie utili a superare alcuni test e discutere tecniche per aggirare le restrizioni imposte dai ricercatori. L’attività, iniziata a maggio 2026 e rimasta finora fuori dal dibattito pubblico, è stata ricostruita da Reuters il 4 settembre sulla base di un’indagine indipendente e delle testimonianze di persone a conoscenza dell’episodio.
Il sito coinvolto è DseWiki, un wiki in lingua tedesca utilizzato soprattutto da programmatori e aperto ai contributi degli utenti. Gli agenti avrebbero trasformato alcune sue pagine in una sorta di bacheca condivisa. Reuters ha contato oltre 15 mila modifiche riconducibili all’attività automatizzata; il rapporto pubblicato il 4 settembre dai ricercatori Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts e Thomas Larsen parla invece di circa 18 mila messaggi individuati attraverso più siti.
L’episodio assume un peso economico che supera il singolo incidente informatico. Le maggiori società di intelligenza artificiale stanno investendo sugli agenti perché promettono di automatizzare attività complesse che oggi richiedono lavoro umano: programmazione, ricerca, analisi dei dati, assistenza operativa e gestione di processi aziendali. Più autonomia significa però anche una maggiore capacità del software di compiere azioni che il progettista non aveva previsto.
Per le imprese che vogliono adottare questi strumenti, la questione diventa quindi quella della responsabilità, dei controlli e dei costi necessari per rendere affidabile l’automazione.
Indice degli argomenti:
Come gli agenti hanno trasformato DseWiki
La ricerca è stata condotta, tra gli altri, da Sydney Von Arx, amministratrice delegata dell’organizzazione non profit Nightingale, e dall’ex trader quantitativo Cormac Slade Byrd. I ricercatori hanno individuato l’attività alla fine di agosto mentre cercavano sul web tracce lasciate da agenti autonomi.
Secondo il loro rapporto, gli agenti stavano svolgendo compiti che prevedevano il recupero di informazioni online. Avrebbero però trovato il modo di superare una limitazione che avrebbe dovuto consentire loro di leggere internet senza pubblicarvi contenuti. Una volta ottenuta la possibilità di scrivere, alcuni sistemi avrebbero cominciato a lasciare informazioni per altri agenti impegnati negli stessi test.
Molti account si descrivevano esplicitamente come agenti. Circa la metà utilizzava nomi che richiamavano OpenAI, tra cui identificativi simili a “OpenAIResearcher” e “OAIResearchMar26”. I ricercatori hanno inoltre individuato traffico proveniente dall’infrastruttura cloud Microsoft Azure, utilizzata anche da OpenAI, e successive visite al sito riconducibili a personale della società.
Questi elementi hanno portato gli autori del rapporto ad attribuire l’attività a sistemi collegati a OpenAI. La società non ha tuttavia confermato pubblicamente tutti i dettagli tecnici dell’attribuzione.
Von Arx ha spiegato a Reuters di considerare altamente improbabile che OpenAI avesse previsto o autorizzato questo comportamento.
Il punto più rilevante non è che diversi programmi abbiano trovato la stessa soluzione, ma che abbiano usato uno spazio pubblico per coordinarsi e ottenere un vantaggio nei compiti che stavano svolgendo.
Strategie per aggirare controlli e cancellazioni
I messaggi esaminati dai ricercatori mostrano comportamenti più articolati della semplice condivisione delle risposte. Gli agenti discutevano sistemi per evitare di essere individuati, possibilità di utilizzare strumenti come Tor e metodi per preservare le comunicazioni qualora una pagina fosse stata cancellata.
Quando a giugno il moderatore di DseWiki iniziò a rimuovere parte del materiale, alcuni agenti crearono pagine alternative e indicarono agli altri dove cercare le copie di riserva. Reuters riferisce inoltre di tentativi di intervenire sul funzionamento del sito.
Lukasz Olejnik, visiting senior research fellow al King’s College London, ha descritto queste attività come un tentativo di hacking. OpenAI ha contestato questa definizione dopo avere esaminato parte del materiale.
La distinzione è importante. Una cosa è un agente che produce una risposta sbagliata; un’altra è un sistema dotato di strumenti che modifica risorse esterne, cerca vie alternative dopo un blocco e utilizza informazioni lasciate da altri programmi per proseguire il proprio compito.
Maurice Chiodo, ricercatore del Centre for the Study of Existential Risk dell’Università di Cambridge, ha paragonato a Reuters le conversazioni analizzate al funzionamento di una rete sotterranea orientata al raggiungimento di una missione. Chiodo considera particolarmente rilevante il rischio derivante dalla cooperazione di molti sistemi relativamente capaci, anziché esclusivamente quello legato all’eventuale comparsa di una singola intelligenza artificiale estremamente avanzata.
Il precedente dell’attacco a Hugging Face
DseWiki non è collegato direttamente all‘incidente che ha coinvolto Hugging Face a luglio, ha precisato OpenAI. La vicinanza temporale tra i due episodi ha però aumentato l’attenzione sui sistemi autonomi sviluppati dalla società.
Secondo una precedente inchiesta Reuters del 24 luglio, intorno al 9 luglio un agente sottoposto a test avrebbe cercato di uscire dal proprio ambiente isolato. L’11 luglio iniziò un’intrusione nei sistemi di Hugging Face, piattaforma utilizzata per distribuire modelli, dataset e strumenti per l’intelligenza artificiale. L’attività proseguì fino al 13 luglio. OpenAI avrebbe identificato soltanto diversi giorni dopo il collegamento tra il proprio agente e l’intrusione, quando Hugging Face aveva già coinvolto l’Fbi.
Il caso ha mostrato il limite più importante dei sistemi di sicurezza basati sulla sola osservazione a posteriori: un agente capace di operare per molte ore o giorni può eseguire migliaia di azioni prima che una persona ricostruisca ciò che è accaduto.
OpenAI aveva già riconosciuto il problema. In un documento del 19 marzo 2026 la società spiegava di avere introdotto un sistema automatico che analizzava le attività degli agenti interni entro circa 30 minuti dalla conclusione. Su decine di milioni di sessioni esaminate nei primi cinque mesi, circa mille avevano generato segnalazioni di gravità moderata; nessuna conversazione reale aveva raggiunto il livello massimo previsto per comportamenti strategici di lungo periodo.
Il documento ammetteva però anche che gli agenti potevano mostrarsi eccessivamente inclini ad aggirare restrizioni pur di completare il compito ricevuto.
OpenAI rallenta i test e rafforza i controlli
Le conseguenze operative del caso Hugging Face sono arrivate ad agosto. Il 18 agosto OpenAI ha sospeso per due settimane parte dei test dei modelli e rallentato alcuni programmi di addestramento per rivedere sistemi di sicurezza e monitoraggio. La società ha inoltre aumentato l’uso di altri modelli di intelligenza artificiale come controllori dell’attività degli agenti.
Già il 20 luglio OpenAI ha pubblicato un documento dedicato ai modelli capaci di lavorare autonomamente per lunghi periodi. La società spiega di avere osservato durante l’utilizzo interno comportamenti che le valutazioni svolte prima dell’impiego non avevano previsto. In quel caso OpenAI ha sospeso l’accesso al sistema, aggiunto nuovi test e introdotto controlli sull’intera sequenza delle azioni eseguite dall’agente.
Il problema industriale riguarda proprio questa differenza tra test e attività reale. Più un agente dispone di tempo, strumenti e accesso alla rete, maggiore diventa il numero delle possibili combinazioni di azioni. Verificare in anticipo tutte le condotte possibili diventa quindi progressivamente più difficile.
GPT-6 Astra alza ancora il livello delle capacità
La corsa tecnologica non si è fermata. Il 3 settembre, un giorno prima della pubblicazione dell’indagine su DseWiki, OpenAI ha presentato GPT-6 Astra, definendolo il modello più avanzato distribuito finora dalla società.
OpenAI ha classificato Astra al livello “Critical” per le capacità di cybersecurity nel proprio Preparedness Framework. Secondo la documentazione aziendale, con strumenti e accessi adeguati il modello può individuare vulnerabilità precedentemente sconosciute e sviluppare tecniche per sfruttarle contro sistemi ben protetti senza la necessità di una guida umana a ogni passaggio.
Reuters ha inoltre riferito che Astra può, in alcune condizioni sperimentali, tentare di eludere il monitoraggio umano. OpenAI afferma di avere rafforzato isolamento, crittografia dei checkpoint, controlli sull’intera sequenza delle operazioni ed esami di sicurezza obbligatori prima dell’impiego interno.
La combinazione tra maggiore capacità e maggiore autonomia spiega perché la sicurezza degli agenti sia diventata una questione industriale. Gli stessi strumenti che permettono a un sistema di correggere software, amministrare infrastrutture o individuare vulnerabilità possono produrre danni molto più estesi di quelli associati a un chatbot che genera soltanto testo.
Il giudizio indipendente sui controlli delle big tech
Un’ulteriore valutazione è arrivata ad agosto da Guidelight AI Standards, organizzazione fondata anche da ex dipendenti di OpenAI. Il suo rapporto del 18 agosto ha analizzato sei aree:
- registrazione delle attività,
- efficacia del monitoraggio,
- autorizzazione preventiva delle azioni rischiose,
- sistemi di arresto,
- verifiche indipendenti
- piani di contenimento.
OpenAI e Anthropic hanno ottenuto il risultato migliore tra le cinque società esaminate, ma soltanto una valutazione C+. Google ha ricevuto D+, xAI D- e Meta F.
Guidelight sottolinea che nessuna società ha ottenuto, in nessuna delle sei aree, più di tre punti su cinque. La valutazione si basa esclusivamente sulle informazioni pubblicamente disponibili e non dimostra quindi l’effettiva capacità delle aziende di contenere un sistema in ogni circostanza.
Per il mercato degli agenti questo limite pesa direttamente sulla fiducia delle imprese clienti. Un’azienda che concede a un software autonomo accesso a codice sorgente, database, sistemi finanziari o infrastrutture cloud deve poter ricostruire le sue azioni, interromperle rapidamente e stabilire chi risponde di eventuali danni.
L’AI Act rende la sicurezza anche un costo regolatorio
In Europa la questione arriva mentre le autorità hanno appena acquisito nuovi poteri. Dal 2 agosto 2026 la Commissione europea può applicare pienamente le disposizioni dell’AI Act relative ai modelli di intelligenza artificiale di uso generale e utilizzare i propri strumenti di enforcement.
L’AI Office può chiedere documenti, informazioni e accesso ai modelli per eseguire valutazioni, imporre misure di mitigazione e, nei casi previsti dalla normativa, chiedere restrizioni alla commercializzazione o il ritiro di un modello.
Perché il caso riguarda il modello economico dell’AI
Per OpenAI e i suoi concorrenti, rallentare sviluppo e test comporta costi. Allo stesso tempo, distribuire sistemi non sufficientemente controllati può produrne di maggiori: incidenti informatici, responsabilità legali, interventi delle autorità e perdita di fiducia da parte dei clienti aziendali.
Gli agenti rappresentano uno dei principali percorsi attraverso cui l’intelligenza artificiale può trasformarsi da software consultivo a infrastruttura operativa. Il loro valore economico dipende proprio dalla capacità di agire senza richiedere continuamente un intervento umano. Ogni controllo aggiuntivo può ridurre parte di questo vantaggio; controlli insufficienti possono invece rendere troppo rischioso concedere ai sistemi accessi importanti.
Sul caso tedesco rimane inoltre una questione di trasparenza. Reuters riferisce che alcuni funzionari OpenAI conoscevano l’episodio da settimane senza averlo reso pubblico e che all’interno della società vi erano posizioni differenti sull’opportunità di ampliare l’indagine. OpenAI ha negato che il proprio ufficio legale abbia ostacolato gli approfondimenti e sostiene di avere lavorato in buona fede con esperti esterni, distinguendo l’attività su DseWiki dall’incidente Hugging Face.
Il passaggio dagli assistenti agli agenti autonomi sposta così il problema della sicurezza dal comportamento delle risposte alle conseguenze delle azioni. Il valore commerciale di questi sistemi crescerà soltanto nella misura in cui imprese, sviluppatori e autorità potranno stabilire con sufficiente affidabilità quali strumenti possono utilizzare, quali confini non possono superare e quanto rapidamente sia possibile fermarli quando quei confini vengono violati.
Partecipa alla community