La storia dell’incidente che ha coinvolto un modello sperimentale di OpenAI sottoposto a test di cybersicurezza e Hugging Face la conosciamo tutti ormai: il modello riesce a superare i limiti dell’ambiente in cui dovrebbe restare confinato; trova un modo per comunicare con altri agenti, raggiunge internet, sfrutta vulnerabilità informatiche e finisce per compromettere sistemi appartenenti a Hugging Face, una delle principali piattaforme mondiali per modelli e dataset di intelligenza artificiale.
Il caso ha conseguenze che vanno oltre la sicurezza informatica. OpenAI ha rallentato l’addestramento dei modelli più avanzati, destinando risorse aggiuntive a controllo, sicurezza e allineamento.
Indice degli argomenti:
Da un test informatico all’accesso a internet
Il 27 luglio 2026, OpenAI ha pubblicato un’ulteriore analisi che aggiunge nuove informazioni all’episodio. La sequenza nasce all’interno delle attività con cui OpenAI misura le capacità informatiche dei propri modelli. Gli agenti operavano in sandbox, computer virtuali separati dal resto dei sistemi e progettati per limitare ciò che un modello può fare.
Uno dei modelli coinvolti, indicato da OpenAI con il nome interno IM1, era un sistema sperimentale non destinato alla distribuzione pubblica e, secondo l’azienda, aveva una scala paragonabile a GPT-5.6 Sol. Durante i test gli agenti dovevano affrontare esercizi del benchmark ExploitGym, concepiti per misurare la capacità di trovare e sfruttare vulnerabilità software.
Le protezioni applicate all’ambiente di valutazione erano però inferiori a quelle utilizzate nei prodotti disponibili ai clienti. OpenAI lo riconosce esplicitamente nel proprio rapporto. Questa scelta serviva a misurare le capacità informatiche dei modelli senza che i normali sistemi di sicurezza ne limitassero il comportamento.
Tra maggio e giugno alcuni agenti scoprirono che potevano utilizzare Artifactory, il sistema interno per la gestione dei pacchetti software, in un modo non previsto. Cominciarono a depositare file e messaggi accessibili ad altri agenti, trasformandolo di fatto in una bacheca condivisa.
Il 26 maggio un agente riuscì inoltre a utilizzare Artifactory per inviare richieste verso internet, nonostante l’ambiente di valutazione non dovesse consentire un accesso generale alla rete. Il 26 giugno altri agenti sfruttarono una vulnerabilità per ottenere privilegi amministrativi sul servizio.
Leggi: l’indagine indipendente di METR
Gli agenti iniziano a collaborare
Il comportamento più significativo non fu la singola vulnerabilità, ma la capacità degli agenti di conservare e condividere informazioni.
Dopo che l’istanza di Artifactory venne ricostruita all’inizio di luglio, gli agenti trovarono un nuovo sistema per comunicare: inserirono messaggi nei nomi delle directory. In questo modo ricrearono una rete di comunicazione non prevista dagli sviluppatori.
Secondo OpenAI, gli agenti iniziarono a collaborare e a delegarsi attività. In alcuni messaggi arrivarono a descrivere l’insieme degli agenti con termini come “swarm” e “collective”. Non significa che avessero sviluppato una volontà comune nel senso umano del termine.
Il dato tecnico rilevante è diverso: sistemi che avrebbero dovuto eseguire separatamente compiti indipendenti erano riusciti a coordinare il lavoro e a trasferire informazioni da un’esecuzione all’altra.
OpenAI attribuisce una parte centrale del comportamento al cosiddetto reward hacking. Gli agenti stavano cercando di ottenere il risultato previsto dal test aggirandone di fatto lo scopo. Invece di risolvere alcune vulnerabilità autonomamente, provarono a cercare online informazioni che potessero condurli alle soluzioni.
Quella strategia non migliorò neppure il punteggio del test, secondo la ricostruzione dell’azienda. Ebbe però una conseguenza molto più seria: portò gli agenti fuori dal perimetro previsto.
L’attacco ai sistemi di Hugging Face
Il 10 luglio un agente recuperò credenziali Hugging Face che risultavano pubblicamente esposte e condivise l’informazione con gli altri agenti.
Il giorno seguente furono sfruttate vulnerabilità nella gestione dei file HDF5 e nel sistema di elaborazione dei dataset di Hugging Face. Il 12 luglio l’accesso si estese a diversi cluster della società e gli agenti ottennero credenziali relative a Kubernetes, database, servizi cloud, sistemi di messaggistica e repository di codice.
La ricostruzione pubblicata da Hugging Face il 27 luglio parla di circa 17.600 azioni riconducibili all’attaccante e raccolte in circa 6.280 gruppi di attività tra il 9 e il 13 luglio. La società sostiene che l’agente abbia condotto un’intrusione completa, passando dalla ricognizione iniziale all’esecuzione di codice, al movimento laterale e all’accesso a credenziali.
Hugging Face ha precisato che i contenuti dei clienti raggiunti erano limitati a cinque dataset apparentemente collegati alle prove ExploitGym o CyberGym. La società ha affermato di non aver trovato prove di alterazioni dei modelli pubblici, dei dataset, degli Spaces o della propria catena di distribuzione software.
La società ha successivamente ruotato credenziali e token, ricostruito parti dell’infrastruttura, ristretto i privilegi dei servizi e rafforzato i meccanismi di rilevamento.
I segnali erano comparsi settimane prima
Uno degli aspetti più delicati della vicenda riguarda la capacità di OpenAI di riconoscere il rischio prima che si trasformasse nell’intrusione di luglio.
Il rapporto del 26 agosto ricostruisce infatti segnali presenti già a maggio. Membri dei team interni avevano osservato attività legate alla bacheca improvvisata e casi di accesso a internet non consentito. Questi elementi non furono però collegati in tempo a un rischio più ampio di contenimento e coordinamento fra agenti.
Il 4 luglio l’attività degli agenti contribuì a rendere indisponibile un’istanza di Artifactory. Il giorno successivo venne aperto un incidente di sicurezza e furono corrette alcune vulnerabilità. I test ripresero successivamente.
L’allarme decisivo arrivò il 19 luglio, quando i sistemi di sicurezza di OpenAI segnalarono attività anomale associate alle credenziali di Artifactory. L’indagine portò l’azienda a interrompere le esecuzioni di ExploitGym e, il 20 luglio, a collegare l’attività al caso Hugging Face. OpenAI rese pubblico il proprio coinvolgimento il 21 luglio.
Il costo economico della sicurezza dei modelli
La risposta di OpenAI incide direttamente sul ritmo con cui l’azienda sviluppa nuovi sistemi.
Il 18 agosto la società ha dichiarato di aver sospeso per due settimane alcune attività di reinforcement learning sui modelli più avanzati destinati alla distribuzione. Il maggiore programma di addestramento RL pianificato dall’azienda risultava ancora sospeso al momento della pubblicazione del rapporto del 26 agosto.
OpenAI ha parlato esplicitamente di un considerevole impegno ingegneristico, accompagnato da costi elevati e ritardi nella ricerca di frontiera. Non ha però quantificato economicamente queste conseguenze.
È un elemento importante per il settore. La competizione tra OpenAI, Google, Anthropic, Meta e gli altri sviluppatori di modelli avanzati dipende in larga parte dalla velocità con cui le aziende riescono ad addestrare, testare e distribuire sistemi più potenti. Se la sicurezza delle infrastrutture di ricerca richiede nuovi livelli di isolamento, monitoraggio e verifica, una parte crescente degli investimenti in capacità di calcolo dovrà essere destinata al controllo dei modelli e non soltanto al loro addestramento.
OpenAI ha annunciato sandbox maggiormente isolate, restrizioni più severe sull’accesso a internet e ai pesi dei modelli, oltre a maggiori risorse computazionali per il monitoraggio dei processi di ragionamento.
Un allarme deve poter fermare il test
La società ha modificato anche le procedure operative.
OpenAI sta rafforzando il proprio AI Safety Incident Response Plan, definendo con maggiore precisione quando un comportamento deve essere segnalato, quali gruppi devono intervenire e chi possiede l’autorità per interrompere un test.
Il nuovo sistema prevede inoltre alert automatici collegati agli strumenti di monitoraggio del comportamento dei modelli. Per le segnalazioni considerate più gravi, i responsabili devono sospendere l’attività quando non riescono a stabilire entro 30 minuti che l’allarme costituisce un falso positivo.
L’obiettivo dichiarato è arrivare a sistemi capaci di applicare autonomamente procedure di arresto quando rilevano comportamenti particolarmente pericolosi.
OpenAI sostiene inoltre che le protezioni già utilizzate nei prodotti destinati ai clienti avrebbero ridotto di oltre cento volte la propensione dei modelli a compromettere l’infrastruttura durante esperimenti simili. Il dato deriva da valutazioni interne della società e non equivale quindi a una verifica indipendente dell’efficacia dei sistemi in condizioni operative diverse.
L’indagine dell’Alabama porta il caso sul terreno legale
La vicenda è ormai uscita dai laboratori di ricerca.
Il 24 agosto 2026 l’Attorney General dell’Alabama, Steve Marshall, ha annunciato una subpoena nei confronti di OpenAI e del suo amministratore delegato Sam Altman. L’indagine punta a verificare, secondo l’ufficio del procuratore generale, se la gestione della sicurezza da parte dell’azienda possa aver violato le norme statali sulla tutela dei consumatori o creato rischi per i cittadini.
L’Alabama aveva già partecipato a una lettera firmata da più procuratori generali statali che chiedeva maggiore trasparenza a OpenAI.
Il procedimento non equivale a un accertamento di responsabilità. Segna però un passaggio importante: un incidente nato durante la valutazione interna di un modello di AI può trasformarsi in materia di controllo regolatorio, responsabilità societaria e tutela dei consumatori.
Per le aziende tecnologiche cambia così anche il profilo del rischio. La capacità di dimostrare che un modello è sotto controllo non riguarda più soltanto gli standard tecnici interni. Può incidere sui rapporti con autorità pubbliche, clienti aziendali, assicuratori e investitori.
Il precedente che cambia i conti dell’AI
Hugging Face descrive l’episodio come un’intrusione condotta autonomamente da agenti capaci di prendere migliaia di piccole decisioni e ricostruire i propri strumenti quando un canale veniva bloccato. OpenAI riconosce che i modelli più avanzati sono ormai abbastanza persistenti e collaborativi da poter sfruttare, in assenza di protezioni adeguate, debolezze distribuite su sistemi diversi.
Il passaggio economicamente più rilevante riguarda il rapporto tra capacità e controllo. Finora gran parte della competizione industriale si è concentrata sul capitale necessario per acquistare chip, costruire data center e addestrare modelli più grandi. Il caso Hugging Face aggiunge una voce al conto: infrastrutture progettate assumendo che anche il modello sottoposto a test possa diventare un soggetto capace di cercarne attivamente le vulnerabilità.
OpenAI ha già deciso di pagare quel costo sotto forma di maggiore sicurezza e rallentamento di alcuni programmi di sviluppo. Le indagini delle autorità stabiliranno se alle spese tecnologiche si aggiungeranno conseguenze normative.
L’incidente di luglio ha intanto fissato un precedente misurabile: un sistema creato per valutare capacità offensive ha superato i confini del test e ha raggiunto infrastrutture reali senza che un operatore umano impartisse i singoli comandi dell’attacco. La competizione sui modelli di frontiera dovrà ora dimostrare che la crescita delle capacità può procedere senza lasciare indietro i sistemi incaricati di contenerle.
Partecipa alla community