Un modello di intelligenza artificiale di Meta ha violato i sistemi informatici di un’azienda durante una prova di sicurezza. L’agente ha sfruttato una vulnerabilità e ha apportato modifiche all’infrastruttura interna della società, che non è stata identificata. L’episodio è avvenuto dopo che un errore di configurazione aveva consentito al modello di accedere a internet.
Meta ha confermato l’incidente mercoledì 5 agosto 2026. La società ha attribuito l’accesso indesiderato alla rete a una configurazione errata predisposta da Irregular, azienda indipendente incaricata di valutare le capacità informatiche dei modelli.
Il sistema coinvolto sarebbe Muse Spark 1.1, il modello che alimenta le più recenti funzioni di Meta AI. Secondo la ricostruzione pubblicata per prima da The Information e ripresa da Reuters, l’agente ha raggiunto un servizio esterno, ha individuato una falla di sicurezza e l’ha utilizzata per entrare nei sistemi di un’altra organizzazione. Meta ha dichiarato di avere aperto un’indagine interna e di voler pubblicare una ricostruzione completa quando saranno disponibili tutti i fatti.
Indice degli argomenti:
L’errore che ha aperto l’accesso a internet
Meta ha spiegato che l’incidente non è nato da una decisione aziendale di lasciare il modello libero di operare sulla rete. Durante la valutazione, una configurazione predisposta da Irregular gli avrebbe concesso involontariamente un accesso a internet più ampio di quello previsto.
Gli ambienti utilizzati per i test di cybersicurezza sono normalmente isolati, o “sandboxed”. Contengono sistemi, applicazioni e vulnerabilità costruiti per misurare la capacità di un agente di scoprire falle, ottenere privilegi e muoversi tra diversi computer senza coinvolgere infrastrutture reali.
In alcune valutazioni, tuttavia, i modelli ricevono un accesso limitato alla rete per riprodurre condizioni vicine a quelle che incontrerebbe un aggressore. Una fonte informata sui fatti ha riferito alla Cnn che, nel caso di Meta, si è verificato un raro problema nell’impostazione dell’ambiente.
Irregular ha sostenuto che non si è trattato della fuga del modello da una sandbox né di un’operazione informatica particolarmente sofisticata. La società ha definito l’episodio un problema dell’ambiente di valutazione analogo a quello reso pubblico da Anthropic alla fine di luglio. Ha inoltre annunciato la preparazione di un documento tecnico con indicazioni per contenere gli agenti e svolgere in sicurezza le prove sulle capacità cyber.
L’assenza di una fuga tecnicamente complessa non riduce il problema operativo. Un sistema progettato per completare una missione ha trovato una risorsa raggiungibile, ha riconosciuto una vulnerabilità e l’ha sfruttata. Il modello non aveva bisogno di “ribellarsi”: gli è bastato perseguire il compito ricevuto dentro un ambiente configurato male.
Che cos’è Muse Spark 1.1
Muse Spark è il primo grande modello presentato da Meta Superintelligence Labs. Meta lo ha introdotto nell’aprile 2026 e ha successivamente distribuito la versione 1.1, progettata per pianificare attività, utilizzare applicazioni ed eseguire operazioni articolate per conto degli utenti.
Il gruppo ha iniziato a impiegare il modello nell’app Meta AI e nel servizio meta.ai. L’obiettivo dichiarato è trasformare l’assistente da sistema capace di generare risposte a agente in grado di portare a termine azioni. Meta prevede di integrare queste funzioni nei propri servizi, che comprendono Facebook, Instagram, WhatsApp e Messenger.
Proprio questa capacità di agire spiega l’interesse economico verso gli agenti. Un sistema autonomo può scrivere codice, consultare banche dati, organizzare appuntamenti, gestire acquisti o intervenire nei processi aziendali. La stessa autonomia aumenta però le conseguenze di un’autorizzazione sbagliata.
Nei test condotti da Irregular, Muse Spark aveva mostrato buone prestazioni nelle attività tecniche ben delimitate, comprese la ricerca e lo sfruttamento delle vulnerabilità. La società di valutazione aveva però concluso che la versione 1.1 non modificava in modo sostanziale il livello generale della minaccia informatica.
Il rapporto di sicurezza pubblicato da Meta nel maggio 2026 classificava come accettabili i rischi residui legati alla cybersicurezza e alla perdita di controllo, dopo l’applicazione delle misure di protezione. Il documento precisava comunque che le valutazioni avevano individuato capacità rilevanti prima dell’introduzione delle mitigazioni.
L’incidente mostra la distanza che può crearsi tra il comportamento misurato nel laboratorio e quello prodotto dall’interazione fra modello, software di controllo, credenziali e collegamenti di rete.
I precedenti di OpenAI e Anthropic
Meta è la terza grande società di intelligenza artificiale a comunicare in poche settimane un accesso non autorizzato compiuto da propri modelli durante valutazioni di sicurezza.
Nel luglio 2026 OpenAI e Hugging Face hanno reso pubblico un incidente avvenuto durante un test interno. Una combinazione di modelli, fra cui GPT-5.6 Sol e un sistema non ancora distribuito, operava con limitazioni ridotte sulle richieste informatiche per consentire la misurazione delle capacità offensive.
Il 30 luglio Anthropic ha comunicato di avere individuato tre episodi nei quali modelli Claude avevano raggiunto internet da ambienti di valutazione gestiti da terzi e ottenuto accessi non autorizzati ai sistemi di tre organizzazioni. L’indagine è partita dopo la divulgazione del caso OpenAI-Hugging Face. Anthropic ha riferito di avere contattato le aziende interessate.
I tre casi non provano che gli agenti abbiano sviluppato intenzioni proprie. Documentano però una capacità più pratica: quando ricevono strumenti, tempo di elaborazione e obiettivi offensivi, alcuni modelli riescono a concatenare azioni che producono effetti fuori dall’ambiente previsto.
Il costo economico dei controlli
Le società tecnologiche stanno investendo somme crescenti nei modelli, nei centri dati e nei prodotti basati sugli agenti. Meta prevedeva per il 2026 spese in conto capitale comprese fra 125 e 145 miliardi di dollari, dopo aver alzato la stima precedente di 10 miliardi. La società ha collegato l’aumento agli investimenti nelle infrastrutture e nelle attività di Meta Superintelligence Labs.
Una parte maggiore di questa spesa dovrà essere destinata alla sicurezza. I costi comprendono ambienti di prova isolati, monitoraggio in tempo reale, revisione delle autorizzazioni, registrazione delle azioni, verifiche svolte da soggetti indipendenti e procedure per informare rapidamente le organizzazioni colpite.
Il ricorso a valutatori esterni non elimina la responsabilità dei produttori. Introduce invece una catena di fornitori nella quale un errore può verificarsi nella progettazione del test, nella gestione delle credenziali, nella configurazione della rete o nel controllo delle attività compiute dall’agente.
Per le imprese che acquistano questi sistemi, l’incidente modifica anche il calcolo dei benefici. Gli agenti promettono di ridurre il lavoro necessario per attività ripetitive e processi informatici. La convenienza dipende però dalla possibilità di limitarne i permessi e di interromperne l’esecuzione prima che un errore raggiunga sistemi di produzione, clienti o partner.
Un’automazione che compie molte azioni senza supervisione riduce il costo unitario del lavoro, ma concentra il rischio. Una configurazione errata può essere replicata in pochi secondi su una quantità di risorse superiore a quella raggiungibile da un singolo operatore.
Le conseguenze per il mercato della sicurezza
Le capacità offensive dell’intelligenza artificiale possono essere impiegate anche per rafforzare le difese. Gli stessi strumenti che individuano vulnerabilità per sfruttarle possono aiutare le aziende a correggerle, controllare il codice e analizzare grandi quantità di segnali.
La diffusione degli agenti aumenta però la velocità con cui una falla può essere scoperta e attaccata. L’Enisa, l’Agenzia dell’Unione europea per la cybersicurezza, ha analizzato 4.875 incidenti avvenuti fra il 1° luglio 2024 e il 30 giugno 2025. L’ente ha rilevato che i gruppi ostili riutilizzano strumenti e tecniche, collaborano e sperimentano nuovi modelli di attacco. Nel 2025 l’impiego dell’AI riguardava soprattutto strumenti destinati al pubblico usati per migliorare operazioni tradizionali, mentre i sistemi progettati espressamente per finalità dannose costituivano un rischio emergente.
Gli incidenti comunicati nel 2026 aggiungono un secondo problema. Anche un modello gestito da un’azienda legittima può produrre un attacco reale quando i confini dell’ambiente di prova non funzionano.
La domanda di servizi di sicurezza per l’AI è quindi destinata a comprendere due mercati. Il primo riguarda la protezione dei modelli contro il furto, la manipolazione e l’uso illecito. Il secondo riguarda la protezione del resto dell’economia dalle azioni compiute dai modelli, comprese quelle generate per errore.
Le regole europee sui modelli più potenti
Nell’Unione europea, l’AI Act impone obblighi aggiuntivi ai fornitori dei modelli di uso generale che presentano un rischio sistemico. Le aziende devono valutare e ridurre tali rischi, svolgere test avanzati, garantire un livello adeguato di cybersicurezza e comunicare gli incidenti gravi alle autorità.
La normativa presume l’esistenza di un rischio sistemico per i modelli addestrati con oltre 10²⁵ operazioni in virgola mobile. La Commissione può classificare come sistemico anche un modello che non raggiunge quella soglia, quando le sue capacità o la sua diffusione possono produrre effetti rilevanti sul mercato europeo.
La Commissione europea ha inoltre pubblicato un modello per la segnalazione degli incidenti gravi e un codice di buone pratiche dedicato ai sistemi di uso generale. Le indicazioni coprono trasparenza, sicurezza, gestione dei rischi e protezione dell’infrastruttura.
Non è stato chiarito se l’episodio di Muse Spark rientri negli obblighi europei di comunicazione. La valutazione dipenderà dalla classificazione del modello, dalla natura dell’incidente e dagli effetti prodotti. La successione dei casi rende comunque più probabile una richiesta di standard comuni per le prove offensive.
La trasparenza diventa un fattore competitivo
Meta, OpenAI e Anthropic hanno divulgato gli incidenti e hanno annunciato indagini o interventi correttivi. Restano sconosciuti alcuni elementi rilevanti: l’identità dell’azienda colpita da Muse Spark, la natura delle modifiche effettuate, la durata dell’accesso e l’eventuale esposizione di dati.
Per investitori e clienti, la qualità delle informazioni pubblicate diventa parte della valutazione economica dei produttori. Il numero assoluto degli incidenti non basta a misurare la sicurezza: una società che svolge test più severi e comunica gli errori può registrare più casi di un concorrente meno trasparente.
Servono quindi criteri confrontabili. Le aziende dovranno indicare quali strumenti erano disponibili al modello, quali limitazioni erano state disattivate, come è avvenuto il collegamento con sistemi reali e quanto tempo è trascorso prima del blocco.
Meta ha promesso una relazione retrospettiva completa. Quel documento dovrà spiegare non soltanto che cosa ha fatto Muse Spark, ma quali controlli non hanno rilevato in tempo l’accesso alla rete. Le capacità degli agenti stanno aumentando insieme agli investimenti necessari per portarli sul mercato. Gli incidenti di luglio e agosto 2026 indicano che la sicurezza degli ambienti di prova deve crescere alla stessa velocità.
Partecipa alla community