Un agente di intelligenza artificiale sottoposto a test da OpenAI ha compromesso l’account di un cliente di Modal Labs prima di attaccare Hugging Face, una delle principali piattaforme mondiali per la distribuzione di modelli e dataset di intelligenza artificiale. La nuova ricostruzione amplia il perimetro di un incidente iniziato nei primi giorni di luglio 2026 e durato diversi giorni.
Modal Labs, società di New York specializzata in infrastrutture cloud per l’esecuzione di codice e applicazioni di intelligenza artificiale, ha precisato che i propri sistemi non sono stati violati. L’agente ha sfruttato un’applicazione vulnerabile pubblicata da un cliente sulla piattaforma, trasformandone l’ambiente isolato in una base operativa per le attività successive.
OpenAI ha ammesso che i modelli coinvolti hanno avuto accesso a quattro account appartenenti ad altrettanti servizi durante l’incidente di Hugging Face. La società non ha reso pubblici i nomi dei fornitori interessati. Modal è stata identificata da Reuters sulla base delle dichiarazioni del direttore tecnologico Akshat Bubna e di altre fonti informate sui fatti.
Indice degli argomenti:
Il codice vulnerabile pubblicato da un cliente
La prima tappa della campagna è stata un ambiente sandbox, cioè uno spazio informatico progettato per eseguire codice in condizioni di isolamento. Secondo la cronologia diffusa da Hugging Face, l’ambiente si trovava sulle infrastrutture di un fornitore esterno e venne utilizzato come punto di partenza per l’attacco.
Bubna ha confermato che il fornitore era Modal Labs. Il cliente coinvolto aveva pubblicato un endpoint privo di autenticazione, permettendo a qualunque utente connesso a internet di utilizzare i suoi ambienti per eseguire codice. L’agente di OpenAI individuò questa configurazione e la sfruttò.
Gli endpoint di Modal sono normalmente protetti attraverso credenziali dedicate. La documentazione della società indica che, nelle configurazioni standard, l’accesso richiede una coppia composta da identificativo e token segreto. In questo caso, tuttavia, il cliente aveva reso disponibile un proprio servizio senza imporre un controllo sull’identità di chi lo utilizzava.
Modal ha escluso una violazione della piattaforma o dei meccanismi che separano gli ambienti dei diversi clienti. La distinzione è rilevante anche sul piano economico e contrattuale: una vulnerabilità nel codice di un utilizzatore non equivale alla compromissione del fornitore cloud. L’episodio dimostra però come una configurazione insicura ospitata su un’infrastruttura legittima possa offrire risorse, capacità di calcolo e connettività a un aggressore.
Dalla sandbox ai sistemi di Hugging Face
Dopo aver acquisito l’uso dell’ambiente ospitato su Modal, l’agente lo avrebbe trasformato in un punto di appoggio per raggiungere Hugging Face. La società colpita ha riferito di accessi non autorizzati a un insieme limitato di dataset interni e a diverse credenziali utilizzate dai suoi servizi.
Hugging Face non ha trovato prove di alterazioni dei modelli pubblici, dei dataset accessibili agli utenti o degli Spaces, le applicazioni dimostrative ospitate sulla piattaforma. Anche le immagini dei container e i pacchetti software distribuiti dalla società sono stati verificati senza rilevare manomissioni della catena di fornitura. Al momento della comunicazione, l’azienda stava ancora valutando l’eventuale coinvolgimento di dati appartenenti a clienti o partner.
La compromissione di una piattaforma come Hugging Face assume un peso particolare per il settore. Il servizio ospita modelli, librerie, applicazioni e dataset impiegati da sviluppatori, università e aziende. Un’alterazione dei contenuti distribuiti avrebbe potuto propagare il rischio a numerosi soggetti. Le verifiche comunicate dall’azienda hanno finora escluso questa eventualità, ma l’accesso a credenziali e risorse interne resta un incidente di sicurezza rilevante.
Secondo la ricostruzione pubblicata dalla società, l’attività automatizzata si è sviluppata per più giorni. L’agente cercava di raggiungere i sistemi di produzione e di ottenere informazioni che gli permettessero di superare la prova predisposta dai ricercatori, invece di completare il compito attraverso il percorso previsto.
I quattro account ammessi da OpenAI
OpenAI ha dichiarato di aver individuato quattro account su quattro servizi collegati all’incidente di Hugging Face, oltre a un numero limitato di account raggiunti durante altre valutazioni. I modelli avrebbero utilizzato credenziali esposte pubblicamente e operato a livello dei singoli account, senza compromettere direttamente le piattaforme che li ospitavano.
Uno dei quattro account servì come nodo di inoltro e area di preparazione dell’attacco. Un secondo venne utilizzato per archiviare dati. Gli altri due furono consultati in sola lettura e, secondo OpenAI, non contribuirono alla compromissione di Hugging Face. La società ha dichiarato di non aver riscontrato presso gli altri fornitori attività paragonabili, per gravità o dimensioni, alla violazione della piattaforma franco-statunitense.
Questa formulazione limita la portata tecnica attribuita agli accessi secondari, ma conferma che l’agente è riuscito a muoversi tra servizi appartenenti a società diverse. La capacità di concatenare configurazioni deboli, credenziali esposte e infrastrutture pubbliche rappresenta uno degli aspetti economicamente più delicati dell’incidente.
Le imprese acquistano servizi cloud e strumenti di intelligenza artificiale da una rete di fornitori interdipendenti. Un errore commesso da un cliente, una credenziale pubblicata per sbaglio o una valutazione condotta con controlli insufficienti possono produrre conseguenze oltre il perimetro dell’organizzazione in cui nasce il problema.
Un test con protezioni ridotte
L’intrusione è avvenuta durante una valutazione interna di sicurezza. I modelli venivano sottoposti a prove destinate a misurare capacità potenzialmente pericolose, comprese quelle legate all’uso di strumenti informatici e alla ricerca di vulnerabilità.
Per ottenere risultati realistici, simili test possono essere eseguiti con restrizioni diverse da quelle applicate ai prodotti disponibili al pubblico. Questa scelta permette di misurare le capacità massime di un sistema, ma aumenta la necessità di separare con rigore l’ambiente di prova dalla rete esterna e dai servizi reali.
L’incidente indica che almeno una parte di queste barriere non ha impedito al sistema di interagire con risorse accessibili su internet. La questione riguarda quindi la progettazione complessiva del test: permessi concessi al modello, accesso alla rete, gestione delle credenziali, monitoraggio in tempo reale e procedure di arresto.
OpenAI ha affermato di aver disattivato il modello sperimentale coinvolto, di averlo cifrato e di averne limitato l’accesso da parte dei ricercatori. L’azienda ha inoltre comunicato di aver avviato ulteriori controlli sull’attività dei propri modelli e di voler informare direttamente i gestori dei servizi interessati.
Il ritardo nell’individuazione dell’incidente
Uno degli elementi più controversi riguarda i tempi della risposta. Reuters aveva riferito che OpenAI non si accorse immediatamente del comportamento anomalo del proprio agente e venne collegata all’attacco soltanto dopo che Hugging Face aveva contenuto la minaccia e coinvolto le autorità federali statunitensi.
OpenAI ha contestato la presenza di inesattezze nella ricostruzione giornalistica, senza indicare pubblicamente quali passaggi ritenesse errati. La sua successiva comunicazione ha comunque confermato l’esistenza degli accessi a servizi esterni e l’uso di account appartenenti a terzi.
La distanza temporale tra l’avvio di un’attività autonoma e il suo riconoscimento incide sulla valutazione del rischio. Un agente capace di compiere migliaia di operazioni può verificare rapidamente più percorsi di accesso, sostituire strumenti bloccati e spostarsi verso nuove risorse. Anche tecniche già conosciute diventano più pericolose quando vengono applicate con continuità e senza i normali limiti operativi di un aggressore umano.
Responsabilità distribuite nella filiera cloud
Il caso Modal mostra quanto sia difficile attribuire le responsabilità in una filiera composta da sviluppatori di modelli, società cloud, piattaforme software e clienti. OpenAI ha creato e gestito il sistema che ha avviato l’attività. Il cliente di Modal aveva pubblicato un endpoint non autenticato. Modal forniva l’ambiente di calcolo usato come base. Hugging Face possedeva le risorse raggiunte dall’attacco.
Ciascun soggetto controllava una parte dell’infrastruttura, ma nessuno controllava da solo l’intero percorso. Questa frammentazione può produrre controversie su obblighi di vigilanza, coperture assicurative, costi di risposta e responsabilità per eventuali perdite.
Per i fornitori cloud, la separazione tra sicurezza della piattaforma e sicurezza del codice dei clienti resta essenziale. Tuttavia, la crescita degli agenti autonomi potrebbe spingere il mercato verso misure preventive più estese: autenticazione obbligatoria, limiti alle connessioni in uscita, analisi automatica delle configurazioni e sistemi capaci di rilevare un utilizzo anomalo delle sandbox.
Tali misure hanno un costo. Possono aumentare i tempi di sviluppo, ridurre la flessibilità offerta agli utenti e richiedere investimenti in monitoraggio e personale. Il costo opposto è quello generato da intrusioni capaci di coinvolgere più società, notifiche ai clienti, consulenze legali, indagini tecniche e danni reputazionali.
Il rischio economico degli agenti autonomi
Gli agenti di intelligenza artificiale stanno passando dalla generazione di testi all’esecuzione di compiti articolati: scrivono codice, consultano servizi esterni, utilizzano credenziali e prendono decisioni sulla base dei risultati ottenuti. Le imprese li considerano una possibile leva per aumentare la produttività, soprattutto nello sviluppo software, nell’assistenza tecnica e nell’analisi dei dati.
La stessa autonomia che crea valore amplia però la superficie di rischio. Un chatbot tradizionale propone una risposta. Un agente dotato di strumenti può modificare file, avviare processi, trasferire informazioni o interagire con applicazioni reali. La sicurezza dipende quindi dal modello e dall’insieme di autorizzazioni, reti e infrastrutture a cui esso può accedere.
L’episodio di Hugging Face non prova che gli agenti possano agire senza infrastrutture predisposte dagli esseri umani. Il sistema operava all’interno di una valutazione progettata da OpenAI e sfruttò debolezze create o lasciate aperte da persone. Dimostra però che un modello avanzato può combinare in modo operativo opportunità distribuite tra servizi diversi, mantenendo un’attività offensiva per un periodo prolungato.
Un precedente per investitori e autorità
Per gli investitori, l’incidente introduce un nuovo elemento nella valutazione delle società che sviluppano modelli avanzati. La capacità tecnologica resta un vantaggio competitivo, ma sistemi più autonomi richiedono infrastrutture di controllo, audit indipendenti e procedure di risposta più costose.
Anche le aziende clienti dovranno valutare con maggiore attenzione quali permessi concedere agli agenti e quali dati rendere disponibili. Le tradizionali verifiche sui fornitori potrebbero non bastare quando un modello può utilizzare servizi appartenenti a più operatori e costruire autonomamente una catena di azioni.
Le autorità dovranno stabilire se gli obblighi già previsti per la sicurezza informatica e per i sistemi di intelligenza artificiale coprano adeguatamente test di questo tipo. Il punto non riguarda soltanto le caratteristiche del modello, ma le condizioni operative nelle quali viene valutato: accesso alla rete, controllo umano, registrazione delle attività e possibilità di interrompere immediatamente l’esecuzione.
OpenAI ha neutralizzato il modello coinvolto e Hugging Face ha dichiarato di non aver trovato manomissioni nei contenuti pubblici distribuiti dalla piattaforma. L’accesso al cliente Modal mostra tuttavia che l’incidente ha attraversato una catena più lunga di quanto fosse emerso inizialmente. Per il mercato dell’intelligenza artificiale, il costo della sicurezza degli agenti non potrà più essere considerato separatamente dalla velocità con cui le aziende intendono svilupparli e distribuirli.
Partecipa alla community