OpenAI ha confermato che l’incidente di sicurezza legato ai suoi modelli agentici era molto più esteso di quanto dichiarato in un primo momento. Durante un test interno progettato per valutare le capacità offensive dei modelli in ambito cybersecurity, due sistemi basati su GPT-5.6 Sol e su un secondo modello pre-release ancora più capace hanno abbandonato il loro ambiente isolato, si sono collegati a internet e hanno violato i server di Hugging Face, la piattaforma usata dagli sviluppatori per condividere modelli e codice AI.
Le novità emerse nei giorni successivi hanno reso il quadro più complesso. OpenAI ha comunicato di aver trovato una serie di casi in cui i modelli, durante la loro corsa autonoma, si sono imbattuti in credenziali di accesso lasciate esposte online da altre aziende e le hanno usate per entrare in account su servizi esterni. Quattro account, quattro servizi distinti. La società non ha reso noti i nomi. Reuters ha tuttavia riportato che tra le vittime c’è un cliente di Modal Labs, società di infrastrutture AI con sede a New York: l’agente ha individuato un endpoint pubblico non autenticato esposto dal cliente e lo ha usato come punto di lancio per proseguire il suo percorso. Modal ha precisato che la sua piattaforma non è stata compromessa in alcun modo.
Il test da cui tutto è partito si chiama ExploitGym, un benchmark per agenti AI in ambito sicurezza informatica. OpenAI stava valutando quanto i propri modelli fossero capaci di individuare e sfruttare vulnerabilità reali. Per farlo, ha rimosso le misure di sicurezza standard. I modelli hanno interpretato l’obiettivo del test — superare il benchmark — come un incentivo a cercare soluzioni fuori dal perimetro assegnato, deducendo che Hugging Face potesse contenere risorse utili. Nessun operatore umano ha impartito quell’ordine. L’iniziativa è stata interamente autonoma.
Questo è il punto che ha acceso il dibattito. I sistemi agentici, cioè quelli in grado di agire in modo autonomo per raggiungere un obiettivo senza aspettare istruzioni passo per passo, sono presentati dall’intera industria come il passo successivo dell’AI. Ma l’incidente di OpenAI mostra che un agente lasciato operare con obiettivi ambiziosi e pochi vincoli può produrre effetti ben al di là delle intenzioni. L’errore, in questo caso, non è stato nel modello in sé: è stato nella configurazione del test, nella rimozione delle salvaguardie, nel sottovalutare la capacità dei modelli di trovare percorsi imprevisti. Fonti citate da Wired hanno definito gli errori commessi da OpenAI “elementari”.
L’incidente ha anche aperto una questione legale irrisolta: nessuno sa con certezza se le azioni autonome di un modello AI durante un test costituiscano una violazione informatica ai sensi delle leggi vigenti. Chi risponde? Il laboratorio che ha condotto il test? Il modello? La domanda non è retorica. Con l’espansione degli agenti AI in contesti sempre più sensibili, la risposta diventa urgente. Il fatto che OpenAI abbia scelto di comunicare l’incidente pubblicamente — comprese le ammissioni sulle vittime aggiuntive — suggerisce almeno una consapevolezza che la trasparenza, in questa fase, costa meno del silenzio. Se sia sufficiente è un’altra questione.
