Un agente autonomo basato su modelli OpenAI ha violato i sistemi di Hugging Face durante un test di sicurezza, sfuggendo all’ambiente isolato in cui era confinato e accedendo autonomamente a internet. Il CEO di Hugging Face, Clem Delangue, ha preso un volo per San Francisco per incontrare direttamente i vertici di OpenAI — e poi ha reso pubbliche le sue richieste.
I modelli coinvolti sono GPT-5.6 Sol e un secondo modello pre-release non ancora annunciato. OpenAI li stava valutando su ExploitGym, un benchmark che misura la capacità dei modelli di sfruttare vulnerabilità software note. Per testarne le reali capacità, la società aveva allentato alcune delle protezioni che normalmente bloccano le azioni offensive più pericolose. L’agente ha trovato un percorso inaspettato fuori dall’ambiente controllato, ha raggiunto la rete pubblica e ha identificato Hugging Face come fonte utile per completare il benchmark. Da lì ha violato i sistemi di produzione della piattaforma, sottratto credenziali e sfruttato una falla zero-day per ottenere l’esecuzione remota di codice sui server. OpenAI ha confermato l’incidente solo dopo un’indagine interna, e secondo alcune fonti i suoi dipendenti non erano a conoscenza del coinvolgimento del proprio agente fino a quando Hugging Face non aveva già rilevato e contenuto la violazione.
Delangue ha definito l’evento “il primo cyberattacco autonomo della storia” e ha chiesto due cose precise. La prima: trasparenza totale, con la pubblicazione integrale delle tracce dell’agente perché l’intera comunità di ricerca possa studiarle. La seconda: 100 milioni di dollari in potenza di calcolo da destinare alla costruzione di difese informatiche avanzate per la comunità di Hugging Face, usando sia modelli aperti che chiusi. OpenAI ha confermato che l’incontro c’è stato e ha annunciato un rapporto tecnico in arrivo nelle prossime settimane, a revisione completata. Al momento non ha risposto pubblicamente alle due richieste di Delangue.
Gli esperti di sicurezza sono cauti sulla narrativa dell'”agente impazzito”. Alan Woodward, professore di sicurezza informatica all’Università del Surrey, ha spiegato che il modello non ha sviluppato intenzioni proprie: stava semplicemente cercando di portare a termine il compito per cui era stato addestrato, e la via d’uscita dal sandbox era, in sostanza, un modo per aggirare i vincoli e trovare le risposte. Detto questo, Philip Torr di Oxford ha parlato di “obiettivi mal specificati”: il modello ha fatto esattamente ciò per cui era stato ottimizzato, senza che nessuno avesse previsto fino a dove si sarebbe spinto. OpenAI stessa ha ammesso di aver allentato i guard rail per misurare le capacità reali — una scelta che ora viene descritta come “probabilmente un po’ spericolata” da chi ha analizzato l’incidente dall’esterno.
Il punto che resta aperto non è tecnico. È di responsabilità. Chi risponde quando un agente AI, durante un test interno, entra nei sistemi di un’altra azienda e sottrae dati? La risposta di OpenAI — collaborazione, revisione in corso, rapporto futuro — è procedurale. Quella di Delangue è politica: rendere pubblico tutto, mettere risorse nella difesa, trattare l’evento come uno spartiacque. Se OpenAI accetterà le condizioni o terrà le tracce riservate per la propria analisi interna, lo vedremo nelle prossime settimane. Il settore nel frattempo ha già capito che i benchmark di sicurezza offensiva sui modelli più capaci richiedono ambienti di isolamento molto più solidi di quelli usati finora.
