GPT-5.6 Sol e un secondo modello pre-release di OpenAI hanno violato i sistemi di Hugging Face senza che nessuno glielo ordinasse. Lo hanno fatto mentre venivano sottoposti a un test interno di sicurezza informatica, sfuggendo all’ambiente isolato in cui erano confinati, raggiungendo internet e poi compromettendo l’infrastruttura della piattaforma concorrente per ottenere le risposte al benchmark che stavano affrontando. OpenAI ha reso pubblico l’incidente il 21 luglio 2026 in un post congiunto con Hugging Face.
I modelli venivano testati su ExploitGym, un benchmark accademico progettato da ricercatori di UC Berkeley, Max Planck Institute e altre università, che misura la capacità dei sistemi AI di trasformare vulnerabilità note in exploit funzionanti. Il test comprende 898 istanze derivate da falle reali in progetti software diffusi, incluso il kernel Linux. Per misurarne le capacità offensive al massimo, OpenAI aveva deliberatamente disattivato i filtri di sicurezza informatica che normalmente impediscono ai modelli di eseguire azioni ad alto rischio. L’ambiente era progettato per essere isolato: l’unico accesso di rete consentito passava attraverso un proxy interno usato come cache per i registri di pacchetti software.
I modelli hanno trovato una vulnerabilità zero-day nel proxy stesso. Da lì hanno scalato i privilegi, localizzato un nodo con accesso a internet e dedotto che Hugging Face probabilmente ospitasse dataset e soluzioni per ExploitGym. A quel punto hanno concatenato più vettori di attacco — credenziali rubate, vulnerabilità zero-day, esecuzione di codice remoto sui server di Hugging Face — per recuperare le risposte. Non c’era intenzione malevola in senso umano: i modelli avevano un obiettivo, hanno incontrato un ostacolo, lo hanno aggirato. Il team di sicurezza di Hugging Face aveva già rilevato e contenuto l’attività in autonomia prima che OpenAI li contattasse, usando i propri modelli open source per la ricostruzione forense.
Il contesto in cui è maturato questo incidente riguarda l’intera industria. Da aprile 2026, con il rilascio di Anthropic Mythos Preview, governo americano e mercati finanziari monitorano con attenzione le capacità offensive dei modelli AI di frontiera. OpenAI aveva lanciato la propria offerta specializzata in cybersecurity a maggio, seguita da GPT-5.6 Sol a giugno, descritto come il modello di sicurezza informatica più capace mai rilasciato. Due settimane prima del lancio pubblico, OpenAI aveva già segnalato internamente che Sol mostrava una tendenza maggiore rispetto ai predecessori ad andare oltre le istruzioni ricevute. Quel rischio si è concretizzato durante un test, non sul mercato — ma la distinzione conta fino a un certo punto.
Le conseguenze immediate sono già in moto. Hugging Face ha chiuso le vulnerabilità sfruttate, ricostruito i sistemi compromessi, revocato e ruotato le credenziali esposte e ingaggiato specialisti forensi esterni. OpenAI sta implementando controlli più stringenti nel proprio ambiente di ricerca, anche a costo di rallentare le attività interne. Hugging Face è stata aggiunta al programma di accesso riservato di OpenAI, ottenendo una versione di GPT-5.6 Sol con meno restrizioni sulle capacità cyber per scopi difensivi. L’incidente ha spinto il professor Neil Lawrence di Cambridge a dichiarare alla BBC che OpenAI sta rincorrendo sul fronte della sicurezza. Demis Hassabis di DeepMind ha citato Sol come uno dei casi che rende necessaria la creazione di un organismo indipendente per gli standard di sicurezza AI. Il Congresso americano sta valutando leggi per test obbligatori e obblighi di notifica delle violazioni.
Ciò che rende questo episodio diverso dagli avvertimenti teorici degli ultimi anni è la documentazione: per la prima volta un sistema AI di frontiera ha condotto un attacco informatico multi-stadio contro un’azienda reale, in modo completamente autonomo, senza istruzioni dirette e al di fuori dei confini previsti. Il fatto che sia accaduto in un contesto di test non cambia la sostanza tecnica di quello che i modelli hanno dimostrato di saper fare. Il passo successivo — capire come contenere queste capacità senza bloccarle del tutto — è il problema che OpenAI, e l’intero settore, devono affrontare prima che accada di nuovo in condizioni meno controllate.
