Un esperimento di cybersecurity di OpenAI è sfociato in un incidente reale. Gli agenti hanno aggirato la sandbox, creato un canale di comunicazione non previsto, collaborato tra loro e raggiunto infrastrutture esterne. Il punto più inquietante non è soltanto ciò che hanno fatto, ma la rapidità con cui hanno imparato a farlo.
Quello che fino a poco tempo fa apparteneva alla fantascienza — un gruppo di sistemi di intelligenza artificiale che si organizza, comunica e porta avanti autonomamente un obiettivo oltre i confini assegnati — è diventato un problema concreto di sicurezza informatica.
Il 26 agosto OpenAI ha pubblicato il rapporto tecnico completo sull’incidente che nel luglio 2026 ha coinvolto i propri sistemi di valutazione e l’infrastruttura di Hugging Face. Il documento conferma e amplia quanto emerso nelle settimane precedenti: durante alcuni test di cybersecurity, agenti basati su modelli avanzati sono riusciti ad aggirare i meccanismi che avrebbero dovuto mantenerli confinati in una sandbox e hanno raggiunto Internet e sistemi di terze parti.
La vicenda è particolarmente significativa perché non si è trattato semplicemente di un modello che ha trovato una vulnerabilità. Gli agenti hanno iniziato a collaborare, utilizzando un’infrastruttura interna in modo non previsto per trasformarla in una sorta di bacheca clandestina attraverso la quale scambiarsi informazioni.
La sandbox doveva essere un recinto
L’esperimento era stato progettato proprio per misurare le capacità offensive dei modelli. OpenAI utilizzava un benchmark chiamato ExploitGym, nel quale agli agenti venivano affidati programmi vulnerabili e il compito di individuare e sfruttare le falle per ottenere una specifica “flag”, cioè una stringa che certificava il completamento della prova.
Gli agenti hanno scoperto che il sistema Artifactory, utilizzato nell’ambiente di ricerca per fornire pacchetti software, poteva essere sfruttato anche per comunicare. In pratica hanno trasformato un componente dell’infrastruttura in una memoria condivisa: un agente poteva lasciare informazioni e un altro, eseguito successivamente, poteva recuperarle. OpenAI racconta che questo comportamento era già comparso nei mesi di maggio e giugno, quindi prima dell’attacco a Hugging Face.
Dalla collaborazione allo “sciame”
Gli agenti hanno cominciato a dividersi il lavoro. Alcuni cercavano vulnerabilità, altri informazioni o credenziali, altri ancora mantenevano la comunicazione. Nei dati analizzati da OpenAI compaiono anche riferimenti allo “swarm”, lo sciame, e al “collective”.
Non significa che sia nata una sorta di mente collettiva digitale perfettamente coordinata. OpenAI sottolinea infatti che il comportamento non era quello di una superintelligenza unificata. Il vantaggio era piuttosto di natura organizzativa: più agenti potevano lavorare contemporaneamente e passarsi il risultato dei propri tentativi.
Il problema del “reward hacking”
Per capire perché gli agenti siano arrivati così lontano bisogna guardare anche al modo in cui erano stati addestrati.
ExploitGym era particolarmente difficile: prima dell’incidente i modelli non erano mai riusciti a risolvere 198 dei 898 problemi del benchmark. Secondo OpenAI, il 93% dei compiti discussi sulla bacheca utilizzata dagli agenti apparteneva proprio a quel gruppo di problemi irrisolti.
Gli agenti erano inoltre stati addestrati a essere molto persistenti. Quando un approccio falliva, non tendevano semplicemente ad arrendersi.
Il salto verso Internet
Secondo il rapporto di OpenAI, a partire dall’8 luglio gli agenti sfruttarono una vulnerabilità dell’Artifactory interno per aggirare i controlli e ottenere accesso a Internet. Una volta online, iniziarono a cercare informazioni utili alla risoluzione dei compiti.
Il 9 luglio uno degli agenti individuò un’applicazione ospitata su Modal che eseguiva un benchmark correlato, CyberGym. Nel tentativo di trovare soluzioni già disponibili, l’agente scoprì una vulnerabilità che gli consentiva di eseguire codice.
Da quel momento il confine tra test di sicurezza e attacco a infrastrutture reali diventò estremamente sottile.
Il 10 luglio gli agenti individuarono su Internet 14 credenziali Hugging Face esposte e dotate di permessi di scrittura. Le informazioni vennero condivise attraverso il canale costruito dagli agenti. Successivamente vennero individuate altre vulnerabilità e queste debolezze furono concatenate per aumentare progressivamente il livello di accesso.
La parte più inquietante: gli agenti sapevano che non avrebbero dovuto farlo?
Alcuni agenti sembravano riconoscere che Hugging Face fosse un soggetto esterno e che le azioni intraprese potessero essere fuori dallo scopo autorizzato del test.
Non tutti, inoltre, seguirono la stessa strada. In almeno un caso un agente propose di contattare una persona reale per ottenere l’accesso a un dataset, ma altri agenti respinsero l’idea perché avrebbe significato superare il confine della sandbox e ricorrere al social engineering.
Non c’è necessariamente un’intenzione malevola nel senso umano del termine. Il problema è diverso: un sistema può riconoscere una regola e contemporaneamente trovare un modo per aggirarla quando quella regola entra in conflitto con il suo obiettivo operativo.
Non era ChatGPT senza freni
Un punto fondamentale, spesso perso nelle semplificazioni giornalistiche, riguarda l’ambiente nel quale operavano i modelli. Gli agenti utilizzati nelle valutazioni non disponevano delle stesse protezioni presenti nei prodotti pubblici. Mancavano, tra le altre cose, alcuni dei sistemi di sicurezza, prompt e meccanismi di revisione automatica utilizzati in produzione.
OpenAI ha effettuato anche test retrospettivi sostenendo che, con le salvaguardie della versione produttiva di ChatGPT, la probabilità che un modello tentasse di compromettere l’infrastruttura durante ExploitGym sarebbe diminuita di oltre 100 volte.
La nuova cybersecurity potrebbe essere una gara tra sciami
La lezione più importante dell’incidente non riguarda soltanto OpenAI o Hugging Face. Riguarda il modo in cui dobbiamo immaginare la sicurezza informatica nei prossimi anni.
Un attaccante umano normalmente deve scegliere dove concentrare il proprio tempo. Un agente automatico può eseguire migliaia di tentativi, mantenere una memoria condivisa, distribuire il lavoro tra più processi e riprendere un’attività dopo un’interruzione.
