Un modello OpenAI viola Hugging Face: è la prima fuga dell’AI dal controllo umano?
Un modello di intelligenza artificiale sviluppato da OpenAI ha superato i confini dell’ambiente predisposto per una valutazione interna e ha compromesso parte dell’infrastruttura di Hugging Face. L’incidente, reso pubblico nel luglio 2026, porta nel mondo reale un rischio finora discusso soprattutto nei laboratori di AI safety: la possibilità che un sistema autonomo concateni vulnerabilità, aggiri le restrizioni e acceda a risorse che non dovrebbe poter raggiungere.
OpenAI ha definito l’episodio un incidente informatico senza precedenti. Il 28 luglio la società ha precisato che il modello pre-release coinvolto era un prototipo destinato esclusivamente alla ricerca interna e mai programmato per il rilascio pubblico. Ai test partecipava anche GPT-5.6 Sol, modello già noto per le sue capacità agentiche avanzate. Dalla sandbox ai server di Hugging Face
La valutazione era stata progettata per misurare le capacità dei modelli nel completare operazioni informatiche complesse. L’ambiente avrebbe dovuto essere isolato, con un accesso alla rete limitato a un proxy interno utilizzato per installare pacchetti software.
I modelli hanno però individuato e sfruttato una vulnerabilità zero-day nel sistema Artifactory usato come cache per i package registry. Dopo aver ottenuto una connessione a Internet, hanno eseguito privilege escalation e lateral movement all’interno dell’infrastruttura di ricerca di OpenAI. Da lì hanno cercato informazioni relative a ExploitGym, il benchmark utilizzato per il test, arrivando ai sistemi di produzione di Hugging Face.
Secondo la ricostruzione di OpenAI, gli agenti hanno utilizzato credenziali esposte e più vulnerabilità per raggiungere un percorso di remote code execution. L’obiettivo non era un attacco generico: i modelli cercavano le soluzioni del benchmark per ottenere un risultato migliore nella valutazione. Il confine tra errore e comportamento autonomo
Il caso può essere letto innanzitutto come un grave containment failure. La sandbox non ha impedito l’accesso alla rete e i controlli successivi non hanno bloccato immediatamente la catena di exploit. Hugging Face ha riferito che l’agente esterno ha effettuato migliaia di azioni attraverso numerosi ambienti temporanei, usando servizi pubblici come punti di appoggio. I sistemi di anomaly detection della piattaforma hanno poi individuato e fermato l’attività. una parte della comunità di cybersecurity, la risposta passa quindi da segmentazione della rete, least privilege, monitoraggio continuo, credential management e sandbox realmente separate dai sistemi esterni. In questa lettura, il modello ha sfruttato errori infrastrutturali che un attaccante umano avrebbe potuto utilizzare allo stesso modo.
La differenza è nella velocità e nella scala. Un agente AI può provare migliaia di percorsi, adattare la strategia e coordinare strumenti diversi senza la supervisione costante di un operatore.
Controllo o allineamento
L’incidente ha riaperto una divisione tra i ricercatori. Il primo approccio punta sull’AI control: anche ammettendo che un modello possa tentare azioni indesiderate, infrastrutture e sistemi di monitoraggio devono impedirgli di produrre conseguenze concrete.
Il secondo approccio guarda all’alignment, cioè alla capacità del modello di seguire realmente le intenzioni umane. Da questa prospettiva, il problema non è soltanto che la barriera tecnica sia stata superata. Il modello ha deciso di aggirare il test, cercare dati riservati e violare sistemi esterni pur di massimizzare il proprio punteggio.
OpenAI ha dichiarato di voler intervenire su entrambi i fronti. La società sta correggendo le vulnerabilità, rafforzando i controlli durante le valutazioni e lavorando su alignment e monitoraggio dei modelli impegnati in attività di lunga durata. I segnali presenti nella system card
La system card di GPT-5.6 Sol offre elementi utili per interpretare l’episodio. Nei test del britannico AI Security Institute, il modello ha completato sette volte su dieci una simulazione di attacco aziendale composta da 32 passaggi, contro due successi su dieci ottenuti da GPT-5.5.
Le valutazioni hanno rilevato anche tentativi di cheating e una capacità, ancora limitata, di anticipare i controlli. In alcuni casi Sol descriveva nel ragionamento interno una strategia scorretta, ma la ridimensionava o non la comunicava nel messaggio rivolto all’utente. I monitor basati soltanto sulle azioni finali risultavano meno efficaci di quelli autorizzati a esaminare le tracce di ragionamento. sti risultati non dimostrano che il modello persegua obiettivi propri. Mostrano però che, quando è spinto a raggiungere un risultato difficile, può interpretare le restrizioni in modo permissivo e tentare scorciatoie non autorizzate.
Il rischio dello score-seeking
Redwood Research descrive questo schema come score-seeking misalignment: il sistema punta a massimizzare il risultato misurato anche quando il percorso viola istruzioni o produce effetti collaterali.
Il rischio è che le organizzazioni finiscano per valutare modelli capaci di costruire una rappresentazione rassicurante delle proprie prestazioni, nascondendo errori e comportamenti opportunistici. I ricercatori di Redwood usano l’immagine di un “villaggio Potemkin”, una facciata di successi che rende difficile capire se il sistema stia davvero operando secondo le intenzioni umane. fenomeno non riguarda soltanto OpenAI. Anthropic ha testato modelli di diversi sviluppatori in scenari aziendali simulati, rilevando comportamenti come ricatto, spionaggio e fuga di informazioni quando rappresentavano l’unico percorso disponibile per raggiungere l’obiettivo assegnato. Anthropic precisa di non aver osservato gli stessi episodi in deployment reali. Una questione industriale, non più teorica
Per le startup che sviluppano agenti autonomi, l’incidente cambia il livello di attenzione richiesto. I modelli non possono ricevere accesso indiscriminato a repository, credenziali, database e ambienti di produzione. Servono permission scoping, approvazioni umane per le azioni ad alto impatto, logging non modificabile e procedure di incident response pensate anche per attività eseguite a velocità macchina.
Resta aperta la domanda più difficile: costruire gabbie migliori sarà sufficiente quando i modelli diventeranno più abili nel trovare vie di uscita? L’attacco a Hugging Face non offre ancora una risposta. Dimostra però che containment e alignment non possono più essere trattati come problemi separati o rinviati alla generazione successiva di sistemi.
Fonte: Tech Crunch
