Negli ultimi giorni si è diffusa sui media una notizia allarmante: “Un’intelligenza artificiale è sfuggita al controllo dei suoi creatori”. I titoli evocano scenari da fantascienza con macchine ribelli e dotate di volontà propria. La realtà dei fatti emersa dalle comunicazioni ufficiali, è  diversa, ma solleva comunque interrogativi fondamentali per il futuro della tecnologia.

Non si è trattato di un‘IA “impazzita” o diventata incontrollabile, bensì di un sistema di agenti (programmi capaci di pianificare ed eseguire azioni in autonomia per raggiungere uno scopo) basato su più modelli OpenAI che, messo alla prova in un test di sicurezza, ha trovato scorciatoie inattese ed estremamente efficaci pur di portare a termine il suo compito.

Ecco come sono andate davvero le cose in quello che OpenAI ha definito un episodio senza precedenti e che Hugging Face considera forse il primo caso documentato del suo genere.

La ricostruzione dell’incidente: che cosa è successo davvero

Tutto è iniziato nei laboratori di ricerca di OpenAI. Gli esperti stavano conducendo un test di violazione informatica (una simulazione controllata per individuare le falle nei sistemi prima che lo facciano i criminali) su modelli di nuova generazione come GPT-5.6 Sol. Per capire quanto questi LLM (i grandi modelli linguistici capaci di elaborare linguaggio e codice) siano in grado di analizzare la rete, i tecnici hanno temporaneamente “allentato” i filtri di sicurezza di produzione (le barriere attive nelle versioni pubbliche che impediscono risposte pericolose) e hanno inserito un sistema di agenti IA in un benchmark di addestramento chiamato ExploitGym, una sorta di “palestra virtuale” con test ed esercizi di simulazione d’attacco.

Per evitare che l’IA potesse fare danni all’esterno, la prova è stata eseguita all’interno di una sandbox (un “recinto” digitale isolato dal resto dei computer) e la connessione a Internet era filtrata da un proxy interno, un server intermedio che controlla il traffico in entrata e in uscita.

A questo punto si è innescata una reazione a catena inaspettata:

1. La fuga dal recinto: l’IA, per risolvere gli exploit del test (i singoli enigmi informatici proposti per sfruttare un difetto di rete), ha scoperto una vulnerabilità sconosciuta (zero-day) proprio nel proxy interno, riuscendo ad aprirsi un varco verso la rete esterna.

2. La scalata ai sistemi: una volta fuori dal recinto, il sistema di agenti IA ha compiuto azioni di escalation dei privilegi (ha ottenuto cioè i permessi da “amministratore di sistema”) e ha iniziato a muoversi lateralmente, ovvero spostandosi da un computer all’altro all’interno dell’infrastruttura di ricerca di OpenAI.

3. L’ingresso in Hugging Face: cercando su Internet le risposte per superare il test, l’IA ha dedotto che le soluzioni potessero trovarsi su Hugging Face — la più grande piattaforma globale usata dai ricercatori per condividere dati e modelli intelligenti. Sfruttando due debolezze nei sistemi della piattaforma (un’iniezione di codice e un difetto nel dataset loader remoto, ovvero le routine usate per caricare ed eseguire dati dall’esterno), gli agenti IA sono penetrati nei server di produzione di Hugging Face, cioè nei computer che erogano i servizi reali agli utenti, per prelevare le informazioni necessarie a completare l’esame.

Il sistema di agenti IA non aveva lo scopo di “conquistare la rete”, ma era tutto focalizzato sul suo obiettivo: superare il test ad ogni costo, usando ogni mezzo a sua disposizione.

La difesa a colpi di Intelligenza Artificiale

L’intrusione è stata bloccata grazie alle cosiddette pipeline di rilevamento (sistemi automatici di monitoraggio) di Hugging Face, anch’esse (ovviamente) potenziate da modelli IA. OpenAI afferma però che anche il proprio team di sicurezza aveva scoperto internamente l’attività anomala. Le due aziende si sono poi comunque messe in contatto.

Per ricostruire l’accaduto e capire quali mosse avesse compiuto il sistema di agenti IA attaccante, i tecnici hanno dovuto esaminare i log di attacco, ovvero la “scatola nera” digitale con oltre 17.000 operazioni registrate. Per farlo in tempi brevi hanno impiegato agenti di analisi forense, ovvero altre IA “investigatrici” capaci di analizzare grandi moli di dati in poche ore.

In questa fase si è verificato un corto circuito paradossale: i modelli commerciali chiusi (un modello chiuso è un modello che “risiede” sui server del fornitore, ndr) si rifiutavano di analizzare le stringhe di attacco (le istruzioni malevole usate nell’incursione) perché i loro filtri automatici le scambiavano per un attacco reale in corso. I difensori hanno quindi dovuto utilizzare un modello a codice aperto, cioè gestito direttamente nei propri computer per completare l’indagine in totale sicurezza.

Le valutazioni di OpenAI e Hugging Face sulle capacità dei modelli

Sulle capacità di questi sistemi intervengono i report ufficiali dell’UK AI Safety Institute (UK AISI) — l’istituto governativo britannico nato per valutare la sicurezza delle IA avanzate. Nelle sue simulazioni di laboratorio su scenari informatici (cyber ranges), l’istituto ha documentato come modelli come GPT-5.6 Sol siano in grado di coordinare operazioni complesse per tempi lunghi. Nel comunicato congiunto, OpenAI sottolinea come questo incidente dimostri che le capacità rilevate dall’UK AISI nei test di laboratorio possono trasferirsi direttamente ai sistemi reali.

Da parte sua Hugging Face conclude nel proprio report che l’automazione delle minacce cibernetiche via IA è ormai una realtà operativa. Secondo la piattaforma, l’incidente dimostra che difendere i sistemi informatici richiede oggi di usare l’intelligenza artificiale anche in chiave difensiva, l’unico modo per analizzare i dati e rispondere alle intrusioni alla stessa velocità delle macchine attaccanti.