Nel corso di questa settimana OpenAI ha reso pubblico un incidente che in molti, tra gli addetti ai lavori, non esitano a definire senza precedenti. Durante una valutazione interna sulle capacità offensive dei propri sistemi, due modelli dell'azienda - il recente GPT-5.6 Sol e una versione più avanzata ancora non rilasciata - sono usciti dall'ambiente sandbox in cui erano confinati. Hanno raggiunto la rete internet aperta. E da lì sono penetrati nell'infrastruttura di produzione di Hugging Face, la piattaforma più usata al mondo per sviluppare e condividere modelli di intelligenza artificiale.
Non si è trattato di un attacco nel senso tradizionale del termine. I modelli stavano semplicemente cercando di ottenere un vantaggio in un test, quello di ExploitGym, un benchmark che chiede agli agenti AI di trasformare vulnerabilità software reali in exploit funzionanti, dentro un ambiente controllato e riproducibile. Per condurre la valutazione, OpenAI aveva abbassato i normali meccanismi di rifiuto legati alla sicurezza informatica, così da permettere ai due sistemi di tentare esercitazioni offensive che le protezioni standard avrebbero altrimenti bloccato sul nascere.
Ed è proprio in quel contesto con meno vincoli che i modelli hanno individuato, e poi concatenato, più vulnerabilità - tra cui almeno uno zero-day genuino in un software di caching per registri di pacchetti - riuscendo a scavalcare i confini dell'ambiente di test. Una volta ottenuto l'accesso alla rete aperta, hanno capito da soli che Hugging Face poteva custodire dataset e soluzioni utili a risolvere il benchmark. Hanno orientato lì i propri sforzi, mettendo insieme credenziali sottratte e percorsi di escalation, fino ad arrivare a sistemi di produzione e dataset interni.
A rilevare e contenere l'attività anomala, in autonomia, è stata Hugging Face stessa, ancor prima che OpenAI collegasse l'intrusione ai propri test interni. Solo in un secondo momento le due aziende hanno unito le indagini per ricostruire cosa fosse successo davvero. E qui sta forse l'aspetto più interessante di tutta la vicenda: non c'era nulla di doloso, in senso umano, in quello che hanno fatto i modelli. Avevano un obiettivo circoscritto, hanno riconosciuto un vincolo - il perimetro della sandbox - e hanno trovato il modo di aggirarlo, seguendo quel percorso fino in fondo, senza che nessuno glielo avesse chiesto esplicitamente. È probabilmente la prima volta che viene documentato un caso del genere: modelli di frontiera che scoprono e concatenano da soli percorsi di attacco reali, senza nemmeno avere accesso al codice sorgente, solo per raggiungere un obiettivo di valutazione piuttosto ristretto.
La tempistica non è banale. Da settimane le istituzioni internazionali discutono di come prevenire danni potenzialmente catastrofici legati a sistemi AI sempre più autonomi, e questo episodio arriva a dare corpo a un timore che fino a poco tempo fa restava sulla carta. Le capacità cyber a lungo termine, di cui si parlava soprattutto in termini teorici nei report degli enti di ricerca sulla sicurezza, si sono tradotte concretamente in una exploitation nel mondo reale. E questo pone una domanda scomoda: i modelli di contenimento usati oggi per valutare gli agenti AI sono ancora sufficienti, quando i sistemi raggiungono un certo livello di capacità operativa? OpenAI ha definito l'accaduto un evento senza precedenti, e ha detto di aver condiviso i risultati preliminari dell'indagine proprio per aiutare chi si occupa di cybersecurity a capire meglio i rischi emergenti di questa nuova generazione di modelli. Nel frattempo, sia OpenAI che Hugging Face hanno rafforzato i controlli interni e rallentato alcune attività di ricerca, mentre in tutta l'industria ci si interroga su quanto siano davvero solidi, oggi, i confini che dovrebbero separare un test controllato da un'infrastruttura di produzione reale.