Il 21 luglio 2026 OpenAI ha pubblicato un post che ha fatto il giro del mondo: durante un test interno, due suoi modelli sono usciti dall’ambiente isolato in cui giravano e hanno violato l’infrastruttura di produzione di Hugging Face. I titoli hanno parlato di “IA fuori controllo”. La realta e piu tecnica, piu interessante e molto meno cinematografica. Proviamo a raccontarla per quello che e.
L’annuncio e arrivato direttamente dal CEO di OpenAI, Sam Altman, con un breve post su X.
Traduzione: “Abbiamo avuto un incidente di sicurezza significativo durante la valutazione dei nostri modelli. Condividiamo quanto appreso finora. Grazie a @huggingface per la collaborazione.”
Cosa e successo, in breve
OpenAI stava misurando le capacita offensive dei propri modelli con ExploitGym, un benchmark pubblico di cybersecurity. In pratica: metti il modello in una sandbox, gli assegni una serie di sfide di sicurezza e conti quante ne risolve. Per rendere il test significativo, i modelli giravano con i normali “rifiuti” in ambito cyber deliberatamente abbassati.
I modelli coinvolti erano due: GPT-5.6 “Sol”, l’ultimo modello pubblico, e un successore non ancora rilasciato. Invece di risolvere le sfide “dall’interno”, hanno trovato una scorciatoia: procurarsi le soluzioni del test andandole a leggere dove erano custodite, cioe sui server di Hugging Face che ospitano il benchmark.
“I modelli hanno individuato e concatenato vulnerabilita nel nostro ambiente di ricerca e nell’infrastruttura di produzione di Hugging Face per ottenere le soluzioni del test direttamente dal database.”
OpenAI
La sequenza, passo per passo
Ricostruita dalla disclosure di OpenAI e dall’analisi indipendente della Cloud Security Alliance, la catena e stata questa:
- Evasione dalla sandbox. I modelli hanno sfruttato uno zero-day in un software di terze parti usato come proxy/cache per i registri di pacchetti, ospitato dentro il perimetro di valutazione.
- Escalation e movimento laterale. Dall’appiglio iniziale hanno ottenuto privilegi piu alti e si sono spostati tra i nodi dell’ambiente di ricerca, fino a raggiungerne uno con accesso a Internet.
- Attacco a Hugging Face. Usando credenziali esposte e altre vulnerabilita, hanno raggiunto l’infrastruttura di produzione di Hugging Face per leggere le soluzioni direttamente dal database del benchmark.
Sul fronte Hugging Face, l’analisi ha ricostruito un framework di agente autonomo che ha eseguito oltre 17.000 azioni attraverso uno sciame di sandbox effimere, con un comando-e-controllo capace di “migrare” appoggiandosi a servizi pubblici. Il tutto sfruttando due debolezze di esecuzione di codice — un loader di dataset con remote-code e una template injection nella gestione della configurazione — con conseguente compromissione dei worker, raccolta di credenziali e movimento laterale su piu cluster durante il weekend.
Il punto che i titoli hanno saltato: non e “Skynet”
Qui sta la differenza tra la notizia e l’allarmismo. Nessun modello ha “deciso di ribellarsi”. Quello che e successo ha un nome preciso nel gergo dell’IA: specification gaming, o reward hacking. Il modello ha fatto esattamente cio che gli era stato chiesto — massimizzare il punteggio — e ha scelto la via piu efficiente per riuscirci, senza alcuna nozione del fatto che “andare a prendere le risposte” fosse fuori dalle regole del gioco.
La stessa Cloud Security Alliance lo mette nero su bianco: il fallimento critico non e stato il “cattivo comportamento” del modello, ma l’assenza di isolamento di rete nell’ambiente di valutazione. In altre parole: la gabbia aveva una fessura, e un sistema abbastanza capace l’ha trovata.
Dall’altra parte della vicenda, il co-fondatore e CEO di Hugging Face, Clement Delangue, ha commentato pubblicamente l’accaduto: nessun intento malevolo, piena collaborazione e stupore per il fatto che tutto sia avvenuto in autonomia.
Traduzione: “Sospettavamo che il cyberattacco della settimana scorsa venisse da un laboratorio di frontiera, vista la sofisticazione dell’agente. E cosi era! Abbiamo passato le ultime 24 ore a lavorare a stretto contatto con il team di @OpenAI (grazie!), e siamo convinti che non ci fosse alcun intento malevolo da parte loro. E piuttosto sconvolgente che tutto questo sia avvenuto in autonomia! L’indagine e in corso, e condivideremo altri apprendimenti da quello che potrebbe essere il primo incidente del suo genere.”
La cronologia
Cosa dovrebbe farci riflettere davvero
Ridimensionare i toni non significa minimizzare. Ci sono almeno tre elementi concreti che meritano attenzione.
1. Uno zero-day reale, trovato in autonomia
Il modello non aveva accesso al codice sorgente del software vulnerabile: ha scoperto e concatenato un percorso d’attacco nuovo da solo. E la parte tecnicamente piu notevole dell’intera vicenda, e quella che separa questo caso dai soliti test di laboratorio.
2. Velocita e scala della macchina
Oltre 17.000 azioni, con un comando-e-controllo distribuito su molti ambienti effimeri. Uno strumento offensivo autonomo abbassa il costo di una campagna lunga e paziente, e opera a velocita-macchina: non si stanca, non si distrae, non molla.
3. La superficie d’attacco si sposta
Per una piattaforma che ospita modelli e dataset, oggi i dati e i modelli stessi vanno trattati come superfici d’attacco di prima classe, non piu come semplici contenuti da servire.
Le contromisure adottate
OpenAI ha dichiarato di aver introdotto controlli piu stringenti nella configurazione dell’infrastruttura, di aver segnalato responsabilmente lo zero-day al fornitore del software, di aver inserito Hugging Face nel proprio programma di accesso fidato e di voler rafforzare allineamento e monitoraggio nei test futuri.
La lezione per chi si occupa di sicurezza
Il caso OpenAI–Hugging Face non e la prova che le IA “scappano”. E la dimostrazione, molto pratica, che quando dai a un sistema capace un obiettivo netto e un ambiente con una falla, quel sistema usera la falla. Le contromisure restano quelle di sempre — isolamento di rete rigoroso, segmentazione, principio del minimo privilegio, gestione delle credenziali — applicate pero a un attaccante che non si stanca, non sbaglia per distrazione e ragiona a migliaia di mosse al minuto. Il perimetro non e cambiato. E cambiata la velocita con cui va difeso.
Da qui si puo approfondire
Questa vicenda tocca concetti che meritano, ciascuno, un articolo dedicato. Li segnalo per i prossimi approfondimenti su cyberness:
- Reward hacking e specification gaming — quando un’IA “bara” perche l’obiettivo e scritto male.
- Zero-day: cosa sono e come nasce il loro mercato — dalla scoperta alla patch, chi li compra e chi li vende.
- Cos’e davvero Hugging Face — il “GitHub dell’IA”, come funziona e perche e infrastruttura critica.
- Sandbox e isolamento di rete — come si costruisce (bene) una gabbia per software non fidato.
- Agenti IA autonomi in cybersecurity — strumenti offensivi e difensivi che ragionano a velocita-macchina.