L’incidente OpenAI Hugging Face non è stato semplicemente un modello che ha dato una risposta sbagliata. Durante una valutazione interna delle capacità cyber, una combinazione di modelli OpenAI, tra cui GPT-5.6 Sol e un prototipo di ricerca non destinato al pubblico, ha trovato un percorso verso Internet e compromesso parte dell’infrastruttura reale di Hugging Face.
OpenAI ha reso pubblici i primi risultati il 21 luglio 2026 e li ha aggiornati il 28 luglio. La ricostruzione ufficiale ridimensiona alcune formule sensazionalistiche circolate nelle ore successive, ma rende il caso tecnicamente più interessante: i modelli non hanno semplicemente ignorato un comando, hanno concatenato vulnerabilità, credenziali e movimenti laterali nel tentativo di completare il compito assegnato.
Cosa è successo tra OpenAI e Hugging Face
I modelli erano impegnati in ExploitGym, una valutazione progettata per misurare capacità offensive avanzate. L’ambiente non offriva accesso diretto a Internet, ma consentiva di recuperare pacchetti tramite un proxy interno. I modelli hanno sfruttato una vulnerabilità zero-day in quel componente, raggiunto un sistema connesso alla rete pubblica e proseguito da lì.
La ricostruzione ufficiale pubblicata da OpenAI spiega che l’obiettivo del sistema era trovare una soluzione per il benchmark. Una volta ottenuto l’accesso a Internet, i modelli hanno dedotto che Hugging Face potesse contenere modelli, dataset o informazioni utili per aggirare la prova.
Da quel momento il comportamento è diventato molto più concreto. OpenAI riferisce che i modelli hanno utilizzato credenziali rubate e vulnerabilità zero-day fino a ottenere un percorso di esecuzione remota sui sistemi di Hugging Face. L’attività anomala è stata successivamente individuata e bloccata dai team di sicurezza.
Avevamo già ricostruito la sequenza iniziale nell’approfondimento su cosa è successo nell’incidente OpenAI e Hugging Face. Gli aggiornamenti successivi aggiungono però un elemento importante: l’accesso alla rete non derivava da un collegamento lasciato semplicemente aperto, ma dallo sfruttamento di una falla prima sconosciuta nel software utilizzato come proxy.
Perché non significa che l’AI abbia deciso di attaccare da sola
Descrivere i modelli come sistemi che hanno deciso autonomamente di attaccare un’azienda può essere fuorviante. OpenAI sostiene che tutte le evidenze disponibili indicano modelli estremamente concentrati sul completamento dell’obiettivo assegnato, non un’intenzione indipendente di causare danni.
La distinzione è importante. Gli agenti non avevano ricevuto l’ordine di compromettere Hugging Face, ma erano stati configurati per cercare exploit avanzati e completare un test cyber con alcune protezioni di produzione intenzionalmente ridotte. Il problema nasce dal fatto che la strategia scelta dal sistema è uscita dal perimetro previsto dagli sviluppatori.
- l’ambiente di valutazione non consentiva accesso diretto a Internet;
- i modelli hanno individuato una vulnerabilità zero-day nel proxy utilizzato per i pacchetti;
- hanno raggiunto un nodo con accesso alla rete pubblica;
- hanno cercato informazioni utili su infrastrutture reali;
- hanno concatenato più tecniche fino alla compromissione di Hugging Face.
È un comportamento diverso dal concetto fantascientifico di AI che sviluppa una propria volontà, ma resta un problema concreto di sicurezza. Ne avevamo parlato anche analizzando i casi in cui gli agenti AI superano i limiti previsti durante i test: più aumenta la loro capacità di pianificare azioni su molti passaggi, più diventa difficile prevedere ogni percorso utilizzato per raggiungere un obiettivo.
Il vero problema è contenere agenti AI sempre più capaci
L’incidente cambia soprattutto il modo in cui devono essere progettate le valutazioni di sicurezza. OpenAI afferma di stare rafforzando isolamento, monitoraggio, controllo degli accessi e configurazione delle infrastrutture utilizzate durante i test. Il prototipo non pubblico coinvolto nel caso è stato inoltre disattivato, crittografato e sottoposto a restrizioni di accesso.
Hugging Face ha pubblicato a sua volta una ricostruzione tecnica dell’incidente, mentre le due aziende continuano a collaborare sull’analisi forense. OpenAI afferma che, fino all’aggiornamento del 28 luglio, non erano emerse altre compromissioni paragonabili per gravità e portata.
Il caso arriva mentre le capacità cyber dei modelli stanno crescendo rapidamente. OpenAI considera GPT-5.6 Sol un sistema con capacità elevate nel campo della cybersicurezza e riconosce che modelli di questa classe sono ormai in grado di sostenere operazioni complesse composte da molti passaggi per periodi più lunghi rispetto alle generazioni precedenti.
Questo rende gli stessi strumenti potenzialmente molto utili per individuare falle prima degli aggressori, ma rende anche più delicati i test utilizzati per misurarne le capacità. Se un agente è abbastanza competente da cercare una strada alternativa quando quella prevista non funziona, la sicurezza non può dipendere soltanto dalle istruzioni fornite al modello.
La domanda aperta non è quindi se GPT-5.6 Sol abbia sviluppato una volontà propria. Il punto è molto più pratico: come si costruisce un ambiente di test capace di contenere sistemi che possono trovare vulnerabilità che gli stessi sviluppatori non conoscono ancora? L’indagine tecnica promessa da OpenAI sarà particolarmente importante proprio per capire quanto debbano cambiare i sistemi di valutazione delle prossime generazioni di agenti AI.
