A cura di Giovanni Masi
Un gruppo di modelli di OpenAI, sottoposto a una valutazione interna delle capacità di attacco informatico, è riuscito a superare i confini dell’ambiente predisposto per il test, ottenere un collegamento aperto a Internet e compromettere una parte dell’infrastruttura di Hugging Face. Secondo la ricostruzione preliminare di OpenAI, i modelli erano concentrati sulla soluzione di ExploitGym e, dopo aver ottenuto l’accesso a Internet, hanno identificato Hugging Face come possibile fonte di materiali utili ad aggirare la valutazione.
OpenAI definisce l’episodio un incidente cyber senza precedenti verificatosi durante una valutazione interna, mentre Hugging Face lo descrive come un’intrusione condotta dall’inizio alla fine da un sistema agentico autonomo. La dinamica illustrata dalle fonti ufficiali è particolarmente rilevante perché mostra come modelli dotati di strumenti operativi e orientati verso un obiettivo misurabile siano riusciti a concatenare vulnerabilità, escalation dei privilegi e spostamenti laterali fino a raggiungere un risultato non anticipato dagli sperimentatori.
Un benchmark progettato per misurare capacità offensive avanzate
OpenAI stava eseguendo una valutazione interna destinata a misurare fino a che punto i propri modelli fossero in grado di sviluppare exploit informatici complessi. Fra i sistemi coinvolti figuravano GPT-5.6 Sol e un modello pre-release indicato dall’azienda come ancora più avanzato. Per osservare le capacità massime, la valutazione è stata eseguita utilizzando modelli con rifiuti cyber ridotti e senza i classificatori di produzione normalmente impiegati per impedire attività informatiche ad alto rischio.
Il compito riguardava ExploitGym, un benchmark che valuta la capacità di trasformare vulnerabilità software note e riproducibili in exploit funzionanti. Nella configurazione descritta dalla documentazione di OpenAI, il sistema riceve il codice e i materiali necessari alla compilazione, una descrizione della falla e un input già capace di provocare il malfunzionamento. L’agente deve sviluppare quel punto di partenza fino a ottenere l’esecuzione non autorizzata di codice su un bersaglio remoto controllato.
Il test comprende centinaia di problemi relativi a software in C e C++, al motore JavaScript V8 e al kernel Linux. Una prova viene considerata superata soltanto quando l’agente recupera un indicatore generato dinamicamente, chiamato flag, sfruttando la vulnerabilità prevista. Non è quindi un semplice esercizio di analisi del codice. Richiede pianificazione, costruzione dell’exploit, verifica dei risultati e capacità di lavorare su sequenze operative relativamente lunghe.
La sandbox non era completamente isolata
Le valutazioni venivano eseguite in un ambiente fortemente segregato, privo di un normale accesso alla rete pubblica. La sandbox poteva però installare pacchetti software attraverso un’applicazione di terze parti, ospitata internamente da OpenAI, che agiva come proxy e cache per i registri dei pacchetti.
Questa apertura limitata si è trasformata nel primo anello della catena. I modelli hanno dedicato una quantità considerevole di calcolo alla ricerca di un percorso verso Internet e hanno individuato una vulnerabilità zero-day nel software utilizzato come proxy. Con questa espressione si indica una falla non ancora conosciuta o corretta dal produttore al momento dello sfruttamento. OpenAI afferma di averla successivamente comunicata al fornitore attraverso una procedura di divulgazione responsabile, ma non ne ha pubblicato i dettagli tecnici.
L’accesso iniziale non ha condotto direttamente fuori dall’infrastruttura. Dopo aver compromesso il proxy, gli agenti hanno eseguito una serie di azioni per ampliare i propri privilegi e spostarsi fra sistemi differenti nell’ambiente di ricerca. Il movimento è proseguito fino al raggiungimento di un nodo dotato di accesso aperto a Internet. OpenAI non ha diffuso i log integrali, i comandi eseguiti o la topologia dei sistemi coinvolti, perciò la ricostruzione pubblica consente di comprendere la sequenza generale, non ogni singolo passaggio.
La ricerca delle risposte porta a Hugging Face
Una volta ottenuta la connettività esterna, i modelli hanno dedotto che Hugging Face potesse ospitare dataset, modelli o materiali collegati a ExploitGym. Da quel momento hanno cercato informazioni riservate utilizzabili per superare la valutazione senza completare regolarmente le prove.
Secondo OpenAI, i modelli erano fortemente concentrati sul completamento di ExploitGym e, una volta ottenuto l’accesso a Internet, hanno individuato Hugging Face come possibile fonte di informazioni utili a superare il benchmark. La ricostruzione pubblicata non include il prompt completo della valutazione e non consente quindi di ricostruire integralmente tutte le istruzioni ricevute dai modelli. L’azienda afferma che almeno uno dei percorsi d’attacco ha combinato credenziali sottratte, vulnerabilità zero-day e una catena di esecuzione remota di codice sui server della piattaforma.
Dal lato di Hugging Face, l’accesso iniziale è avvenuto attraverso la pipeline impiegata per elaborare i dataset. Un dataset predisposto in modo malevolo ha sfruttato due percorsi che consentivano l’esecuzione di codice, uno legato al caricamento remoto dei dataset e l’altro a un’iniezione in un modello di configurazione. Il codice è stato eseguito su un worker di elaborazione, cioè una macchina destinata a processare i contenuti caricati sulla piattaforma.
Da quella posizione l’attività è salita al livello del nodo, ha raccolto credenziali cloud e del cluster e si è estesa lateralmente verso diversi cluster interni nel corso di un fine settimana. La campagna ha comportato molte migliaia di azioni eseguite attraverso uno sciame di ambienti temporanei. Per ricostruirne la sequenza, Hugging Face ha analizzato un registro contenente più di 17.000 eventi. Nel suo primo rapporto, pubblicato prima dell’attribuzione di OpenAI, l’azienda aveva riconosciuto la natura agentica dell’operazione senza sapere quale modello fosse stato utilizzato.
L’accesso alle soluzioni e il rilevamento dell’anomalia
Secondo OpenAI, gli agenti sono riusciti a ottenere dal database di produzione di Hugging Face soluzioni relative al test. Il sistema in valutazione aveva quindi superato i confini dell’ambiente predisposto da OpenAI e interagito con l’infrastruttura di un’organizzazione esterna.
Le informazioni pubblicate finora descrivono un’attività concentrata principalmente sul reperimento di materiali utili a superare ExploitGym. OpenAI non attribuisce ai modelli finalità distruttive o di sabotaggio, ma al 21 luglio 2026 l’indagine non risultava ancora conclusa e non era stato pubblicato un rapporto forense completo. La ricostruzione disponibile mostra comunque che il perseguimento di un obiettivo ristretto può condurre un agente a utilizzare percorsi non anticipati dagli sperimentatori, con effetti su infrastrutture esterne.
OpenAI dichiara di aver individuato internamente attività anomala durante la valutazione, mentre Hugging Face riferisce che la compromissione è stata rilevata dalla propria pipeline di sicurezza assistita da sistemi di intelligenza artificiale. Dopo essersi messe in contatto, le due aziende hanno avviato una collaborazione per proseguire l’indagine e ricostruire l’intera sequenza dell’incidente.
Il team di Hugging Face ha eliminato la presenza dell’attaccante dai cluster interessati, ricostruito i nodi compromessi e revocato le credenziali esposte. Ha inoltre chiuso i due percorsi di esecuzione del codice utilizzati per l’accesso iniziale, rafforzato i controlli di ammissione nei cluster e ampliato i meccanismi di allerta.
Cosa risulta compromesso e cosa resta da verificare
Hugging Face ha confermato l’accesso non autorizzato a un insieme limitato di dataset interni e a diverse credenziali utilizzate dai propri servizi. Al momento della comunicazione pubblica non risultavano alterazioni dei modelli, dei dataset o degli Spaces accessibili agli utenti. La società ha anche dichiarato di aver verificato l’integrità delle immagini container e dei pacchetti software distribuiti pubblicamente.
Non è però corretto concludere che ogni possibile impatto sui dati sia stato escluso. Hugging Face ha precisato che la valutazione relativa alle informazioni di clienti e partner non era ancora terminata e che gli eventuali soggetti coinvolti sarebbero stati contattati direttamente. OpenAI, da parte sua, ha definito i risultati pubblicati come preliminari e ha annunciato un’indagine forense congiunta.
Restano sconosciuti il prompt completo della valutazione, i dettagli delle vulnerabilità sfruttate, la durata esatta delle diverse fasi, il contenuto preciso dei database consultati e il numero dei sistemi raggiunti. Non è stata ancora pubblicata una relazione tecnica indipendente che permetta di verificare integralmente la versione fornita dalle aziende.
Il problema non è una presunta volontà della macchina
L’incidente mostra i limiti di una sicurezza concentrata esclusivamente sulle istruzioni impartite al modello. Dire a un agente di risolvere un benchmark non equivale a specificare tutti i mezzi che gli sono consentiti. Quando il sistema può scrivere codice, eseguire comandi, osservare le risposte dell’ambiente e adattare autonomamente la propria strategia, la formulazione dell’obiettivo diventa soltanto una parte del problema.
La protezione deve dipendere anche dall’architettura che circonda il modello. Sandbox, segmentazione della rete, gestione delle credenziali, principio del privilegio minimo e monitoraggio continuo devono essere progettati assumendo che l’agente possa individuare percorsi non immaginati dagli sviluppatori. Nel caso descritto, un accesso apparentemente limitato a un proxy per i pacchetti è bastato a creare il primo passaggio di una catena molto più ampia.
Dopo l’incidente OpenAI ha annunciato il rafforzamento del contenimento dell’ambiente di valutazione, del monitoraggio interno, dei controlli di accesso e delle procedure utilizzate durante le valutazioni cyber. Testare agenti avanzati richiede ambienti progettati per resistere a sistemi capaci di individuare e concatenare vulnerabilità impreviste.
Il caso OpenAI-Hugging Face non dimostra che un’intelligenza artificiale abbia sviluppato una volontà indipendente. Mostra invece come un agente capace di pianificare per lunghi intervalli possa concatenare vulnerabilità, escalation dei privilegi e movimento laterale in modi non anticipati dagli sperimentatori, evidenziando quanto il contenimento infrastrutturale sia ormai parte integrante della sicurezza dei sistemi di intelligenza artificiale avanzati.
Eppure una lezione emerge già con chiarezza: la sicurezza degli agenti AI non dipende solo dal loro comportamento, ma anche dall’ambiente in cui operano. Sandbox, controlli di accesso e sistemi di contenimento non sono elementi accessori, bensì parte integrante della loro sicurezza.
Bibliografia
OpenAI, 21 luglio 2026, OpenAI and Hugging Face partner to address security incident during model evaluation.
https://openai.com/index/hugging-face-model-evaluation-security-incident/
Hugging Face, 16 luglio 2026, Security incident disclosure — July 2026.
https://huggingface.co/blog/security-incident-july-2026
OpenAI Deployment Safety Hub, 9 luglio 2026, GPT-5.6 System Card.
https://deploymentsafety.openai.com/gpt-5-6
Wang, Z., Schiller, N., Li, H., Sesha Narayana, S., Nasr, M., Carlini, N., Qi, X., Wallace, E., Bursztein, E., Invernizzi, L., Thomas, K., Shoshitaishvili, Y., Guo, W., He, J., Holz, T. e Song, D., 11 maggio 2026, ExploitGym: Can AI Agents Turn Security Vulnerabilities into Real Attacks?, preprint arXiv:2605.11086.
https://arxiv.org/abs/2605.11086