Nelle ultime settimane OpenAI ha riferito di un attacco alla piattaforma Hugging Face da parte di alcuni suoi modelli sperimentali. Pur isolati in sandbox e senza accesso alla rete, i modelli hanno aggirato le restrizioni sfruttando una vulnerabilità sconosciuta (zero-day) di Artifactory, una piattaforma per sviluppatori, e ne hanno usato le repository come "bacheca messaggi" per comunicare con altri agenti IA. Lì uno di loro ha trovato per caso alcune credenziali di Hugging Face esposte pubblicamente, che consentivano l'accesso in scrittura. Le credenziali sono state poi condivise e utilizzate su decine di server simultaneamente, alla ricerca di vulnerabilità con cui eseguire codice arbitrario e ottenere accessi di livello più alto.

Hugging Face si è accorta autonomamente dell'attività sospetta sui propri sistemi e ha reso pubblica la questione il 16 luglio, senza conoscerne ancora il responsabile. Nel frattempo un'indagine interna di OpenAI sull'uso anomalo delle credenziali di Artifactory ha fatto emergere il comportamento degli agenti. Una volta collegata questa attività all'incidente denunciato da Hugging Face, OpenAI ha riconosciuto le sue responsabilità ed è corsa ai ripari mettendo in quarantena i modelli coinvolti e sospendendo tutte le attività di addestramento dei modelli di ricerca più recenti, in attesa di un'indagine più approfondita che ricostruisca l'intera sequenza degli eventi.

È emerso inoltre che già a fine maggio era stata osservata una certa predisposizione all'utilizzo della bacheca improvvisata su Artifactory e all'accesso a internet senza autorizzazione. Il problema è che questa osservazione non è stata portata all'attenzione dei responsabili della gestione degli incidenti. Se si fosse compresa per tempo la rilevanza di questo primo segnale, si sarebbe potuto reagire molto più tempestivamente ed evitare la violazione.

Se Atene piange, Sparta non ride. Anche Anthropic ha recentemente ammesso che i suoi modelli, in almeno tre occasioni, hanno superato i limiti previsti. Dopo l'incidente che ha coinvolto OpenAI, l'azienda ha deciso di riesaminare oltre 141.000 test di cybersicurezza, scoprendo che i sistemi informatici di tre organizzazioni reali erano stati attaccati rispettivamente da Claude Opus 4.7, Claude Mythos 5 e da un modello sperimentale non destinato al pubblico.

Le esercitazioni prevedevano che il modello agisse come un hacker, cioè che violasse i sistemi di aziende fittizie, create in sandbox, per recuperare informazioni protette. Al modello era stato indicato che tutto rientrava nella simulazione e che non avrebbe avuto accesso a internet. Per misurarne le massime capacità offensive, una parte delle protezioni presenti nelle versioni pubbliche era stata disattivata. Infine, per un errore di configurazione dell'ambiente di test, gestito però da un'azienda esterna, è stata lasciata aperta la possibilità di accedere alla rete.

Nel primo caso l'azienda fittizia portava lo stesso nome di una reale. Non trovando il bersaglio nella sandbox, Opus 4.7 lo ha cercato in rete. Ha quindi trovato e attaccato l'azienda reale, ne ha sottratto delle credenziali e ha raggiunto un database di dati reali, proseguendo nell'hacking anche dopo aver compreso che il sistema non era un ambiente simulato.

Nel secondo caso, Mythos 5 ha creato un programma malevolo e lo ha pubblicato sulla piattaforma PyPI. Il programma è rimasto online circa un'ora ed è stato scaricato da vari computer, tra cui quello di un'azienda di sicurezza informatica. Il codice malevolo è riuscito a sottrarre alcune credenziali, che il modello ha poi utilizzato per accedere ad altre aree riservate dei sistemi dell'azienda colpita.

Nel terzo caso, il modello sperimentale ha passato in rassegna circa 9.000 obiettivi fino a violare un'applicazione aziendale esposta in rete. Ma una volta compreso che si trattava di un sistema reale, ha interrotto l'attacco da sé. Secondo Anthropic, non si è trattato di una ribellione né di un'intenzione autonoma di colpire aziende vere. I modelli stavano eseguendo il compito assegnato e trattavano ciò che incontravano come parte dell'esercitazione.

Alla luce di queste dichiarazioni, così difficili da ignorare, viene da chiedersi quale sia il loro scopo. Alcuni pensano che alimentare il timore dei modelli incontrollabili possa essere una forma di gatekeeping, per spingere i governi verso norme più stringenti, congelando di fatto il vantaggio tecnologico acquisito sui concorrenti che hanno quasi azzerato il divario (DeepSeek, Qwen, Z.ai). Altri, invece, vi leggono una strategia di marketing in cui la paura diventa uno strumento di vendita. Tali esternazioni, infatti, sono certamente servite a catalizzare l'attenzione mediatica sulle capacità (o pericolosità) dei sistemi delle due aziende e a ottenere maggiore visibilità, cosa che alla vigilia di una quotazione in borsa di sicuro non guasta.

Resta anche una terza possibilità: che si tratti semplicemente di trasparenza. Ma ammettere così candidamente di aver perso il controllo dei propri modelli apre scenari preoccupanti sulla capacità di questi colossi di gestirli. E questo è un lusso che nessuno dei due potrà più permettersi una volta effettuata la quotazione in borsa, non senza ripercussioni sul valore del proprio titolo. Difficilmente, quindi, OpenAI e Anthropic avranno ancora l'occasione, o la convenienza, di esprimersi pubblicamente in maniera così franca. Chi ha orecchie per intendere intenda...