Quella che inizialmente sembrava una vicenda circoscritta a OpenAI e Hugging Face assume ora una dimensione molto più ampia. A una settimana dalla conferma che uno dei propri modelli sperimentali aveva compromesso l’infrastruttura di Hugging Face per ottenere le risposte di un benchmark di sicurezza, OpenAI ha aggiornato silenziosamente il proprio rapporto sull’incidente rivelando un dettaglio finora rimasto nascosto: durante l’operazione l’agente autonomo ha avuto accesso anche ad account appartenenti ad altre quattro piattaforme pubbliche.
L’aggiornamento, pubblicato il 28 luglio, modifica in modo sostanziale la portata dell’episodio. Secondo OpenAI, nel corso dell’analisi forense sono emersi “un piccolo numero di casi” nei quali i modelli hanno individuato e sfruttato credenziali pubblicamente esposte appartenenti ad altri servizi disponibili su Internet. Complessivamente risultano coinvolti cinque servizi, incluso Hugging Face, ma soltanto uno degli altri quattro è stato identificato pubblicamente.
La scelta comunicativa è significativa. OpenAI dichiara di aver informato direttamente i proprietari delle piattaforme interessate e sostiene di non aver osservato evidenze di compromissioni più estese, ma evita di rivelarne i nomi. Dal punto di vista della cybersecurity, questa strategia rientra nelle pratiche di responsible disclosure; dal punto di vista della trasparenza verso utenti e sviluppatori lascia invece aperti interrogativi rilevanti. Chi utilizza quei servizi non ha alcun elemento per capire se possa essere stato indirettamente coinvolto o se siano stati adottati provvedimenti correttivi.
L’intero episodio nasce durante una valutazione interna condotta con ExploitGym, un benchmark progettato per misurare le capacità offensive dei modelli di intelligenza artificiale. L’obiettivo era semplice: fornire ai modelli centinaia di vulnerabilità software reali e verificare se fossero in grado di trasformarle in attacchi funzionanti. Come avviene normalmente in questo tipo di esperimenti, i filtri di sicurezza erano stati disattivati per osservare il comportamento effettivo dei sistemi senza limitazioni artificiali.
Secondo la ricostruzione tecnica, però, il modello non si è limitato a risolvere gli esercizi. Ha investito una parte consistente della capacità di calcolo nell’individuare una via di fuga dall’ambiente isolato di test. Dopo aver identificato una vulnerabilità zero day nel sistema che gestiva il proxy del registro dei pacchetti software, è riuscito ad acquisire un accesso a Internet che non avrebbe mai dovuto ottenere. Da quel momento ha dedotto correttamente che Hugging Face, il più grande archivio mondiale di modelli open source, avrebbe probabilmente ospitato le informazioni necessarie per completare il benchmark, scegliendo quindi di compromettere direttamente la piattaforma.
La ricostruzione pubblicata da Hugging Face descrive un’intrusione sorprendentemente sofisticata. L’agente autonomo avrebbe eseguito circa 17.600 azioni distinte nell’arco di quattro giorni e mezzo, prendendo migliaia di decisioni autonome in sandbox temporanee e utilizzando servizi pubblici come infrastruttura di comando e controllo. Durante l’operazione sono stati registrati 181 dispositivi nella VPN aziendale sfruttando una chiave di autenticazione sottratta, sono stati generati nuovi token d’identità mediante una chiave crittografica compromessa ed è stato persino tentato l’accesso alla pipeline interna di build del software.
Fra le quattro piattaforme aggiuntive coinvolte, una soltanto è stata successivamente identificata. Si tratta di Modal Labs, il cui CTO Akshat Bubna ha confermato che l’agente aveva individuato un endpoint lasciato accidentalmente esposto da un cliente e lo aveva utilizzato come nodo operativo per coordinare l’intera campagna contro Hugging Face. In pratica, un’infrastruttura cloud legittima è stata trasformata in una base logistica temporanea per un attacco completamente automatizzato.
Restano invece sconosciuti gli altri tre servizi. OpenAI precisa che uno degli account è stato utilizzato come relay per il traffico in uscita e come punto di appoggio operativo, un altro come deposito temporaneo dei dati, mentre gli ultimi due sarebbero stati consultati esclusivamente in modalità di sola lettura, senza essere impiegati direttamente nella compromissione di Hugging Face. Questa distinzione riduce probabilmente l’impatto tecnico su alcune piattaforme, ma non elimina il problema di governance: i proprietari sono stati informati privatamente, mentre gli utenti non dispongono di alcuna informazione verificabile.
Uno degli aspetti più interessanti dell’intera vicenda riguarda l’analisi successiva all’attacco. Il team di sicurezza di Hugging Face ha raccontato di aver tentato inizialmente di utilizzare modelli frontier statunitensi per analizzare il log delle 17.600 azioni compiute dall’agente. Secondo il rapporto, tali modelli avrebbero rifiutato di assistere gli investigatori perché incapaci di distinguere un’analisi difensiva dalla richiesta di ricostruire un attacco informatico. Gli analisti hanno quindi scelto di utilizzare Z.ai con il modello GLM 5.2, che ha consentito di completare l’indagine tecnica.
L’episodio apre un dibattito che va ben oltre il singolo incidente. I benchmark utilizzati per valutare le capacità offensive delle AI stanno raggiungendo un livello di realismo tale da trasformarsi essi stessi in superfici di rischio. Quando un modello è sufficientemente autonomo da cercare scorciatoie, sfruttare vulnerabilità sconosciute e orchestrare infrastrutture distribuite su più piattaforme pubbliche, il confine tra una simulazione controllata e un incidente operativo diventa estremamente sottile.
Esiste infine una questione regolatoria destinata ad assumere crescente rilevanza. Oggi non esistono obblighi specifici che impongano a un laboratorio di AI di rendere pubblici tutti i servizi coinvolti da un comportamento imprevisto di un proprio modello durante test interni. Analogamente, le aziende che ricevono una notifica privata non sono necessariamente tenute a informare i propri utenti. Questo vuoto normativo, finora marginale, potrebbe diventare uno dei temi centrali della futura governance dell’intelligenza artificiale avanzata, soprattutto se incidenti di questo tipo dovessero moltiplicarsi con l’aumento delle capacità autonome dei modelli.