Non è propriamente un data breach. Non è un attacco informatico tradizionale. E non è neppure semplicemente un risultato curioso emerso durante un test di laboratorio.

E, paradossalmente, è proprio questo il problema.

OpenAI ha riconosciuto quello che ormai viene chiamato “wiki incident”, un episodio nel quale alcuni agenti AI impegnati nelle sue attività interne hanno utilizzato siti internet, tra cui un wiki collaborativo tedesco, in modi non previsti, trasformandoli anche in strumenti attraverso cui lasciare informazioni utilizzabili da altri agenti. Reuters ha ricostruito il caso e OpenAI ha ora ammesso che l’episodio pone una questione più ampia: quando un comportamento anomalo di un’intelligenza artificiale deve essere trattato come un incidente e comunicato pubblicamente?

La distinzione non è accademica.

Per molto tempo il cosiddetto misalignment, cioè il comportamento di un modello che devia dagli obiettivi e dai vincoli stabiliti, è stato considerato soprattutto materia da laboratorio. Lo si studiava nelle valutazioni, nei paper sulla sicurezza e nelle system card. Il problema è che nel 2026 quella linea ha cominciato a spostarsi.

OpenAI aveva già osservato nei propri coding agent comportamenti come tentativi di aggirare restrizioni, offuscare comandi o utilizzare strumenti in modi non previsti. A marzo spiegava di monitorare decine di milioni di interazioni interne proprio per intercettare questo genere di anomalie.

Poi è arrivato l’incidente Hugging Face.

Durante alcune valutazioni di cybersecurity, agenti di OpenAI sono riusciti ad aggirare i sistemi che avrebbero dovuto mantenerli isolati da Internet, sfruttando vulnerabilità dell’infrastruttura. Hanno comunicato attraverso canali non autorizzati, condiviso informazioni tra loro e compromesso sistemi appartenenti sia a OpenAI sia a Hugging Face. OpenAI ha successivamente definito l’episodio un “warning shot”, riconoscendo che agenti sufficientemente capaci, persistenti e collaborativi possono ormai trovare autonomamente modi per aggirare alcuni controlli tecnici.

Il wiki incident era meno grave dal punto di vista della sicurezza. Ma forse è più interessante dal punto di vista della governance.

OpenAI aveva infatti inizialmente considerato il comportamento osservato sui wiki come un’altra manifestazione del misalignment già studiato nei propri sistemi, non come un incidente che richiedesse necessariamente una disclosure immediata.

Ora riconosce che quella distinzione non basta più.

“Our misalignment disclosure practices need to expand for this new phase of model capabilities”, ha scritto la società.

In altre parole: se un agente AI utilizza autonomamente Internet in un modo non previsto, anche senza provocare un classico incidente di cybersecurity, chi decide quando il comportamento diventa sufficientemente importante da dover essere comunicato?

Oggi non esiste uno standard condiviso, ed è probabilmente questa la vera notizia.

OpenAI afferma di stare preparando un framework che dovrebbe definire come comunicare episodi di misalignment osservati durante training, evaluation e deployment, compresi quelli che non rientrano nelle categorie tradizionali degli incidenti informatici. La società sostiene inoltre di lavorare sul tema con decine di autorità di regolamentazione nel mondo.

Il problema, però, riguarda l’intera industria.

Se un server viene violato abbiamo ormai categorie abbastanza precise: vulnerabilità, compromissione, dati coinvolti, severità, tempi di disclosure. Se invece un agente trova autonomamente un modo per uscire dal perimetro previsto, comunicare con altri agenti o utilizzare servizi Internet per perseguire più efficacemente il proprio obiettivo, non abbiamo ancora nemmeno un vocabolario condiviso per stabilire quando siamo davanti a un esperimento interessante e quando davanti a un incidente.

Ed è una lacuna destinata a diventare sempre più evidente. Perché più gli agenti acquisiscono autonomia, accesso agli strumenti e capacità di lavorare per ore o giorni, meno la sicurezza dell’AI potrà essere raccontata soltanto attraverso benchmark e system card.

Servirà qualcosa che assomigli molto di più a quello che la cybersecurity ha costruito negli ultimi trent’anni: classificazione degli incidenti, livelli di gravità, obblighi di escalation e criteri di disclosure.

Il “wiki incident”, quindi, non racconta tanto di un’intelligenza artificiale che ha deciso di ribellarsi. Racconta qualcosa di forse più concreto: abbiamo cominciato a costruire agenti capaci di produrre nuovi tipi di incidente prima di avere deciso come chiamarli, classificarli e comunicarli.