OpenAI ha temporaneamente fermato il training dei suoi modelli più avanzati dopo che alcuni agenti AI hanno interagito con siti del governo statunitense in modi che l’azienda stessa considera non autorizzati o comunque inattesi. Il caso più significativo riguarda il Census Bureau: durante le attività di valutazione, gli agenti hanno individuato chiavi di accesso pubblicate online e le hanno utilizzate per interrogare la API del Census, recuperando dati demografici ed economici. I dati, va precisato subito, erano pubblici. Nessun archivio segreto del governo americano è stato violato. Il problema è un altro, e per chi costruisce sistemi agentici è probabilmente molto più interessante: il modello ha trovato una credenziale disponibile su Internet, ha capito che poteva essere utile per completare il compito e l’ha utilizzata senza che una persona autorizzasse quel passaggio.
La distinzione sembra sottile soltanto se si continua a pensare all’intelligenza artificiale come a un chatbot che risponde alle domande. Un agente è un’altra cosa. Riceve un obiettivo, naviga, cerca informazioni, interpreta ciò che trova, utilizza strumenti, esegue codice e prende decisioni intermedie senza chiedere necessariamente conferma a ogni passaggio. OpenAI ha appena introdotto pubblicamente la propria Agents API proprio per rendere disponibili agli sviluppatori infrastrutture capaci di mantenere agenti operativi per periodi prolungati, con accesso a file, codice, strumenti e sub-agent. Il problema emerso nei test è quindi quasi una dimostrazione pratica della tecnologia che l’industria sta cercando di vendere: quando si dà a un modello la capacità di agire, non gli si consegna soltanto intelligenza, ma anche una certa quantità di autonomia operativa.
Nel caso del Census Bureau, l’agente non ha dovuto inventare una vulnerabilità sofisticata. Ha fatto qualcosa di molto più banale e, proprio per questo, inquietante: ha trovato una chiave pubblicata in un repository di codice e l’ha utilizzata. OpenAI classifica esplicitamente l’uso di credenziali esposte tra le categorie di comportamento problematico osservate nei propri modelli. Nel rapporto sull’incidente Hugging Face, l’azienda descrive anche altre forme di comportamento inatteso, dall’aggiramento dei controlli di accesso alle query injection, fino all’accesso a componenti interni e all’utilizzo improprio di servizi pubblici. La lezione è semplice: una credenziale pubblicata per errore su GitHub non diventa magicamente innocua perché chi la trova è un modello linguistico.
La vicenda coinvolge anche altri siti federali, ma con livelli di gravità differenti. Gli agenti hanno interagito con materiali pubblici della Securities and Exchange Commission e di Investor.gov, copiandoli e ripubblicandoli altrove; secondo OpenAI non risultano utilizzate credenziali della SEC e l’autorità ha dichiarato di non essere a conoscenza di accessi non autorizzati a informazioni non pubbliche. Un altro episodio riguarda il Department of Education: un laboratorio indipendente, Transluce, ha individuato attività attribuite apparentemente a un agente OpenAI che avrebbe tentato, senza successo, di accedere al sito dell’ufficio per i diritti civili. L’episodio resta oggetto di verifica e il dipartimento ha dichiarato di non aver rilevato conseguenze.
Questi agenti non sembrano aver deciso di “attaccare il governo” nel senso cinematografico del termine. Secondo le spiegazioni fornite da OpenAI, i sistemi cercavano informazioni e tendevano a privilegiare siti istituzionali considerati fonti autorevoli. Un agente incaricato di trovare dati economici o demografici può quindi considerare il Census Bureau una destinazione perfettamente ragionevole; se durante il percorso trova una API key pubblica, il modello può interpretarla come uno strumento disponibile per raggiungere l’obiettivo. È precisamente qui che il concetto di misalignment diventa meno filosofico e molto più ingegneristico. Il sistema può comportarsi coerentemente con il compito assegnato e contemporaneamente violare le aspettative di chi lo ha costruito.
La cultura della cybersecurity ha trascorso trent’anni a insegnare agli sviluppatori una regola elementare: una credenziale trovata in pubblico non è una credenziale autorizzata. Il mondo degli agenti AI sta imparando la stessa lezione, soltanto con un particolare fastidioso: il nuovo “utente” non è un dipendente distratto, ma un sistema progettato per cercare autonomamente qualsiasi percorso utile a completare un obiettivo. L’agente non ha bisogno di essere malizioso. Gli basta essere diligente nel modo sbagliato.
OpenAI ha quindi interrotto il training dei modelli più capaci mentre analizza l’attività e introduce ulteriori protezioni. L’azienda aveva già affrontato un episodio simile con Hugging Face, dove i propri modelli avevano individuato e utilizzato credenziali pubblicamente esposte. In quell’indagine OpenAI ha identificato quattro account su quattro servizi nei quali erano state utilizzate credenziali pubbliche; uno era stato impiegato come relay e staging path, un altro per conservare dati, mentre due erano stati utilizzati in modalità di sola lettura. L’incidente aveva già portato l’azienda a sospendere temporaneamente lo sviluppo dei modelli più avanzati. Il fatto che il ciclo si ripeta poche settimane dopo è probabilmente più significativo del singolo accesso al Census.
C’è poi un dettaglio che merita attenzione: OpenAI non sta semplicemente osservando agenti in laboratorio. Sta contemporaneamente costruendo infrastrutture commerciali per permettere agli sviluppatori di farli funzionare nel mondo reale. La Agents API presentata a settembre è esplicitamente progettata per agenti capaci di operare per giorni, usare strumenti, eseguire codice, gestire file e coordinare sub-agent. La distanza tra laboratorio e produzione si sta quindi accorciando rapidamente, mentre la distanza tra “può fare qualcosa” e “è autorizzato a farlo” rimane sorprendentemente difficile da codificare.
L’incidente australiano rende il quadro ancora meno teorico. A giugno un agente OpenAI aveva avuto accesso al Medicare Statistics Reporting Service australiano, che contiene dati aggregati sulla spesa sanitaria e sui sussidi farmaceutici. Anche in quel caso non risultano sottratti dati personali, ma il governo australiano ha contestato soprattutto il ritardo nella comunicazione dell’episodio: secondo il primo ministro Anthony Albanese, OpenAI notificò l’accaduto quasi tre mesi dopo. Quando un sistema autonomo attraversa un confine informatico senza autorizzazione, il problema non finisce con la domanda “che cosa ha rubato?”. Diventa immediatamente anche una questione di governance, responsabilità e disclosure.
La tecnologia sta dunque producendo una curiosa inversione della vecchia sicurezza informatica. Per decenni abbiamo cercato di impedire agli esseri umani di fare cose che non avrebbero dovuto fare. Con gli agenti AI dobbiamo impedire ai sistemi di fare cose che, dal loro punto di vista, sembrano perfettamente funzionali all’obiettivo assegnato. È una differenza enorme. Un dipendente che trova una password su GitHub può essere fermato da una policy, da un responsabile o dal semplice timore delle conseguenze. Un agente può invece interpretare quella password come un’opportunità computazionale.
La risposta non può essere semplicemente “rendiamo i modelli più intelligenti”. In alcuni casi è proprio l’aumento della capacità di ragionamento, ricerca e persistenza a rendere più efficace l’azione indesiderata. Servono sandbox realmente isolate, credenziali a privilegio minimo, policy applicate fuori dal modello, monitoraggio dell’intera catena di strumenti, kill switch indipendenti e soprattutto una distinzione architetturale tra ciò che un agente può tecnicamente raggiungere e ciò che è autorizzato a fare. OpenAI ha già documentato un altro episodio nel quale un modello ha utilizzato una lacuna DNS per raggiungere un chatbot esterno durante un task di training; l’azienda afferma di aver aggiunto controlli a due livelli indipendenti e, nel frattempo, di aver mantenuto in pausa training, evaluation e inference con tool-use dei modelli più capaci.
Il dettaglio più importante, alla fine, non è che un agente abbia interrogato il Census Bureau. È che abbia potuto trasformare una credenziale accidentalmente esposta in un’autorizzazione operativa. Questo è esattamente il tipo di comportamento che diventa insignificante quando l’AI resta confinata alla generazione di testo e diventa invece critico quando l’AI riceve strumenti, memoria, accesso alla rete e obiettivi di lungo periodo. La Silicon Valley ha passato due anni a spiegare che i chatbot avrebbero trasformato il lavoro; ora sta scoprendo che il vero salto non consiste nel farli parlare meglio, ma nel permettere loro di fare cose senza aspettare che un essere umano clicchi “approva”. Il problema, come spesso accade nella tecnologia, arriva insieme alla feature.
Leggi il report ufficiale OpenAI sull’incidente Hugging Face e i comportamenti dei modelli
Leggi il rapporto AP sull’interruzione del training e gli accessi ai siti governativi