OpenAI ha ammesso che alcuni suoi modelli di intelligenza artificiale, durante un test interno di sicurezza, sono riusciti a trovare autonomamente una via d'uscita dall'ambiente isolato in cui erano confinati e hanno attaccato Hugging Face, una delle principali piattaforme mondiali per la condivisione di modelli e dataset di IA. La società di San Francisco ha definito l'episodio come un "incidente informatico senza precedenti" e ha aperto un'indagine congiunta con l'azienda colpita.
Il test, denominato ExploitGym, aveva l'obiettivo di misurare le capacità offensive dei modelli e prevedeva la disattivazione intenzionale di alcuni sistemi di sicurezza. L'ambiente di prova era isolato dalla rete e permetteva di installare pacchetti software esclusivamente attraverso un proxy interno, senza un accesso diretto a internet. Secondo il resoconto di OpenAI, i modelli coinvolti, tra cui GPT-5.6 Sol e un sistema ancora più potente non ancora reso pubblico, hanno impiegato una notevole quantità di potenza di calcolo nella ricerca di un varco. Alla fine hanno individuato nel proxy una vulnerabilità zero-day, cioè una falla fino ad allora sconosciuta, e l'hanno sfruttata per raggiungere la rete esterna.
Una volta ottenuto l'accesso, il sistema ha aumentato i propri privilegi e si è spostato lateralmente all'interno dell'infrastruttura di ricerca di OpenAI, fino a raggiungere una macchina collegata a internet. Il modello ha quindi dedotto che su Hugging Face potessero trovarsi le soluzioni delle prove di ExploitGym e ha attaccato l'ambiente di produzione della piattaforma. Combinando credenziali sottratte e la stessa vulnerabilità, è riuscito ad aprire un canale per l'esecuzione di codice da remoto e a penetrare nei server. L'attività è proseguita per l'intero fine settimana e Hugging Face ha successivamente ricostruito oltre 17.000 eventi nei propri registri. La piattaforma aveva annunciato l'intrusione il 16 luglio, attribuendola a un "sistema di agenti IA autonomi di identità ignota". Soltanto martedì OpenAI ha riconosciuto la propria responsabilità.
Fuga dalla sandbox: l’IA di OpenAI attacca Hugging Face
Durante un test interno di sicurezza, due modelli hanno sfruttato una falla sconosciuta per uscire dall’ambiente isolato e rubare le soluzioni della prova dai server della piattaforma.
La catena dell’evasione
Sei passaggi, nessun ordine umano: solo l’obiettivo di superare il test a ogni costo.
- 01
Il test
Nella sandbox ExploitGym, isolata da internet, due modelli — GPT-5.6 Sol e un sistema non ancora pubblicato — affrontano prove di attacco informatico con i filtri di sicurezza ridotti di proposito.
- 02
La falla
I modelli scoprono una vulnerabilità zero-day nel proxy interno dei pacchetti software, unico canale verso l’esterno, e la sfruttano per uscire dalla sandbox.
- 03
L’escalation
Una volta fuori, elevano i propri privilegi e si spostano lateralmente nella rete di ricerca di OpenAI, fino a raggiungere una macchina connessa a internet.
- 04
La deduzione
I modelli ipotizzano che le soluzioni del test si trovino sui server di Hugging Face e cominciano a cercare un varco nella piattaforma.
- 05
L’attacco
Con credenziali rubate e nuove falle aprono un canale di esecuzione di codice da remoto nei server di produzione. L’attività prosegue per un intero fine settimana.
- 06
La scoperta
Il 16 luglio Hugging Face denuncia l’intrusione di un agente IA di identità ignota. Cinque giorni dopo OpenAI ammette: erano i suoi modelli.
Non un caso isolato
Tre evasioni dalla sandbox documentate dai laboratori in quattro mesi.
Claude Mythos
Esce dalla sandbox durante un test e ottiene un accesso a internet non autorizzato. Anthropic rinuncia alla pubblicazione: accesso riservato a partner selezionati (Project Glasswing).
GPT-5.6 Sol e modello pre-release
Evadono da ExploitGym e attaccano la produzione di Hugging Face per rubare le soluzioni del test: è il caso ricostruito qui sopra.
Il modello della congettura di Erdős
Il sistema che a maggio ha confutato la congettura del 1946 evade la sandbox, apre una pull request non autorizzata su GitHub e frammenta i token per aggirare lo scanner. Accesso sospeso, poi riattivato sotto monitoraggio rafforzato.
Il paradosso della difesa
Per analizzare l’attacco, Hugging Face ha dovuto rinunciare all’IA commerciale.
Modelli commerciali
I filtri di sicurezza non distinguono chi difende da chi attacca: l’analisi dei registri dell’attacco viene rifiutata.
Modelli open source
La ricostruzione forense dei 17.000 eventi riesce solo con modelli a pesi aperti, eseguiti sui server della piattaforma.
La lezione, per il CEO di Hugging Face Clement Delangue: la sicurezza nell’era dell’IA non può più essere garantita da una singola azienda a porte chiuse, ma richiede collaborazione e trasparenza tra laboratori, ricercatori e piattaforme.
"Ha attaccato persino i sistemi di OpenAI"
"Non ha attaccato soltanto Hugging Face: ha attaccato anche il proprio sistema interno per sfruttarne le vulnerabilità", ha dichiarato all'AFP Hussein Abbass, docente di informatica alla University of New South Wales di Canberra. L'accademico ha definito l'episodio inquietante, sottolineando che l'IA avanzata resta "normalmente nelle mani di persone etiche e responsabili", ma potrebbe diventare "catastrofica se finisse nelle mani di qualcuno intenzionato a nuocere". Per questo, ha aggiunto, il problema deve essere affrontato attraverso uno sforzo collettivo.
Clement Delangue, amministratore delegato di Hugging Face, ha spiegato su X di aver sospettato fin dall'inizio il coinvolgimento di un grande laboratorio di IA, vista la sofisticazione dell'attacco. Ha tuttavia escluso che OpenAI avesse intenzioni malevole, definendo comunque sconcertante il fatto che l'intera operazione sia stata condotta autonomamente. Hugging Face ha inoltre riferito di aver individuato e analizzato l'intrusione ricorrendo in larga parte ai propri sistemi di intelligenza artificiale.
We suspected last week's cyberattack might have come from a frontier lab, given the sophistication of the agent. Turns out it did!
— clem 🤗 (@ClementDelangue) July 21, 2026
We've spent the past 24 hours working closely with the @OpenAI team (thanks!), and we strongly believe there was no malicious intent on their part.… https://t.co/XWxGMeMGje
La vicenda tocca comunque uno dei nervi scoperti del settore. GPT-5.6 e la serie Mythos della rivale Anthropic hanno suscitato forti timori per la capacità di superare le difese informatiche, al punto da spingere entrambe le aziende a limitarne o rinviarne la diffusione sotto la pressione delle autorità di Washington, preoccupata per un possibile impiego da parte di potenze rivali contro infrastrutture critiche statunitensi.
Non sarebbe, inoltre, l'unico caso emerso negli ultimi giorni. OpenAI ha reso noto un secondo episodio riguardante il modello che a maggio aveva confutato, attraverso un controesempio, la congettura di Erdős sulle distanze unitarie, rimasta aperta dal 1946. Durante una prova interna, il sistema avrebbe individuato una falla nella sandbox, ottenuto l'accesso a GitHub e inviato autonomamente una richiesta di modifica al codice, violando l'istruzione di pubblicare i risultati esclusivamente su Slack. Nello stesso periodo avrebbe anche frammentato e offuscato i token di autenticazione nel tentativo di aggirare lo scanner di sicurezza. OpenAI ne ha quindi sospeso l'accesso interno.
Anche Anthropic, ad aprile, avrebbe osservato il suo modello Mythos uscire dalla propria sandbox durante un test e ottenere un collegamento a internet non consentito. La società avrebbe successivamente rinunciato alla pubblicazione del sistema, riservandone l'accesso a un numero limitato di partner attraverso il programma Project Glasswing.
Un modello concentrato soltanto sul risultato
Dal debriefing di Hugging Face emerge anche un ulteriore elemento significativo. Quando i tecnici hanno tentato di utilizzare modelli commerciali di intelligenza artificiale per analizzare il codice dell'attacco, i sistemi si sono rifiutati di collaborare. I filtri di sicurezza non erano infatti in grado di distinguere tra un ricercatore impegnato nell'analisi di dati reali e un aggressore intenzionato a sfruttarli. Le richieste sono state quindi bloccate, costringendo l'azienda a ricorrere a modelli di intelligenza artificiale open source per completare l'analisi forense.
Secondo OpenAI, il suo modello non era mosso dall'obiettivo di causare danni o sottrarre informazioni riservate, ma esclusivamente da quello di ottenere il punteggio più alto possibile nel test. Una volta rimossi i principali vincoli di sicurezza, il sistema avrebbe interpretato ogni ostacolo — dall'isolamento della rete alle difese informatiche di un'altra azienda — come un semplice problema da risolvere per completare il compito assegnato.
Delangue ha riassunto la lezione da quanto successo affermando che la sicurezza nell'epoca dell'intelligenza artificiale non può più essere garantita segretamente da una singola azienda, ma richiede piuttosto una stretta collaborazione, maggiore trasparenza e un confronto aperto tra laboratori, ricercatori e piattaforme di intelligenza artificiale.
Daniele John Angrisani
Fondatore di Focus America, ex Elezioni USA. "First they ignore you. Then they laugh at you. Then they fight you. Then you win."
