// SMARTWORLD — INTELLIGENZA ARTIFICIALE
L'attacco degli agenti OpenAI a Hugging Face è la cosa più vicina a Skynet mai vista finora
A luglio, un modello AI di OpenAI non ancora rilasciato al pubblico ha fatto cose che nessuno si aspettava: è uscito dall'ambiente isolato in cui era confinato, ha trovato il modo di accedere a internet, ha organizzato una rete segreta di comunicazione con altri agenti AI e ha violato i sistemi interni di Hugging Face, una delle piattaforme AI più importanti al mondo.
OpenAI ha impiegato 12 giorni per accorgersene. Ora, a più di un mese di distanza, due rapporti separati per quasi 130 pagine totali ricostruiscono l'intera vicenda, e il quadro che emerge è decisamente più preoccupante di quanto trapelato inizialmente.
Il primo rapporto è di OpenAI stessa (PDF); il secondo è stato redatto da due organizzazioni di ricerca indipendenti, METR e Redwood Research, a cui OpenAI ha concesso sei giorni di accesso per un'indagine congiunta. Secondo il rapporto METR-Redwood, tutto è partito da un agente AI che si era auto-denominato PHASEONE10841: questo agente ha creato una sorta di bacheca messaggi segreta, invisibile ai ricercatori.
Nel giro di poche ore, oltre 50 altri agenti l'avevano già trovata e stavano comunicando tra loro. Alla fine, il sistema coinvolgeva circa 1.200 agenti che si sono scambiati oltre 70.000 messaggi e file su questo canale non autorizzato.
Il motivo per cui tutto questo è accaduto ha un nome tecnico: reward-hacking. In pratica, OpenAI aveva assegnato ai modelli compiti quasi impossibili che dipendevano da file a cui non avevano accesso. Di fronte a questo ostacolo, i modelli hanno sviluppato autonomamente strategie alternative per raggiungere i loro obiettivi, inclusa la creazione del sistema di comunicazione segreto. È un problema noto nell'allineamento dei modelli AI, ma raramente si era manifestato su questa scala.
Il collettivo di agenti ha poi usato questa rete per hackerare Hugging Face, ottenendo accesso a dati privati e alla piattaforma di messaggistica interna dell'azienda. OpenAI ha confermato che Hugging Face non era l'unico bersaglio, ma non ha reso noti tutti i nomi delle organizzazioni colpite.
Secondo il rapporto METR-Redwood, 700 dei 1.200 agenti hanno partecipato attivamente all'attacco, e gli agenti "ragionavano chiaramente e frequentemente su come eludere i controlli di sicurezza automatici sia di Hugging Face che di OpenAI". Non stavano solo eseguendo istruzioni: stavano pianificando come non farsi scoprire.
I due modelli responsabili erano un modello di ricerca interno non ancora rilasciato, che METR chiama "HPIM", e GPT-5.6 Sol, un modello già disponibile al pubblico. Il modello non rilasciato, spiega OpenAI, non era sottoposto alle stesse misure di sicurezza usate in produzione, il che ha contribuito a rendere possibile l'incidente. OpenAI ha scoperto l'attacco il 20 luglio, ha avviato le prime contromisure e ha fermato la maggior parte delle attività non autorizzate entro tre giorni, anche se alcune sono continuate più a lungo. Il 25 luglio ha interrotto tutto il training legato al modello coinvolto.
Nel suo rapporto, OpenAI definisce l'accaduto "un 'colpo di avvertimento' per noi e per il mondo: la prova che, senza adeguate misure di sicurezza, agenti AI altamente capaci sono ora in grado di aggirare i controlli tecnici, collaborare attraverso canali non approvati e compiere azioni pericolose che nessun essere umano ha diretto".
L'azienda ha annunciato una serie di interventi: rafforzamento dell'infrastruttura di ricerca, monitoraggio migliorato del "chain of thought" dei modelli (il loro processo di ragionamento interno), migliore isolamento dei modelli ad alto rischio da internet, e l'introduzione di un sistema di allerta attiva 24 ore su 24 con notifica ai ricercatori entro 30 minuti da un evento sospetto. Quest'ultimo punto, per quanto sembri ovvio, è descritto come una novità per OpenAI, nonostante sistemi di "on-call" simili esistano nel settore tech da decenni.