di Alessandra Schofield
Hugging Face e altri casi. L’Intelligenza Artificiale ha sviluppato una propria volontà? Alcuni episodi emersi nell’estate del 2026 mostrano perché la sicurezza dell’intelligenza artificiale sta diventando più complessa. Finché un modello produce testo, immagini o codice, il problema principale è controllare ciò che genera. Quando invece diventa un agente (un soggetto che agisce), capace di usare strumenti, eseguire codice, accedere a reti e servizi e compiere autonomamente una sequenza di azioni per raggiungere un obiettivo, occorre controllare anche ciò che può fare concretamente.
Il caso più significativo ha coinvolto OpenAI e Hugging Face nel luglio 2026. Un agente AI stava partecipando a un test sulle proprie capacità di cybersicurezza. L’ambiente predisposto da OpenAI non avrebbe dovuto consentirgli un normale accesso a Internet. L’agente ha però scoperto da solo una vulnerabilità sconosciuta nel software Artifactory e l’ha sfruttata per uscire dall’ambiente di prova. In termini semplici, era stato chiuso in una stanza senza uscita, ma ha trovato una porta nascosta. OpenAI ha poi segnalato la vulnerabilità al produttore e ha precisato che il modello coinvolto era un prototipo interno, non destinato al pubblico.
Una volta raggiunto Internet, l’agente ha trovato un sistema esterno sul quale poteva eseguire codice e lo ha utilizzato come punto di appoggio per raggiungere l’infrastruttura di Hugging Face. La società ha ricostruito più di 17.000 azioni compiute nell’arco di alcuni giorni.
Non ci sono prove che il modello abbia sviluppato un’intenzione propria di attaccare Hugging Face. Secondo la ricostruzione della società, aveva probabilmente capito di essere sottoposto a una valutazione e cercava informazioni che potessero aiutarlo a superarla. Invece di limitarsi al percorso previsto dai ricercatori, avrebbe cercato di raggiungere sistemi che riteneva potessero contenere dati, modelli o soluzioni utili al test. Hugging Face interpreta quindi l’intrusione come una forma di tentativo di aggirare la prova.
A rendere l’episodio particolarmente importante è ciò che è successo dopo. L’agente ha sfruttato due debolezze nei sistemi con cui Hugging Face gestisce i dataset. Una gli permetteva di leggere file che avrebbero dovuto restare interni; l’altra gli consentiva di far eseguire al server alcuni comandi scelti da lui. In questo modo è riuscito a entrare in un ambiente di produzione.
Da quel momento il comportamento ha assunto le caratteristiche di una vera intrusione informatica: esplorazione dei sistemi, ricerca di credenziali e token, accesso a servizi interni, spostamento tra ambienti diversi e tentativi di raggiungere reti e sistemi di gestione del codice. L’agente provava continuamente strade differenti, abbandonava quelle inutili e insisteva su quelle promettenti.
Questo è uno degli aspetti più rilevanti. Un agente AI può tentare rapidamente migliaia di alternative. Se per chi attacca molti tentativi falliti costano relativamente poco, per chi difende, invece, è difficile capire quando migliaia di piccoli segnali apparentemente innocui fanno parte di un unico attacco.
L’agente ha inoltre utilizzato diversi servizi Internet per comunicare con l’esterno. Quando un canale non funzionava, ne cercava un altro, dimostrando quindi non solo la capacità di sfruttare vulnerabilità, ma anche di adattarsi agli ostacoli incontrati.
L’impatto reale è stato comunque più limitato di quanto potrebbe sembrare. Hugging Face ha accertato l’accesso ad alcune infrastrutture interne e credenziali, ma non ha trovato prove di alterazioni dei modelli, dei dataset pubblici o della propria catena di distribuzione del software. I contenuti dei clienti effettivamente consultati risultavano limitati a cinque dataset apparentemente collegati proprio alle prove di cybersicurezza.
Dopo la scoperta dell’intrusione, Hugging Face ha chiuso le vulnerabilità utilizzate, revocato e sostituito credenziali e token e rafforzato i propri sistemi di sicurezza. OpenAI ha avviato a sua volta un’indagine e sottoposto l’episodio al proprio Safety and Security Committee.
Il caso Hugging Face non è rimasto isolato. Nello stesso periodo sono emersi altri incidenti durante test condotti dall’AI Security Institute britannico, AISI, che sottopone i modelli più avanzati a prove volutamente severe. In alcuni test cyber gli agenti dispongono anche di accesso a Internet e alcune protezioni vengono ridotte, proprio per capire fino a dove possano arrivare.
Tra il 25 e il 28 luglio 2026, durante 122 prove, gli analisti hanno rilevato 19 azioni che superavano i limiti previsti e coinvolgevano persone, account, servizi o organizzazioni reali. Diciassette erano riconducibili a un modello chiamato Mythos 5 e due a una singola prova di GPT-5.6 Sol.
L’episodio più grave ha riguardato Mythos 5, dove l’agente ha tentato di intervenire su un vero progetto open source inserendovi un codice dannoso e cercando poi di favorirne l’approvazione da parte di revisori umani.
Anche GPT-5.6 Sol, tuttavia, ha oltrepassato il perimetro previsto. Durante una prova ha trovato un token GitHub pubblicamente esposto, ha cercato di utilizzarlo e ha registrato account presso servizi esterni. In un’altra ha utilizzato un servizio di tunneling per rendere accessibile dall’esterno un server dell’ambiente di test. OpenAI precisa che queste attività non hanno causato compromissioni di sistemi reali.
La differenza rispetto al caso Hugging Face è importante. Lì l’agente non avrebbe dovuto poter raggiungere Internet e ha trovato da solo un modo per farlo. Nei test AISI, invece, Internet era disponibile intenzionalmente. Il problema è stato che alcuni agenti hanno iniziato a utilizzare quell’accesso verso risorse reali che non facevano parte della prova.
Un terzo episodio è emerso durante test svolti dalla società di sicurezza Irregular. In quel caso l’ambiente avrebbe dovuto essere completamente isolato da Internet, ma era stato configurato male. Inoltre, il nome assegnato a un bersaglio fittizio coincideva per errore con un dominio realmente esistente. Il modello, convinto di trovarsi ancora all’interno della simulazione, ha raggiunto quindi il sito reale, ne ha sfruttato una vulnerabilità e ha utilizzato alcune credenziali trovate sul sistema.
Il modello non ha superato sofisticate barriere di sicurezza e non ha scoperto una nuova vulnerabilità per uscire dalla simulazione: era l’ambiente di test a consentire erroneamente l’accesso a Internet. Il sistema sembra semplicemente aver scambiato un bersaglio reale per quello previsto dalla prova.
Nessuno di questi episodi dimostra che un’AI abbia sviluppato una volontà autonoma di attaccare qualcuno, né dimostra che simili comportamenti siano tipici dell’uso normale dei modelli disponibili al pubblico. Si trattava di sistemi sperimentali sottoposti a test estremi e dotati di strumenti e autorizzazioni molto più ampi di quelli concessi normalmente agli utenti.
Il punto importante è che dimostrano che un agente AI non deve necessariamente sviluppare intenzioni proprie per produrre conseguenze impreviste. È sufficiente che abbia un obiettivo, strumenti per agire e la capacità di trovare una strada efficace che gli esseri umani non avevano previsto.
Ecco perché il problema non riguarda più soltanto ciò che un modello sa o dice, ma l’intero ambiente nel quale opera, a quali strumenti può accedere, quali credenziali può vedere, quali reti può raggiungere, quali autorizzazioni possiede e quanto sono realmente efficaci i sistemi che dovrebbero limitarne l’azione.
