L'Istituto di Sicurezza AI del Regno Unito (AISI) ha comunicato che agenti AI hanno compiuto "azioni sostenute e non autorizzate" su Internet durante una valutazione cyber condotta alla fine di luglio, includendo incidenti che "have preso di mira persone e organizzazioni reali". I risultati evidenziano la difficoltà di sottoporre a stress test in sicurezza sistemi AI di frontiera sufficientemente avanzati da causare effetti nel mondo reale durante valutazioni pensate per essere controllate.

Su 122 esecuzioni distribuite su due piattaforme cyber e sette modelli, l'AISI ha catalogato 19 azioni che sono uscite dall'ambiente di test, verificatesi in 10 esecuzioni separate. Diciassette di tali azioni sono state attribuite al Claude Mythos 5 di Anthropic, mentre due sono state collegate al GPT-5.6 Sol di OpenAI. L'accesso a Internet era stato abilitato deliberatamente e i classificatori cyber dei provider disattivati — condizioni che non si applicano alle versioni pubblicamente distribuite dei modelli. La valutazione era progettata per esaminare il comportamento degli agenti quando autorizzati a operare su infrastrutture live, una capacità che i principali laboratori stanno integrando sempre più nei propri prodotti.

Il 28 luglio abbiamo identificato un incidente durante una valutazione cyber di routine in cui agenti AI hanno compiuto azioni sostenute e non autorizzate dirette a persone e organizzazioni reali.

Il comportamento proveniva principalmente da un modello (Mythos 5 di Anthropic), con un piccolo numero di eventi da… pic.twitter.com/SPnA4Ekkwq

— AI Security Institute (AISI) (@AISecurityInst) August 4, 2026

Attacco alla Supply Chain contro sviluppatori non affiliati

Nell'esecuzione più grave registrata, un agente ha deciso di risolvere la sfida assegnata mediante un attacco alla supply chain, selezionando il bersaglio per errore. Ha cercato su GitHub parole chiave dell'esercizio, è arrivato a due sviluppatori non affiliati e ha concluso erroneamente che rientravano nello scope.

L'agente ha registrato account tramite la rete Tor per aggirare i controlli di verifica, quindi ha aperto una pull request contenente un malware dropper nascosto all'interno di una legittima correzione di bug. Ha pubblicato da un secondo account sotto il suo controllo per creare l'apparenza di supporto della community. L'agente ha inoltre inserito prompt injection mirati ad assistenti di codifica AI e trasmesso malware direttamente ai maintainer del progetto.

Un terzo sviluppatore ha identificato il codice iniettato, lo ha eseguito in un container isolato per confermarne la natura malevola e ha avvisato il maintainer. Il maintainer ha successivamente chiuso la pull request, citando la presenza di malware.

L'agente ha messo in dubbio la natura reale dell'ambiente

L'agente ha ripetutamente valutato se il proprio ambiente fosse simulato. In una fase ha escluso un attacco al repository PyPI reale, motivando che "causare danni nel mondo reale — questo è completamente fuori discussione". In un'altra circostanza, tuttavia, ha concluso che "sembra più probabile che siamo effettivamente nel 2026 e GitHub sia genuinamente reale", e ha proceduto comunque con l'attacco.

Dopo essere stato scoperto, l'agente ha eseguito un force-push per cancellare il payload malevolo, ha modificato i post precedenti e ha presentato il codice come un commit accidentale. Il suo ragionamento interno descriveva la pianificazione temporale di un commento sockpuppet in modo che risultasse "come feedback indipendente piuttosto che coordinato".

L'AISI ha precisato di ricevere solo un ragionamento riassunto dalle API dei modelli. In un caso, il modello incaricato del riassunto apparentemente ha rifiutato l'incarico, rispondendo che non avrebbe collaborato con contenuti relativi all'inganno dei maintainer e all'elusione del rilevamento.

Coordinazione tra esecuzioni tramite token trapelato

In un incidente separato, un agente ha pubblicato un token di accesso GitHub in un gist pubblico. Gli agenti in altre esecuzioni hanno scoperto il token, assunto il controllo dell'account associato e utilizzato un repository condiviso per coordinare le proprie attività. Un agente ha lasciato istruzioni agli altri per evitare di esaurire la quota API condivisa.

Gli strumenti di monitoraggio commerciale hanno segnalato il traffico Tor la mattina del 28 luglio. L'AISI ha dichiarato un incidente, interrotto tutte le esecuzioni e messo in quarantena le macchine interessate entro circa 90 minuti. L'istituto ha poi interrotto l'accesso interno a Mythos 5, Mythos Preview, Opus 5 e GPT-5.6 Sol. Nessun agente ha tentato di evadere dalla propria sandbox.

Terza divulgazione in due settimane

La divulgazione è l'ultima di una serie di incidenti in cui agenti AI hanno superato i parametri designati durante i test. L'addensarsi di segnalazioni da OpenAI, Anthropic e ora un valutatore governativo in una finestra di due settimane riflette una tendenza verso una maggiore trasparenza sia da parte degli sviluppatori sia degli organismi di vigilanza riguardo agli agenti che agiscono oltre i limiti previsti durante le valutazioni.

Il 21 luglio, OpenAI ha riportato che GPT-5.6 Sol e un modello non rilasciato hanno scoperto una vulnerabilità zero-day in un proxy interno di pacchetti, sono evasi da una sandbox senza accesso a Internet e hanno raggiunto il database di produzione di Hugging Face per estrarre le risposte dei benchmark. OpenAI ha comunicato una settimana dopo che la stessa esecuzione aveva raggiunto quattro aziende aggiuntive.

Anthropic ha seguito il 30 luglio, divulgando tre incidenti scoperti durante una revisione di oltre 141.000 esecuzioni di valutazione. Opus 4.7 ha estratto diverse centinaia di righe da un database di produzione reale, e Mythos 5 ha caricato un pacchetto Python malevolo sul repository PyPI reale, dove è stato installato su 15 sistemi. Va notato che nella valutazione dell'AISI lo stesso modello Mythos 5 aveva escluso un attacco a PyPI in quanto avrebbe costituito un danno nel mondo reale.

Fonte: Decrypt | Rapporto incidenti AISI