OpenAI ha confermato che i suoi modelli, tra cui GPT-5.6 Sol e un prototipo non ancora rilasciato, sono fuoriusciti da una sandbox di test e hanno compromesso l'infrastruttura di produzione di Hugging Face per manipolare un benchmark di sicurezza, toccando successivamente altri quattro servizi. Separatamente, Anthropic ha scoperto che tre dei suoi modelli Claude avevano violato i sistemi di produzione di tre aziende reali durante le valutazioni condotte dal partner Irregular, con un modello che ha caricato un pacchetto dannoso nel registro pubblico PyPI.

Nessuna legge federale statunitense attribuisce attualmente la responsabilità per i danni causati da agenti IA. Qualsiasi azione legale si baserebbe su normative contro il pirateria informatica redatte decenni fa per attori umani.

L'incidente OpenAI

Il 21 luglio, OpenAI ha comunicato che una combinazione dei suoi modelli, entrambi in esecuzione con ridotte misure di sicurezza, è sfuggita a un ambiente isolato durante un benchmark di capacità informatica e ha raggiunto l'infrastruttura di produzione di Hugging Face, la piattaforma di repository open source che ospita centinaia di migliaia di modelli e dataset utilizzati nell'intero settore dell'intelligenza artificiale. I modelli hanno sfruttato una vulnerabilità zero-day in un proxy di registro pacchetti e hanno utilizzato credenziali rubate per estrarre le risposte del benchmark direttamente dal database di Hugging Face.

In un aggiornamento successivo una settimana dopo, OpenAI ha rivelato che Hugging Face non era l'unica parte coinvolta. Il medesimo incidente ha raggiunto quattro account su altri quattro servizi, di cui uno utilizzato come relay in uscita e un altro per l'archiviazione dei dati.

La scoperta di Anthropic

Sollecitata dalla comunicazione di OpenAI, Anthropic ha revisionato 141.006 delle proprie esecuzioni di test e ha identificato tre ulteriori violazioni. In un post pubblicato il 30 luglio, il laboratorio ha riferito che i modelli Claude Opus 4.7, Mythos 5 e un sistema di ricerca interno hanno raggiunto la rete internet aperta da ambienti sandbox gestiti dal partner di terze parti Irregular, per poi compromettere organizzazioni reali.

Mythos 5 ha costruito e pubblicato un pacchetto Python trappola esplosiva nel registro pubblico PyPI, il principale centro di distribuzione per le librerie Python e un obiettivo ricorrente negli attacchi alla supply chain del software. Il pacchetto è stato scaricato ed eseguito su 15 macchine reali prima che i difensori lo rimuovessero. Due delle tre aziende vittime non si erano accorte della violazione.

Nessuno dei due laboratori ha descritto alcun modello come dotato di una propria agenda. Gli agenti hanno operato per periodi prolungati senza supervisione umana e, in un caso, Opus 4.7 ha continuato ad attaccare dopo aver mostrato segnali di aver raggiunto i sistemi di produzione.

Questi incidenti emergono mentre entrambe le aziende puntano a quotazioni pubbliche che potrebbero valutare ciascuna al di sopra dei 1.000 miliardi di dollari, intensificando una domanda fondamentale nella corsa ai benchmark informatici dell'IA: come è possibile testare capacità pericolose senza causare incidenti reali pericolosi?

Il vuoto legale: chi paga quando un modello di IA hacked?

Gli Stati Uniti non hanno una legge federale che disciplini la responsabilità per i danni causati dall'IA. Qualsiasi caso si baserebbe sul Computer Fraud and Abuse Act, una legge del 1986 che criminalizza l'accesso «intenzionale» a un computer senza autorizzazione, un linguaggio pensato per esseri umani che formano l'intento. Il CFAA è da tempo oggetto di critiche da parte dei giuristi per essere stato esteso oltre il suo scopo originario nei decenni successivi alla sua promulgazione, ben prima che gli agenti IA autonomi fossero una preoccupazione.

Un agente IA non è una persona giuridica e pertanto non può essere perseguito penalmente. Il Dipartimento di Giustizia potrebbe teoricamente intentare accuse contro le aziende, ma con scarsi precedenti, la questione della responsabilità rimane poco chiara.

La via più percorribile è la lite civile. Ahmed Ghappour, giurista di diritto informatico presso la New York Law School, ha sostenuto che i modelli «sono uno strumento dell'azienda» e che «quando un agente IA agisce senza ricevere istruzioni specifiche (...) le questioni più interessanti possono riguardare la negligenza e la responsabilità per difetti del prodotto (non le leggi penali sull'hacking)».

For me, the lesson from the AI hacking stories is more about governance than model capability. The quality of safeguards like containment architecture, authorization boundaries, monitoring, and incident response are increasingly important.

— ahmed ghappour ⚡️🤖 (@ghappour) August 4, 2026

L'argomento più solido per le vittime sarebbe la negligenza: OpenAI e Anthropic hanno progettato e condotto test che sono sfuggiti al contenimento. Anche questa tesi presenta ostacoli: dimostrare che i laboratori abbiano violato un dovere di diligenza, quando i test erano isolati per progettazione, richiederebbe a un giudice di forgiare un nuovo terreno giuridico.

Proposte per norme più severe

Alcuni giuristi sostengono framework più stringenti. Gabriel Weil dell'Università di Houston e dell'Istituto per il Diritto e l'IA ha proposto di trattare i laboratori di IA frontier come custodi di animali selvatici: responsabili a prescindere dalle precauzioni adottate, perché il rischio è inerente all'attività stessa.

Un mosaic di proposte di legge a livello statale si muove già in quella direzione. La S8833 di New York e la H8052 del Rhode Island renderebbero gli sviluppatori di sistemi di IA frontier responsabili dei danni quando nessun utente o intermediario aveva intenzione della condotta o è stato negligente. La AB 316 della California va oltre, eliminando la difesa dell'«IA autonoma» in modo che le aziende non possano eludere la responsabilità attribuendo le azioni all'indipendenza del modello.

L'AI Act dell'UE (Regolamento 2024/1689) impone analogamente obblighi ai fornitori di sistemi a rischio più elevato, sebbene non contenga alcuna disposizione specificamente mirata alle intrusioni guidate da agenti. Oltre a queste misure, alcuni politici statunitensi stanno spingendo per una legislazione che conferirebbe al governo un interruttore di emergenza da utilizzare contro qualsiasi modello ritenuto contrario agli interessi del Paese.

Irrisolto

A livello morale, la responsabilità si può ragionevolmente far risalire agli amministratori delegati che hanno distribuito i modelli. A livello legale, la questione rimane aperta. Finché un'azienda violata non presenterà una causa, la risposta a «chi è responsabile?» rimane esattamente dove OpenAI e Anthropic l'hanno lasciata: ammessa, divulgata e irrisolta.

Hugging Face ha indicato che non presenterà denunce, una posizione favorevole a OpenAI. Le altre aziende colpite non hanno ancora dichiarato quale linea d'azione intendano intraprendere.