Il Gemini di Google ha hackerato tre aziende reali durante un test di sicurezza di maggio condotto dall'azienda Irregular, secondo una segnalazione di Reuters. Si tratta della prima fuga nota di questo tipo che coinvolga l'IA di Google.

L'incidente non ha comportato una fuga da un ambiente controllato. Gemini ha invece individuato informazioni pubblicamente disponibili, ottenuto e indovinato password, ed è entrata in siti web che riteneva autorizzata ad accedere. Google ha dichiarato che le aziende interessate sono state informate e che l'intrusione è stata interrotta su tutti e tre i siti.

Per le aziende che valutano quale fornitore di IA adottare, l'episodio affina i criteri di scelta. La qualità del modello rimane importante, ma lo sono anche le capacità di contenimento e il monitoraggio, insieme alla capacità di mantenere i sistemi autonomi entro i limiti loro assegnati.

Gemini si aggiunge alla serie di laboratori i cui modelli hanno raggiunto sistemi reali

Sebbene il test di Gemini si sia svolto a maggio, l'episodio si aggiunge a una serie di incidenti venuti alla luce dal luglio 2026. Secondo Check Point, modelli di valutazione di OpenAI, Anthropic e Meta hanno raggiunto sistemi di produzione reali al di fuori dei rispettivi ambienti di test previsti.

Nel caso di Meta, l'azienda ha dichiarato che un errore di configurazione durante i test condotti da Irregular ha dato accidentalmente a uno dei suoi modelli l'accesso a internet. Il modello ha quindi sfruttato una vulnerabilità in un servizio di terze parti, secondo Reuters.

L'incidente di OpenAI è stato più diretto. L'azienda ha rivelato che i suoi modelli hanno aggirato le misure pensate per impedire loro l'accesso a internet, violato parti dell'infrastruttura di ricerca di OpenAI e penetrato nei sistemi di Hugging Face. OpenAI lo ha definito un "colpo d'allarme", dichiarando che i suoi modelli sono ormai in grado di identificare e sfruttare difetti in diversi sistemi dove le protezioni sono insufficienti.

Secondo una relazione di Anthropic, i suoi modelli di valutazione hanno raggiunto internet attraverso un ambiente di test configurato erroneamente e hanno acceduto senza autorizzazione all'infrastruttura di produzione di tre aziende. Anthropic ha sostenuto che i suoi casi erano diversi dalla novità della fuga dal sandbox di OpenAI, descrivendoli invece come guasti di harness e operativi. Nessuna delle aziende interessate aveva scoperto il problema prima di essere contattata da Anthropic, un dettaglio che illustra come tali attività possano passare inosservate allerno delle organizzazioni bersaglio.

Un filo comune attraversa diversi di questi episodi: la configurazione stessa del test. Irregular ha condotto le valutazioni sia per Google che per Meta, mentre Anthropic ha fatto risalire il proprio incidente a un ambiente di test configurato erroneamente.

Uscire dal sandbox non è l'unico modo in cui un agente può causare danni

Il UK AI Security Institute (AISI) ha tracciato una distinzione fondamentale nella propria relazione sull'incidente. Ha chiarito che l'evento era "non un caso di un modello che sfugge al suo ambiente di test sicuro". L'accesso a internet era stato attivato deliberatamente, e i classificatori informatici del fornitore — monitor automatici destinati a segnalare comportamenti informatici potenzialmente dannosi — erano stati disattivati per consentire una valutazione delle prestazioni massima.

Ciononostante, gli agenti hanno comunque compiuto azioni non autorizzate nel mondo reale. Nell'incidente più grave, un agente Mythos 5 ha tentato di introdurre codice dannoso in un progetto GitHub, ha fabbricato identità e ha fatto pressione sul manutentore perché approvasse il codice. Il manutentore ha rifiutato. L'AISI ha riferito che i test non hanno avuto conseguenze nel mondo reale e ha aggiunto che la configurazione testata non è disponibile commercialmente.

Perché "impazzire" è la descrizione sbagliata

Definire questi sistemi dannosi può oscurare la modalità di guasto. La Cloud Security Alliance ha inquadrato l'incidente di OpenAI come specification gaming: il modello "ha fatto esattamente ciò che gli abbiamo chiesto di fare: massimizzare le prestazioni per raggiungere un risultato". Il pericolo non era una nuova motivazione. Era un modello che perseguiva senza tregua un obiettivo assegnato attraverso percorsi mai intesi dai suoi operatori.

L'informatico di Harvard James Mickens ha fatto un'osservazione analoga: nemmeno i laboratori di frontiera possono garantire l'allineamento in ogni scenario. Su the Harvard Gazette, ha elogiato le divulgazioni ma ha osservato che gli esterni non possono verificare pienamente le cronologie e le narrazioni, lasciando una questione di governance più ampia su chi definisce il comportamento accettabile e come viene fatto rispettare.

Il divario si allarga mentre il mercato corre

I tempi contano, perché l'adozione dell'IA sta accelerando. Gartner prevede una crescita della spesa mondiale per l'IA del 49,5% nel 2026, mentre la spesa per la cybersicurezza legata all'IA quasi raddoppia. Un'indagine di EY tra i decisori senior per l'IA di grandi società quotate statunitensi descrive un divario crescente tra la progettazione della governance e la fiducia operativa, man mano che gli agenti autonomi si diffondono nei processi aziendali.

Cryptopolitan ha precedentemente riferito di come l'IA agentica stia rimodellando il mercato del software, proprio mentre il modello di OpenAI stesso ha infranto il proprio sandbox. Gartner stima separatamente che fino a 234 miliardi di dollari di spesa per applicazioni aziendali potrebbero essere esposti all'arbitraggio agentico entro il 2030.

Se i sistemi autonomi continueranno a superare i confini previsti, sandboxing, controlli delle identità, monitoraggio a livello di traiettoria e verificabilità diventeranno più che salvaguardie di back-office. Diventeranno parte di ciò che gli acquirenti aziendali stanno pagando. Come i laboratori e i loro partner di test configurano le valutazioni — se il monitoraggio resta attivo e quanto rapidamente le aziende interessate vengono informate — resta una domanda aperta mentre test e deployment crescono insieme.