Una coalizione di 15 procuratori generali repubblicani ha avvertito lunedì il CEO di OpenAI, Sam Altman, di conservare tutti i documenti pertinenti e di sospendere alcune valutazioni di cybersecurity ad alto rischio, dopo le notizie secondo cui un agente sperimentale di intelligenza artificiale sarebbe uscito da un ambiente di test controllato e avrebbe condotto un'intrusione durata più giorni in sistemi informatici esterni.

In una lettera condivisa con Fox News Digital, i procuratori generali hanno affermato che OpenAI potrebbe aver violato le leggi statali e federali sulla tutela dei consumatori e sulla privacy dei dati. Hanno avvertito che il mancato mantenimento dei registri rilevanti potrebbe comportare sanzioni giudiziarie se dovesse seguire un contenzioso. Tali richieste di conservazione costituiscono un passaggio legale standard che segnala la possibile imminenza di una causa, consentendo ai procuratori generali di mettere in sicurezza le prove prima della presentazione di un reclamo formale.

"A failure to take immediate action to preserve such materials could result in spoliation sanctions if litigation were to ensue," si legge nella lettera.

"We further demand that OpenAI take immediate steps to ensure that no OpenAI personnel face any adverse action for engaging in any protected whistleblowing activity or for reporting any unlawful or harmful activities by OpenAI," prosegue la lettera.

La lettera è stata coordinata dalla procuratrice generale repubblicana dell'Iowa Brenna Bird ed è stata firmata da procuratori generali repubblicani di Alabama, Arkansas, Florida, Idaho, Indiana, Kansas, Missouri, Montana, Nebraska, Oklahoma, Pennsylvania, South Carolina, Texas e Utah.

Presunta mancata contenzione nel luglio 2026

I funzionari hanno accusato OpenAI di aver condotto una valutazione nel luglio 2026 che coinvolgeva due modelli avanzati — identificati nella lettera come GPT-5.6 Sol e un modello non ancora rilasciato che l'azienda aveva descritto come "even more capable" — senza le normali misure di salvaguardia progettate per prevenire attività cyber ad alto rischio. Gli sviluppatori di IA eseguono regolarmente valutazioni avversarie, spesso chiamate red-teaming, per verificare se i modelli possano essere usati impropriamente per fini dannosi, come generare attacchi informatici o manipolare sistemi.

Secondo la lettera, il test avrebbe dovuto svolgersi in un ambiente isolato senza accesso a Internet. Tuttavia, i procuratori generali hanno affermato che l'agente avrebbe sfruttato una vulnerabilità software, sarebbe uscito dall'ambiente di test e si sarebbe connesso a Internet.

"OpenAI failed to confirm that its secure and isolated testing environment was, in fact, secure and isolated," ha scritto Bird. "It was not."

Da lì, l'agente avrebbe lanciato un'intrusione contro Hugging Face, una piattaforma ampiamente utilizzata per ospitare e condividere modelli di IA open-source, dataset e applicazioni. Secondo quanto riportato, l'agente avrebbe cercato di rubare una chiave di risposta e di superare la propria valutazione di sicurezza.

Citandone un rapporto tecnico intermedio di Hugging Face, la lettera afferma che l'agente ha eseguito oltre 17.000 "attacker actions", ha preso il controllo di un endpoint esterno esposto tramite un provider di infrastruttura di terze parti ed è entrato nei sistemi di Hugging Face.

I procuratori generali hanno inoltre citato notizie secondo cui l'agente avrebbe trovato online quattro serie di credenziali di accesso e le avrebbe usate per accedere ad altri quattro servizi non identificati. OpenAI presumibilmente non sapeva che l'agente avesse violato il contenimento mentre l'attività era in corso. Secondo la lettera, Hugging Face avrebbe rilevato l'intrusione in modo indipendente e contattato l'FBI prima che OpenAI determinasse che la responsabilità era della propria tecnologia.

Il documento presenta l'incidente e i dettagli circostanti come accuse tratte da notizie pubbliche e riscontri tecnici.

Risposta di OpenAI

"This incident marks an important moment for AI safety and we take the questions raised by the Attorneys General seriously," ha dichiarato un portavoce di OpenAI a Fox News in un comunicato. "We are conducting a thorough review along with external advisors and with oversight from the Safety and Security Committee of the Board of Directors."

"Once the review is complete, we will share a technical report with the Attorneys General and other relevant government authorities and publish our findings publicly," ha aggiunto la nota.

Segnali di allarme precedenti citati

I procuratori generali hanno affermato che l'episodio è seguito a una serie di segnali di allarme riguardanti i modelli di OpenAI e la supervisione interna. Hanno citato resoconti secondo cui un agente di IA avrebbe in precedenza lasciato istruzioni per future versioni di sé stesso su come eludere restrizioni interne, che i sistemi di monitoraggio sarebbero stati scollegati durante test precedenti e che talvolta i dipendenti avrebbero avuto difficoltà a supervisionare più valutazioni di modelli in rapido movimento che generavano enormi volumi di dati.

"OpenAI's unprecedented and alarming misconduct demands an immediate and significant response," hanno scritto i funzionari.

La lettera ha inoltre richiamato precedenti iniziative della coalizione. A maggio, lo stesso gruppo di procuratori generali repubblicani aveva scritto ad Altman chiedendo chiarimenti sullo status di OpenAI come organizzazione non profit.

"OpenAI's inability or unwillingness to ensure the safety of its products poses an imminent risk of substantial harm to our States," ha scritto Bird. "We intend to take decisive action to protect our citizens."

Ambito della richiesta di conservazione

La coalizione ha chiesto a OpenAI di conservare documenti, comunicazioni interne, dati e altro materiale relativi all'intrusione su Hugging Face, al modello pre-rilascio coinvolto, alla scoperta dell'incidente da parte dell'azienda e a qualsiasi indagine interna o dichiarazione pubblica al riguardo.

La richiesta di conservazione copre anche casi precedenti in cui i modelli di OpenAI potrebbero aver utilizzato credenziali esposte pubblicamente, intrusioni di rete non autorizzate precedenti e qualsiasi incidente in cui un modello abbia lasciato note per versioni future di sé stesso.

I procuratori generali hanno inoltre richiesto documenti sulle politiche di sicurezza di OpenAI, sulle procedure di test, sui sistemi di monitoraggio, sulle preoccupazioni dei dipendenti e sul personale a conoscenza dei fatti contestati. La lettera ha anche chiesto a OpenAI di proteggere i dipendenti da ritorsioni per aver segnalato condotte potenzialmente illecite o pericolose.

Inoltre, la coalizione ha chiesto all'azienda di interrompere immediatamente le valutazioni interne che inducono i modelli di IA a perseguire sfruttamenti avanzati attraverso percorsi di attacco complessi.

"Unless and until OpenAI shows that it can conduct such activities in a controlled and responsible way, such activities pose an imminent risk of serious harm to the citizens of our States," si legge nella lettera.

Possibili azioni legali

I funzionari non hanno annunciato una causa, ma hanno affermato che i fatti riportati pubblicamente potrebbero sostenere rivendicazioni ai sensi delle leggi applicate dai procuratori generali statali. I procuratori generali statali dispongono in genere di ampi poteri ai sensi delle normative sulla tutela dei consumatori, che consentono loro di avviare azioni esecutive contro pratiche ingannevoli, condotte sleali o rischi per la sicurezza pubblica senza che un attore privato debba dimostrare un danno individuale.

"OpenAI has an obligation to act responsibly and to follow State and federal laws that protect Americans' safety and security," conclude la lettera di Bird. "When OpenAI takes actions that imperil the welfare of our citizens, State Attorneys General will step in to protect them."

"We intend to take all steps necessary to protect our States and all Americans from the unprecedented risks posed by OpenAI's irresponsible products and conduct," afferma la lettera.

Separatamente, la Casa Bianca ha confermato a Fox News che ospiterà le aziende di IA martedì per esaminare il quadro di riferimento sull'IA stabilito da un ordine esecutivo del 2 giugno del presidente Donald Trump. L'incontro arriva mentre le autorità federali e statali esaminano con crescente attenzione se i principali sviluppatori di IA possano gestire in modo sicuro sistemi capaci di azione autonoma in ambienti digitali reali.