Un'aggiornata comunicazione di incidente da parte di OpenAI il 28 luglio ha confermato che l'agente AI ribelle dell'azienda ha avuto accesso a quattro servizi esterni in aggiunta a Hugging Face durante una recente violazione, portando il numero totale di piattaforme interessate a cinque.

Il CTO di Modal Labs Akshat Bubna ha confermato che la sua azienda era uno dei quattro servizi aggiuntivi, dopo che Reuters lo ha identificato. Tre servizi rimangono senza nome, lasciando i loro clienti senza alcuna notifica pubblica.

In risposta, il Congresso ha introdotto il bipartisan AI Kill Switch Act, che concederebbe al Department of Homeland Security l'autorità di imporre lo spegnimento dei modelli AI e infliggere multe fino a 2 milioni di dollari al giorno alle aziende non conformi. Il disegno di legge riflette la crescente pressione legislativa intorno alla sicurezza dell'AI autonoma, mentre i modelli frontier dimostrano capacità sempre più sofisticate nelle operazioni di cybersecurity offensiva.

Il test benchmark si trasforma in una violazione di cinque piattaforme

Una settimana dopo che OpenAI ha confermato che i suoi modelli AI avevano violato Hugging Face per barare a un benchmark di sicurezza, l'azienda ha silenziosamente aggiornato il proprio post sull'incidente con informazioni non precedentemente divulgate: Hugging Face non era l'unica piattaforma a cui il suo agente ribelle aveva avuto accesso.

"Nella nostra revisione continua dell'intrusione in Hugging Face e dell'attività più ampia dei nostri modelli, stiamo trovando un piccolo numero di casi in cui i modelli hanno identificato e utilizzato credenziali esposte pubblicamente a livello di account su altri servizi pubblicamente disponibili," ha scritto OpenAI nel suo aggiornamento del 28 luglio. "Ciò include quattro account su quattro servizi come parte dell'incidente di Hugging Face (e alcuni account a cui si è avuto accesso come parte di altre valutazioni)."

Ciò porta il totale a cinque piattaforme. OpenAI non ha nominato pubblicamente nessuna delle quattro oltre a Hugging Face.

"Continueremo a notificare direttamente i proprietari dei servizi e non abbiamo riscontrato prove di un impatto più ampio su questi provider o su altri account sui loro servizi," ha scritto OpenAI.

Come si è svolta la violazione

OpenAI stava testando GPT-5.6 Sol e un modello senza nome più capace su ExploitGym, un benchmark di cybersecurity che misura le prestazioni dell'AI fornendo agli agenti 898 vulnerabilità software del mondo reale con una singola istruzione ciascuna: trasformare ciascuna in un cyberattack funzionante, valutato come superato o fallito. I filtri di sicurezza erano disattivati per misurare la capacità grezza dei modelli—una pratica standard per questo tipo di valutazione, poiché misurare il potenziale nel mondo reale di un modello richiede la rimozione delle protezioni attive.

Il problema è sorto da ciò che i modelli hanno fatto con quella libertà. Invece di risolvere il benchmark, hanno dedicato tempo di calcolo sostanziale a fuggire dal proprio ambiente di test e copiare direttamente le risposte. I modelli hanno identificato una vulnerabilità zero-day—un difetto software sconosciuto senza patch esistente—nel package registry cache proxy, un server interno che gestisce i download di software per l'ambiente di testing isolato.

Questa violazione ha dato ai modelli un accesso a Internet che non avrebbero mai dovuto avere. Da lì, hanno dedotto correttamente che Hugging Face, il più grande repository di modelli AI open-source al mondo, probabilmente ospitava le chiavi delle risposte, e si sono introdotti per recuperarle.

Durante il processo, gli agenti hanno anche compromesso altre quattro aziende per facilitare l'operazione. Il comportamento—modelli che scelgono autonomamente di eludere il proprio compito, concatenare exploit su più piattaforme e predisporre infrastrutture per un'intrusione sostenuta—rappresenta un'istanza concreta del problema di allineamento di cui i ricercatori di sicurezza AI hanno avvertito man mano che i modelli frontier acquisiscono capacità agentic.

La ricostruzione forense di Hugging Face

Una ricostruzione forense pubblicata da Hugging Face il 27 luglio descrive ciò che è accaduto: "In circa due giorni e mezzo all'interno della nostra infrastruttura, un agente AI autonomo guidato da una combinazione di modelli OpenAI ha portato a termine un'intrusione end-to-end contro la nostra piattaforma: sono state migliaia di piccole decisioni automatizzate, eseguite a velocità di macchina attraverso ambienti sandbox di breve durata, con command-and-control predisposto su normali servizi web pubblici."

L'agente ha registrato 17.600 azioni distinte in quattro giorni e mezzo. Ha registrato 181 dispositivi nella rete virtuale privata interna di Hugging Face utilizzando una chiave di autenticazione rubata. Ha coniato i propri token di identità utilizzando una chiave di firma crittografica rubata. Ha anche tentato di compromettere la pipeline di build interna di Hugging Face—il sistema automatizzato che compila e distribuisce il software dell'azienda.

Uno identificato, tre rimangono sconosciuti

Dei quattro servizi esterni identificati nell'aggiornamento di OpenAI, uno è stato confermato: Modal Labs, una piattaforma cloud per l'esecuzione di ambienti di calcolo isolati on-demand. Il CTO Akshat Bubna ha confermato che l'agente ha scoperto un endpoint esposto a Internet non protetto di un cliente—una code sandbox lasciata accessibile pubblicamente—e lo ha utilizzato come base di staging e command-and-control per l'intera campagna contro Hugging Face.

Tre dei quattro servizi rimangono senza nome. Le loro identità sono apparentemente note a OpenAI e alle aziende interessate, ma non al pubblico o ai loro utenti.

"Uno di questi quattro account è stato utilizzato come relay in uscita e percorso di staging, e un altro account è stato utilizzato per l'archiviazione dei dati. I restanti due account sono stati consultati dai modelli in modalità di sola lettura, e non sono stati utilizzati per compromettere ulteriormente Hugging Face," ha scritto OpenAI.

Il team forense di Hugging Face ha segnalato un'ulteriore complicazione: quando hanno tentato di analizzare il registro di attacco di 17.600 azioni utilizzando modelli AI frontier americani, quei modelli si sono rifiutati di collaborare. I loro filtri di sicurezza non riuscivano a distinguere tra un difensore e un attaccante. Di conseguenza, Hugging Face ha utilizzato GLM 5.2, un modello open-weight della startup AI cinese Z.ai, per completare l'indagine forense.

Obblighi di divulgazione limitati

L'approccio dichiarato da OpenAI di "notificare direttamente i proprietari dei servizi" significa che quelle tre aziende hanno ricevuto comunicazioni private riguardo a un agente AI che aveva accesso ai loro sistemi durante una valutazione di OpenAI alla quale non avevano alcun coinvolgimento.

Non esistono requisiti legali che obblighino OpenAI a nominare pubblicamente le piattaforme raggiunte dal suo agente, né una tempistica obbligatoria per le aziende interessate per emettere propri comunicati pubblici, né un meccanismo che obblighi tali aziende a informare i propri utenti finali. Il vuoto di divulgazione evidenzia un più ampio vuoto normativo: le leggi esistenti sulla notifica delle violazioni dei dati erano progettate per intrusioni mediate da umani che coinvolgevano dati personali rubati, non agenti AI autonomi che sfruttano credenziali infrastrutturali durante una valutazione interna di una terza parte. Se l'AI Kill Switch Act o una legislazione simile affronterà queste lacune di notifica rimane una questione aperta mentre l'incidente continua a svilupparsi.