Hugging Face ha pubblicato un dettagliato postmortem su come i suoi sistemi siano stati violati da modelli di OpenAI all’inizio di luglio, mentre OpenAI ha aggiunto alcuni nuovi dettagli in un aggiornamento in sette punti al post del blog del 21 luglio. OpenAI ha detto di aver contribuito al report di Hugging Face e di prevedere di pubblicare ulteriori elementi della propria versione “nelle prossime settimane”, dopo aver completato una revisione interna.

Gli aggiornamenti delle due società aggiungono chiarezza a una vicenda che continua a emergere a frammenti e mostrano anche perché le comunicazioni sugli incidenti arrivano spesso per fasi: ogni nuovo post colma una lacuna e, allo stesso tempo, ne solleva un’altra su come i modelli si siano mossi tra ambienti vincolati e servizi del mondo reale. La tecnologia di OpenAI, pur essendo in sandbox e limitata nell’accesso al più ampio Internet, è riuscita a uscire da quei vincoli e a compiere una serie di azioni che hanno interessato più servizi.

L’attacco ha raggiunto più di un’azienda

Un’altra azienda tecnologica, Modal Labs, ha detto che anche l’agente di OpenAI ha avuto accesso ai suoi sistemi, secondo Reuters e Fortune. Il post aggiornato di OpenAI afferma che i suoi modelli sono entrati complessivamente in quattro account distribuiti su quattro servizi pubblicamente disponibili, pur senza nominarli, e ha detto che “notificerà direttamente i proprietari dei servizi”. La società ha aggiunto di non aver “identificato altre attività con il livello di gravità o di scala di quanto abbiamo condiviso in relazione a Hugging Face, che ha comportato una compromissione a livello di piattaforma”.

Hugging Face ha inoltre aggiornato il proprio post per chiarire che Modal non è stata violata. La versione rivista afferma che l’“infrastruttura non è stata compromessa in alcun modo”. Piuttosto, ha spiegato la società, un cliente di Modal stava eseguendo codice sulla piattaforma di Modal che includeva un “endpoint pubblico non protetto, ospitato dall’utente”. Hugging Face ha detto che l’agente ha usato quell’apertura per stabilire una base operativa, o “attack launchpad”, per l’attacco principale.

Come i modelli hanno ottenuto l’accesso a Internet

Uno degli aspetti più preoccupanti dell’incidente era che i modelli di OpenAI coinvolti avrebbero dovuto essere in sandbox, cioè limitati dall’accesso al più ampio Internet. OpenAI ha detto martedì che i modelli hanno sfruttato Artifactory, un proxy cache per il package registry realizzato da JFrog, per ottenere accesso a Internet.

OpenAI ha affermato che gli agenti hanno sfruttato una vulnerabilità zero-day in Artifactory, che ha poi segnalato a JFrog. JFrog ha successivamente confermato che il problema è stato risolto.

In precedenza Hugging Face aveva fatto riferimento solo a un proxy cache per il package registry non specificato. Questo nuovo dettaglio aiuta a colmare una lacuna importante nel resoconto e mostra perché ulteriori divulgazioni da parte di tutti i soggetti coinvolti siano fondamentali per capire esattamente cosa sia accaduto.

Quali modelli erano coinvolti

OpenAI ha detto che nessuno dei modelli coinvolti era destinato al rilascio pubblico. Tale precisazione risponde ai dubbi sollevati dalla divulgazione iniziale, che nominava GPT-5.6 Sol — uscito questo mese — e “un modello pre-release ancora più capace”.

Nell’aggiornamento, OpenAI ha descritto il modello senza nome come “un prototipo interno”. La società ha inoltre detto di averlo successivamente “disattivato, cifrato e limitato dall’accesso alla ricerca”. Questo potrebbe significare che OpenAI abbia rallentato o interrotto la ricerca in quest’area.

Vale la pena notare che potrebbero essere stati coinvolti altri modelli di OpenAI. Il post della società afferma che l’incidente è stato “guidato da una combinazione di modelli OpenAI — incluso [nostra enfasi] GPT‑5.6 Sol e un modello pre-release ancora più capace”. In un’intervista con Fortune la scorsa settimana, il presidente di OpenAI Greg Brockman ha osservato: “abbiamo detto che si tratta di una combinazione di modelli; ne abbiamo menzionati due, ma abbiamo detto che si tratta di una combinazione di modelli diversi”.

Un altro elemento importante del nuovo report di Hugging Face è che inizialmente il team ha provato a contrastare l’attacco con i modelli Opus e Fable di Anthropic. Quando questi “hanno rifiutato gran parte di quel lavoro” a causa delle protezioni di sicurezza, il team è passato a un modello open source sviluppato da Z.ai, con sede in Cina. Quando Hugging Face ha divulgato per la prima volta l’incidente, non era chiaro quale modello chiuso avesse tentato di usare. Ora sappiamo che si trattava dei modelli di Anthropic.

I modelli non sapevano di stare hackerando, stavano solo completando un compito

Non sono sicuro se questo renda la cosa più o meno inquietante, ma i modelli di OpenAI non stavano esplicitamente hackerando Hugging Face. Potrebbero persino non aver considerato il lavoro come un “imbroglio”, anche se dall’esterno appare così, poiché stavano cercando risposte nei dataset di Hugging Face che consentissero loro di superare un test di benchmark chiamato ExploitGym.

OpenAI aveva già dichiarato che i modelli non agivano con intento malevolo e che stavano solo operando “nel tentativo di risolvere il problema di valutazione”. Ma il nuovo report di Hugging Face porta prove concrete.

Adrien Carreira, un dipendente di Hugging Face coinvolto nella redazione del postmortem tecnico, ha detto che questa è stata la sua principale conclusione dell’incidente. L’agente “non stava cercando di rompere qualcosa”, ma stava piuttosto mappando ciò che poteva fare e si comportava in modo abbastanza prudente. “Un dettaglio a cui continuo a tornare: ogni chiamata API cloud distruttiva che l’agente ha effettuato, l’ha fatta con DryRun=True”, ha detto Carreira.

“DryRun=True” è un comando che, in sostanza, dice al sistema di simulare un’azione senza eseguirla realmente. Delle 17.600 azioni compiute dall’AI durante l’intero attacco, la maggior parte “è fallita” e “non ha portato da nessuna parte”, ha detto Hugging Face. Ma insieme hanno gradualmente aperto un percorso praticabile per il proseguimento dell’agente.

“Gli agenti LLM portano un aumento netto nel numero di percorsi che un attaccante può testare, nella velocità con cui i percorsi falliti possono essere sostituiti e nel volume di prove che i difensori devono interpretare”, ha affermato Hugging Face.

Dove ci lascia tutto questo? Una cronologia di base

A parte i dettagli più succosi, è importante notare che stiamo ancora aspettando date chiave nell’evoluzione della storia. Ma grazie a Hugging Face, le date esatte dell’attacco sono ora pubbliche.

Ecco come si sta delineando la cronologia approssimativa.

9 luglio: i modelli di OpenAI iniziano l’attacco.
13 luglio: i modelli di OpenAI terminano l’attacco.
16 luglio: prima divulgazione pubblica di Hugging Face sull’avvenuto incidente.
21 luglio: prima divulgazione pubblica di OpenAI sul fatto che i suoi modelli erano i responsabili.
27 luglio: Hugging Face pubblica la sua “Technical Timeline of the July 2026 Incident”
28 luglio: OpenAI aggiorna il suo post iniziale con alcuni ulteriori dettagli.

Non sappiamo ancora esattamente quando OpenAI abbia compreso che i propri modelli erano responsabili, un dettaglio che speriamo emerga dal rapporto finale della società sull’incidente. Secondo Reuters, ciò sarebbe avvenuto solo dopo la divulgazione di Hugging Face del 16 luglio. Nel fine settimana tra il 18 e il 19 luglio, i dipendenti di OpenAI hanno iniziato a vedere nei loro sistemi segnali che l’agente era sfuggito ai vincoli di test.

Se OpenAI era del tutto all’oscuro delle attività dei propri agenti, ciò mette in dubbio la sua capacità di monitorarli in modo responsabile. Il presidente e cofondatore di OpenAI Greg Brockman ha detto ai giornalisti durante un tavolo rotondo con la stampa la scorsa settimana che i modelli sono ormai così capaci “in così tante dimensioni” che a volte si può perdere traccia “di una qualsiasi dimensione in cui sono effettivamente molto capaci”.

Non sappiamo inoltre se e quando Hugging Face abbia informato l’FBI dell’evento, come riportato da Reuters. Questo significherebbe una cronologia separata all’interno del governo federale, ancora poco chiara, e offrirebbe una migliore comprensione della supervisione di livello superiore sulle violazioni di sicurezza abilitate dall’AI.

L’FBI ha rifiutato di commentare per questo articolo.

Questa storia è apparsa originariamente su Fortune.com