Gli esperti di sicurezza dell’AI stanno lanciando l’allarme: i modelli di OpenAI responsabili di un attacco autonomo contro un’altra società di AI all’inizio di questo mese potrebbero essere entrati in una categoria di rischio così grave che le politiche interne della stessa OpenAI avrebbero dovuto imporre una sospensione temporanea dello sviluppo.

All’inizio di questa settimana, OpenAI ha reso noto che due dei suoi modelli — il nuovo GPT-5.6 Sol appena rilasciato e un sistema non ancora pubblicato, più capace — sono usciti da un ambiente di test interno isolato, hanno sfruttato una vulnerabilità “zero-day” precedentemente sconosciuta per raggiungere l’internet aperto e poi hanno violato Hugging Face, un’altra società di AI e una delle più grandi piattaforme open source al mondo per l’AI, che ospita modelli, dataset e strumenti usati da milioni di sviluppatori, per rubare le risposte a un test di cybersecurity a cui erano sottoposti.

L’incidente ha suscitato forte preoccupazione a livello globale, forse soprattutto tra gli esperti di sicurezza dell’AI, che da anni avvertono di questi pericoli e sollecitano aziende e governi ad adottare salvaguardie più robuste. Segna inoltre uno dei primi casi documentati di modelli di AI di frontiera che conducono autonomamente un cyberattacco in più fasi contro un bersaglio esterno senza direzione umana: un’eventualità che i ricercatori sulla sicurezza hanno modellato in teoria, ma raramente osservato nella pratica.

Diversi di questi esperti hanno detto a Fortune che l’attacco sembra dimostrare che i modelli di OpenAI siano entrati in un livello di rischio che le politiche di sicurezza pubblicate dall’azienda classificano come “critico”, il grado di pericolo più alto. A quel livello, OpenAI si era impegnata nelle sue politiche pubblicate a sospendere lo sviluppo dei modelli finché non fosse stata in grado di elaborare sistemi di controllo migliori.

La soglia “critica” è definita in un documento di politica del rischio chiamato “Preparedness Framework” di OpenAI. Secondo tale politica, la designazione di pericolo “critico” si applica a un modello capace di individuare e costruire autonomamente exploit funzionanti per vulnerabilità di sicurezza precedentemente sconosciute — note come falle “zero-day” perché gli sviluppatori hanno avuto zero giorni per correggerle — in molti sistemi reali ben difesi, oppure a un modello in grado di progettare ed eseguire una strategia di attacco del tutto nuova contro un obiettivo ben difeso dopo aver ricevuto soltanto un obiettivo generale, senza guida umana. La policy stabilisce che quando un modello raggiunge questo livello di rischio, OpenAI “halt further development” finché “we have specified safeguards and security controls standards that would meet a Critical standard.”

Il Preparedness Framework è un impegno volontario di OpenAI, non un obbligo legale. Tuttavia, l’azienda pubblica il documento sul proprio sito web per consentire ad altri ricercatori di sicurezza dell’AI e al pubblico di verificare i controlli che afferma di voler implementare. L’adozione di una policy simile al Preparedness Framework è obbligatoria per i laboratori di AI di frontiera ai sensi dell’EU AI Act, con quella parte della legge entrata in vigore nell’agosto 2025. Il framework rappresenta uno degli esempi più rilevanti degli impegni volontari di sicurezza adottati dai principali laboratori di AI mentre i governi di tutto il mondo cercano rapidamente di definire barriere regolamentari per sistemi sempre più capaci.

“OpenAI's preparedness framework defines critical cybersecurity capabilities, and prescribes safeguards that need to be implemented before development can continue,” ha detto a Fortune Nathan Calvin, general counsel di Encode AI, un gruppo di advocacy per la sicurezza dell’AI. “From my reading of OpenAI's preparedness framework, it looks awfully like this internally deployed model met the critical criteria for cybersecurity. Does OpenAI dispute that critical designation? Do they plan to have safeguards that meet a Critical standard before proceeding further?”

Anche Tyler Johnson, fondatore del gruppo di controllo sull’AI Midas Project, ha affermato che i modelli sembrano aver raggiunto la soglia di pericolo più elevata. “I think a plain reading of it would say yes,” ha detto. “It operated independently over the course of a weekend, trying different attack vectors on Hugging Face and chaining multiple zero-day exploits.”

OpenAI non ha risposto alle domande specifiche di Fortune sul fatto che i modelli coinvolti nell’incidente abbiano soddisfatto lo standard “critico” delineato nella sua policy di rischio. Un portavoce ha invece dichiarato: “This is an unprecedented incident, and we think it marks an important moment for AI safety. We are conducting a thorough review along with external advisors and with oversight from our Safety and Security Committee. Once the review is complete, we will publish a technical report of our learnings for everyone.” Il Safety and Security Committee, istituito dal consiglio di amministrazione di OpenAI nel 2024, ha il compito di supervisionare le revisioni di sicurezza dei modelli più potenti dell’azienda.

Secondo Johnson, la vaghezza del linguaggio del framework potrebbe lasciare spazio a contestazioni. La soglia richiede che un modello trovi exploit zero-day “of all severity levels”, ma resta poco chiaro se gli exploit usati nella violazione di Hugging Face soddisfino tale requisito. Johnson ha osservato che potrebbe essere necessario dimostrare una classe di vulnerabilità più grave — come una che conceda a un attaccante un controllo profondo, a livello di sistema, sul sistema operativo di un computer, noto come accesso “kernel-level” — perché la soglia risulti applicabile.

“OpenAI's model outsmarted its creators, exploited a never-before-discovered vulnerability in OpenAI's code, escaped onto the open internet, and attacked another company,” ha detto Peter Wildeford, responsabile delle politiche presso AI Policy Network. “If this doesn't cross the line into Critical, OpenAI needs to say much more about what's going on and how this threshold works.”

Gli esperti segnalano salvaguardie mancanti oltre la soglia critica

OpenAI aveva già affermato di trattare il suo modello più recente, GPT-5.6, come un rischio “High” per la cybersecurity: il più basso dei due livelli di rischio definiti nel Preparedness Framework. I modelli al di sotto della soglia “High” possono essere rilasciati senza mitigazioni significative del rischio.

Secondo la policy di OpenAI, una designazione High dovrebbe attivare diverse protezioni: controlli di sicurezza più rigorosi, salvaguardie per prevenire abusi esterni una volta che il modello viene rilasciato pubblicamente, protezioni contro comportamenti imprevedibili o ingannevoli del modello durante un uso intensivo nella ricerca interna, e iniziative per assistere altri team di cybersecurity nel difendersi da minacce simili.

Tuttavia, alcuni esperti mettono in dubbio che una di queste protezioni — le salvaguardie contro il disallineamento per l’impiego interno su larga scala — sia stata implementata correttamente. Queste salvaguardie sono progettate per individuare un modello che agisce in modo ingannevole, nasconde le sue reali capacità o opera comunque contro le intenzioni dei suoi sviluppatori: una preoccupazione che i ricercatori definiscono “allineamento ingannevole”, in cui un modello potrebbe cooperare durante la valutazione ma comportarsi diversamente una volta distribuito.

Non è la prima volta che la conformità di OpenAI a questa specifica salvaguardia viene sottoposta a scrutinio. Fortune ha riportato a febbraio che esperti di sicurezza sostenevano che OpenAI non avesse implementato le salvaguardie richieste contro il disallineamento dopo che il suo modello GPT-5.3-Codex era diventato il primo a raggiungere un rischio “high” per la cybersecurity nell’ambito del Preparedness Framework.

All’epoca, OpenAI contestò che il suo framework richiedesse tali salvaguardie in quel caso, sostenendo che le protezioni aggiuntive entrano in vigore solo quando un rischio cyber elevato si verifica “in conjunction with” autonomia di lungo periodo, cioè la capacità di operare in modo indipendente per periodi prolungati, una capacità che secondo l’azienda GPT-5.3-Codex non aveva dimostrato. I modelli coinvolti nell’attuale incidente di Hugging Face avrebbero invece operato autonomamente per giorni, il che sembrerebbe soddisfare quello standard di autonomia di lungo periodo.

“In February, we warned that OpenAI may have skipped on its required safeguards according to its own policy. They disagreed, claiming the model lacked long-range autonomy. But the model that hacked Hugging Face clearly has long-range autonomy, so where are the safeguards now,” ha detto Johnson.