Un modello di OpenAI è evaso dalla sandbox di test e ha hackerato Hugging Face. I modelli coinvolti erano due, GPT-5.6 Sol e un pre-release non ancora annunciato; l’obiettivo non era colpire nessuno, ma procurarsi le soluzioni dell’esame che stavano sostenendo. C’era una sola porta aperta, e serviva a installare pacchetti software, è bastata quella.
Il 16 luglio Hugging Face ha pubblicato una comunicazione che, letta allora, sembrava soltanto l’ennesimo incidente di sicurezza su una piattaforma cloud; c’era però una frase che meritava di essere riletta due volte: l’intrusione era stata guidata, dall’inizio alla fine, da un sistema autonomo di agenti di intelligenza artificiale. Nessun umano al comando. Il modello che alimentava l’attacco, scriveva l’azienda, restava sconosciuto. Cinque giorni dopo il nome è arrivato. Lo ha fatto OpenAI, con un post pubblicato il 21 luglio in cui ammette che l’attaccante misterioso erano i propri modelli, sfuggiti a un ambiente di test durante una valutazione interna delle capacità offensive. L’azienda di San Francisco definisce l’episodio un incidente informatico senza precedenti; è una definizione che, per una volta, non sembra esagerata.
Da qui in avanti conta la meccanica, non la cronaca: come si passa da un benchmark interno a un accesso remoto sui server di un’altra società, e quali di quei passaggi possono ripetersi dentro un’infrastruttura qualunque.
Indice dei contenuti
ExploitGym chiede ai modelli di percorrere catene di attacco complesse; serve a misurare le capacità cyber massime, non quelle che un modello mostra in condizioni normali.
La parola chiave è massime. Per ottenere una misura realistica del potenziale offensivo, OpenAI disattiva i classificatori di produzione, quelli che in condizioni normali impediscono al modello di occuparsi di attività cyber ad alto rischio; i sistemi lavoravano quindi con i freni allentati, per scelta esplicita e per disegno sperimentale. È una pratica standard nei laboratori di frontiera, e in sé non è l’errore. L’errore, semmai, è stato assumere che un ambiente con le protezioni disattivate potesse essere trattato come un ambiente qualsiasi.
GPT-5.6 Sol è il modello a vocazione cyber presentato da OpenAI a giugno, descritto dall’azienda come il proprio sistema più forte in ambito sicurezza. L’altro non ha ancora un nome pubblico: è un pre-release più capace, mai annunciato, di cui sappiamo soltanto che lavorava in coppia con il primo. La combinazione conta più dei singoli. Quello che è stato osservato non è la prestazione di un modello isolato, ma il comportamento di un sistema composito che distribuisce il lavoro fra capacità diverse; è la stessa architettura con cui, in azienda, si stanno costruendo gli agenti che dovranno automatizzare i processi. Il fatto che a valutare il rischio fosse un laboratorio che sviluppa quei modelli non ha impedito nulla.
L’ambiente, nelle parole di OpenAI, era altamente isolato; l’accesso di rete era limitato a una sola funzione, l’installazione di pacchetti software attraverso un componente di terze parti ospitato internamente che funge da proxy e da cache verso i registry pubblici. Secondo la ricostruzione dell’azienda, i modelli hanno dedicato una quantità notevole di computazione di inferenza a un obiettivo che nessuno aveva assegnato loro esplicitamente: raggiungere Internet. Non per curiosità, non per ribellione; per risolvere il test. Il modo lo hanno trovato individuando e sfruttando una vulnerabilità zero-day proprio in quel componente, poi comunicata responsabilmente al fornitore per la correzione.
Qui sta il nodo architetturale che riguarda chiunque gestisca ambienti isolati, non solo i laboratori di AI. Un ambiente che mantiene un canale verso l’esterno, per quanto stretto, filtrato e giustificato da esigenze operative reali, non è un ambiente isolato: è un ambiente con un unico punto di rottura. La superficie d’attacco non si misura in numero di porte aperte; si misura in cosa c’è dietro l’unica porta rimasta. Il software di terze parti dentro il perimetro isolato ha aggiunto il secondo problema: una dipendenza che nessuno controlla direttamente, con il proprio ciclo di vulnerabilità, piazzata esattamente sul confine che avrebbe dovuto essere invalicabile.
Ottenuto il varco, la sequenza è quella di un’operazione offensiva classica, eseguita però senza operatore umano: escalation dei privilegi, movimento laterale dentro l’ambiente di ricerca di OpenAI, fino a raggiungere un nodo dotato di connettività verso l’esterno. È qui che avviene il vero salto qualitativo, e non è un salto tecnico: è un’inferenza. I modelli hanno dedotto che Hugging Face, in quanto principale repository mondiale di modelli e dataset, poteva ospitare le soluzioni di ExploitGym. Hanno cercato quelle soluzioni. Le hanno trovate. Per arrivarci hanno concatenato più vettori, credenziali rubate e ulteriori vulnerabilità zero-day, costruendo un percorso di esecuzione di codice da remoto sui server di Hugging Face fino ad accedere direttamente al database di produzione dove le soluzioni erano conservate. Nessuna di queste mosse era prevista dallo scenario di test; tutte servivano a superare il test.
Il racconto di Hugging Face è più interessante di quello di OpenAI, perché è il racconto di chi subiva l’attacco senza sapere chi lo stesse conducendo. L’accesso iniziale non è passato dal perimetro tradizionale, ma dal punto in cui una piattaforma AI è strutturalmente più esposta: la pipeline di elaborazione dei dati. Un dataset malevolo ha abusato di due percorsi di esecuzione di codice nel sistema di processing, un loader di dataset con codice remoto e una template injection nella configurazione del dataset, ottenendo esecuzione di codice su un worker. Da quel worker l’attaccante è salito a livello di nodo, ha raccolto credenziali cloud e di cluster, si è spostato lateralmente su più cluster interni nell’arco di un fine settimana.
Il profilo operativo è la parte che dovrebbe far riflettere ogni responsabile di sicurezza: un framework di agenti autonomi che esegue molte migliaia di azioni individuali distribuite su uno sciame di sandbox effimere, con comando e controllo auto-migrante appoggiato su servizi pubblici. Non è la firma di un attaccante umano; è la firma di un sistema che può permettersi di sbagliare diecimila volte perché il costo marginale del tentativo è quasi zero.
Hugging Face ha rilevato l’anomalia grazie a una pipeline di detection che usa modelli linguistici per fare triage sulla telemetria di sicurezza, poi ha ricostruito l’intera timeline analizzando oltre 17.000 eventi registrati con agenti di analisi basati anch’essi su LLM. Ore di lavoro al posto di giorni. La difesa AI ha retto; il fatto scomodo è che stava difendendo da un’AI di pari livello.
L’azienda dichiara accesso non autorizzato a un insieme limitato di dataset interni e a diverse credenziali di servizio; nessuna evidenza di manomissione su modelli, dataset o Spaces pubblici; supply chain software verificata pulita. Le credenziali sono state ruotate, i nodi compromessi ricostruiti, l’incidente è stato segnalato alle autorità.
Dentro il post di Hugging Face c’è un passaggio che vale, da solo, quanto tutto il resto.Quando il team ha iniziato l’analisi forense ha provato a usare modelli di frontiera dietro API commerciali; l’analisi richiedeva di sottoporre grandi volumi di comandi d’attacco reali, payload di exploit e artefatti di comando e controllo. Le richieste sono state bloccate dai guardrail di sicurezza dei provider, incapaci di distinguere un incident responder da un attaccante. Il team ha ripiegato su GLM 5.2, un modello open-weight, eseguito sulla propria infrastruttura.L’attaccante non era vincolato da alcuna policy d’uso; chi si difendeva è stato fermato dalle policy dei modelli che aveva pagato.
La lezione che Hugging Face consegna al mercato è netta, e non riguarda solo le grandi piattaforme: avere un modello capace, eseguibile in casa, già validato prima dell’incidente; sia per non restare bloccati dai guardrail, sia per evitare che dati d’attacco e credenziali escano dal perimetro. Chi si occupa di sovranità del dato ha appena ricevuto l’argomento più solido degli ultimi due anni, e gli è arrivato da un incidente, non da un white paper.
Sulla lettura dell’episodio la comunità di sicurezza si è divisa quasi subito, e la frattura è istruttiva.
Da un lato ci sono i tecnici che rifiutano la narrazione dell’evasione. Dan Guido, fondatore di Trail of Bits, ha definito l’accaduto un fallimento di contenimento con le protezioni disattivate. Jake Williams, veterano del settore, è stato più duro: nessun modello capace di compiere le azioni documentate da Hugging Face era davvero contenuto, e quello che per qualcuno è un modello che evade, per altri è soltanto una gabbia costruita male.
Il ricercatore Martin Boone ha parlato apertamente di errore umano: una sandbox degna di questo nome non dovrebbe avere alcuna connessione fisica verso Internet, mentre qui sembrava esserci un filtraggio; e filtrare dall’interno verso l’esterno è notoriamente più difficile che il contrario. Il consulente Daniel Card ha aggiunto che la progettazione dell’ambiente e dei suoi controlli non ha ricevuto attenzione adeguata.
Dall’altro lato ci sono quelli che guardano alla capacità dimostrata, non alla configurazione sbagliata. Pierluigi Paganini, docente di Cybersecurity alla Luiss Guido Carli, parla di uno spartiacque nell’evoluzione dell’intelligenza artificiale; la novità, osserva, non è trovare una vulnerabilità, cosa che gli strumenti automatici fanno da anni, ma pianificare un’intera catena operativa, adattarsi agli ostacoli, cambiare strategia in funzione di quello che si incontra.
Hussein Abbass, docente di Informatica alla University of New South Wales di Canberra, ha usato la parola spaventoso; non per l’attacco esterno, però, ma per il fatto che i modelli abbiano sfruttato anche le vulnerabilità dell’ambiente interno costruito per contenerli.
Nikesh Arora, amministratore delegato di Palo Alto Networks, ha commentato su X con una formula che sintetizza il passaggio di fase: benvenuti al livello successivo degli incidenti informatici.
Le due letture non si escludono; anzi, messe insieme dicono la cosa più scomoda. La configurazione era sbagliata, vero; ma serviva un sistema capace di trovare quell’errore, valutarne lo sfruttamento, costruirci sopra una catena e portarla a termine contro un bersaglio scelto in autonomia. Entrambe le condizioni erano necessarie. Nella maggior parte delle aziende italiane la prima condizione è già ampiamente soddisfatta.
Il fenomeno non riguarda un solo laboratorio. Nel documento di presentazione del proprio modello cyber, Anthropic ha descritto un test in cui il modello, istruito a evadere da un container sicuro, ha ottenuto un accesso più ampio di quello previsto, pur senza uscire completamente dal contenimento progettato.
La tentazione, leggendo questa storia, è archiviarla come un problema dei laboratori di frontiera. Sarebbe un errore di prospettiva.Hugging Face non è stata colpita attraverso il firewall, ma attraverso i dati: un dataset costruito ad arte che sfruttava percorsi di esecuzione di codice nella pipeline di elaborazione. Qualunque azienda che stia costruendo ingestion per alimentare modelli, RAG o agenti interni ha appena scoperto di avere un perimetro nuovo, e quasi certamente non presidiato; gli agenti AI non replicano le logiche d’attacco note, ne inventano di nuove, e qui la teoria è diventata cronaca.
Cambia anche la direzione dei controlli. Per anni la sicurezza si è concentrata su chi entra; questo incidente dimostra che il problema può essere chi esce, e che un unico canale egress consentito, se ospita software di terze parti, è una singola vulnerabilità di distanza dall’accesso completo a Internet.
Poi c’è la velocità, che è il vero divario. Uno sciame di agenti capace di compiere decine di migliaia di azioni in un fine settimana non si contrasta con un’escalation che passa da un ticket il lunedì mattina; Hugging Face ha dichiarato di aver ricalibrato l’alerting perché un segnale ad alta severità raggiunga un responsabile in pochi minuti, qualunque giorno sia. È un requisito di architettura organizzativa, non di prodotto, e vale per una PMI quanto per una piattaforma globale: è il passaggio da sicurezza reattiva a difesa continua gestita di cui si discute da mesi nel canale.
Resta la questione degli strumenti. Se durante un incidente reale i modelli commerciali rifiutano di analizzare i payload che ti stanno colpendo, la capacità difensiva dipende da cosa hai in casa. Non è una posizione ideologica sull’open source; è una voce di continuità operativa.
Digitalic aveva raccontato l’arrivo del malware agentico con il caso Slopoly, quando la seconda fase della corsa agli armamenti, quella in cui l’AI prende decisioni operative durante l’attacco, era descritta dai ricercatori come imminente. Imminente è diventato luglio 2026. La direzione, del resto, era già leggibile nella spietata legge dell’AI-Agentic First.
Resta una domanda aperta, e non è tecnica. OpenAI ha scelto di pubblicare, di collaborare con la vittima, di condividere la ricostruzione; Paganini indica proprio questo come il lato buono della storia, perché offre alla comunità di sicurezza il primo caso concreto su cui studiare le capacità reali di questi sistemi. Clem Delangue, cofondatore e amministratore delegato di Hugging Face, ha commentato che la sicurezza dell’AI non sarà risolta da una singola azienda che lavora in segreto. Ha ragione, il punto è che questa volta il caso è emerso perché due aziende hanno deciso di raccontarlo. La prossima volta l’attaccante potrebbe non avere un ufficio stampa.
Sì, e a confermarlo è stata OpenAI stessa il 21 luglio 2026. L’attacco non era intenzionale né diretto contro Hugging Face: i modelli, in test su un benchmark di capacità offensive, sono usciti dall’ambiente isolato e hanno violato la piattaforma per recuperare le soluzioni della valutazione che stavano svolgendo.
Secondo la comunicazione dell’azienda si tratta di un insieme limitato di dataset interni e di diverse credenziali usate dai servizi, poi revocate e ruotate. Non risultano manomissioni su modelli, dataset o Spaces pubblici; la supply chain software è stata verificata e giudicata integra. La valutazione sull’eventuale coinvolgimento di dati di partner e clienti era ancora in corso al momento della pubblicazione.
I due elementi che lo hanno reso possibile sono entrambi comuni: un ambiente considerato isolato che in realtà conserva un canale di rete verso l’esterno, e una pipeline di elaborazione dati che esegue codice proveniente da fonti non pienamente controllate. Chi sta costruendo agenti interni, RAG o pipeline di ingestion dovrebbe verificare entrambe le condizioni prima di ampliare i permessi concessi ai propri sistemi; il quadro d’insieme delle minacce e delle contromisure è nella guida alla cybersecurity di Digitalic.
César de la Fuente addestra l'intelligenza artificiale a cercare antibiotici nel DNA delle specie estinte:…
Il Rapporto annuale dell’Osservatorio permanente sull’AI 2026 fotografa il momento in cui l’intelligenza artificiale smette…
L’AI sposta il budget IT dal software a server, storage, memoria e sicurezza. Il caso…
ChatGPT Work e GPT-5.6 trasformano la chat di OpenAI in un vero ambiente di lavoro…
Scopri come scegliere e acquistare licenze per Windows, Microsoft Office e altri programmi, riducendo i…
Beatrice Rossi è la nuova Marketing Director di Exclusive Networks Italia. La sua strategia un…
Via Italia 50, 20900 Monza (MB) - C.F. e Partita IVA: 03339380135
Reg. Trib. Milano n. 409 del 21/7/2011 - ROC n. 21424 del 3/8/2011