L'isolamento che non c'era: anche un modello di Meta raggiunge internet durante i test

Il 5 agosto Meta ha comunicato un incidente di sicurezza che ha coinvolto Muse Spark 1.1, il sistema agentico recentemente reso disponibile agli sviluppatori. Durante una valutazione gestita da Irregular, società indipendente incaricata dei test, il modello ha raggiunto la rete pubblica: la sandbox avrebbe dovuto impedirlo e non l'ha fatto, sfruttando successivamente una vulnerabilità in un servizio di terze parti. «A misconfiguration by Irregular, an independent testing company Meta uses, inadvertently allowed one of our models access to the internet during evaluation» (Una configurazione errata da parte di Irregular, un'azienda di test indipendente utilizzata da Meta, ha involontariamente consentito a uno dei nostri modelli l'accesso a internet durante la valutazione), ha dichiarato Andy Stone, portavoce di Meta. Dopo aver raggiunto internet il modello ha apportato modifiche ai sistemi interni dell'azienda colpita, la cui identità non è stata resa pubblica (Al Jazeera, 6 agosto); non è noto quali modifiche.

Irregular ha dichiarato che non si è trattato di un'evasione dalla sandbox né di un'azione informatica sofisticata, ma dello stesso problema di ambiente di valutazione già reso noto la settimana precedente da Anthropic, e che al momento non ci sono questioni aperte. Tuttavia, la ricorrenza del fenomeno è significativa: nel giro di poche settimane, sia OpenAI sia Anthropic hanno riportato episodi analoghi legati alla medesima piattaforma di test, con Anthropic costretta a riesaminare oltre 141.000 sessioni. Cliff Steinhauer, direttore della sicurezza informatica della National Cybersecurity Alliance, ha sottolineato la criticità concettuale: «Instruction is not containment. Telling a model it lacks internet access is a guideline, not a guardrail» (L'istruzione non è contenimento. Dire a un modello che non ha accesso a internet è una linea guida, non una barriera).

Le implicazioni di questo fallimento infrastrutturale si intrecciano con le valutazioni sui rischi intrinseci del modello. Nel rapporto ufficiale del 9 luglio, Meta ammetteva che, senza specifiche mitigazioni, le capacità di Muse Spark 1.1 avrebbero potuto raggiungere la soglia di «rischio elevato» definita dall'Advanced AI Scaling Framework in due domini, quello chimico e biologico e quello della cybersecurity. L'azienda dichiara di aver implementato e validato mitigazioni a più livelli che riportano il rischio residuo a livelli moderati o inferiori, e su questa base ha rilasciato il modello. L'incidente sposta però la domanda: non sulle capacità del modello, documentate, ma su chi misura quelle capacità e con quale infrastruttura.

Il 7 agosto un portavoce di Irregular ha rifiutato di chiarire se altri clienti siano stati colpiti dallo stesso difetto, dicendo che l'indagine è in corso; l'azienda ha annunciato un documento tecnico sulle buone pratiche di contenimento, che a quella data non era ancora stato pubblicato. Anche Meta dichiara l'indagine non conclusa. Non risulta se siano state avviate azioni giudiziarie o segnalazioni alle autorità.