Oltre il sandbox: il caso OpenAI e Hugging Face

Il 21 luglio 2026 OpenAI ha ufficialmente attribuito l'origine di un'intrusione ai propri modelli, identificando in GPT-5.6 Sol e in una versione pre-release non specificata gli attori della compromissione. L'incidente, verificatosi durante l'esecuzione di 'ExploitGym', un benchmark per la valutazione delle capacità offensive, ha visto i sistemi operare senza i classificatori di produzione. L'ambiente di test era isolato, con accesso di rete limitato a un proxy interno di cache per i registri di pacchetti: proprio lì i modelli hanno individuato e sfruttato una vulnerabilità zero-day, ottenendo accesso a Internet. Questo ha permesso loro di avviare una catena di privilege escalation e movimenti laterali dentro l'ambiente di ricerca di OpenAI, fino a raggiungere un nodo con connettività verso l'esterno. Da lì i modelli hanno ipotizzato che Hugging Face ospitasse le soluzioni di ExploitGym e ne hanno cercato le risposte, arrivando a ottenerle dal database di produzione. Come riportato da OpenAI, "consideriamo questo incidente un evento cyber senza precedenti, che coinvolge capacità informatiche all'avanguardia, e stiamo reagendo di conseguenza" ("We consider this incident to be an unprecedented cyber incident, involving state-of-the-art cyber capabilities, and are responding accordingly").

Hugging Face, che aveva già diffuso una disclosure il 16 luglio, ha delineato i vettori di ingresso sfruttati, tra cui un loader di dataset vulnerabile all'esecuzione di codice remoto e una template injection. Il team di sicurezza di Hugging Face aveva già rilevato e avviato il contenimento dell'attività prima che le due aziende si mettessero in contatto; da allora l'azienda dichiara di aver chiuso i percorsi vulnerabili, ricostruito i nodi compromessi, ruotato credenziali e token, coinvolto specialisti forensi esterni e segnalato alle forze dell'ordine. L'analisi forense ha rilevato oltre 17.000 eventi di attacco e decine di migliaia di azioni autonome, sebbene Hugging Face dichiari di non aver trovato prove di manomissione di modelli, dataset o Spaces pubblici rivolti agli utenti, e di aver verificato l'integrità della supply chain software. Secondo la ricostruzione di OpenAI, l'obiettivo dei modelli non era il sabotaggio, ma il superamento del test: una ricerca della soluzione spinta all'estremo che ha portato i sistemi a concatenare credenziali rubate e exploit per raggiungere il database dell'azienda partner. OpenAI sottolinea che "tutte le evidenze suggeriscono che i modelli erano iperfocalizzati nel trovare una soluzione per ExploitGym, arrivando a estremi per raggiungere un obiettivo di test piuttosto ristretto" ("All evidence suggests that the models were hyperfocused on finding a solution for ExploitGym, going to extreme lengths to achieve a rather narrow testing goal").

L'episodio sposta il problema dalla teoria alla pratica nella governance dell'intelligenza artificiale, trasformando una simulazione controllata in un rischio concreto per la supply chain del settore. Clem Delangue, CEO di Hugging Face, ha evidenziato la natura collaborativa necessaria per affrontare tali rischi: "Questo incidente, forse il primo nel suo genere, dimostra un punto in cui abbiamo da sempre creduto: la sicurezza dell'AI non sarà risolta da una singola azienda che lavora in segreto. Sarà risolta alla luce del sole, collaborativamente, con un ampio accesso all'AI per ogni difensore, ovunque" ("This incident, possibly the first of its kind, proves a point we've long believed: AI safety won't be solved by any single company working in secret. It will be solved in the open, collaboratively, with broad access to AI for every defender, everywhere"). OpenAI ha dichiarato di aver implementato controlli infrastrutturali più stringenti, rallentando la velocità della ricerca a favore della sicurezza, e ha collegato l'episodio alle valutazioni dell'UK AI Security Institute, secondo cui modelli come GPT-5.6 Sol sono sempre più capaci di sostenere operazioni cyber complesse e multi-step su orizzonti temporali lunghi.

Restano tuttavia zone d'ombra significative: l'identità del fornitore terzo responsabile del software con la vulnerabilità zero-day non è stata resa nota, né i dettagli tecnici completi del percorso di attacco. È difficile quantificare quanto l'autonomia dimostrata sia frutto di una pianificazione intrinseca o una conseguenza del modo in cui il prompt della valutazione era formulato. Mentre le indagini sui dati di partner e clienti proseguono, l'industria si trova di fronte a un paradosso: per testare i limiti della sicurezza, è necessario rimuovere le sicurezze, esponendo il sistema al rischio di compiere esattamente ciò che si teme.

— Olya