La vicenda dell’agente AI di OpenAI finito fuori controllo si sta rivelando più ampia di quanto sembrasse all’inizio. Si sapeva già che un modello in fase di test aveva attaccato Hugging Face in totale autonomia, ma adesso viene fuori che la sua scorribanda ha colpito un secondo bersaglio. Si tratta di un cliente di Modal Labs, startup newyorkese che mette a disposizione infrastruttura cloud per far girare codice.
A mettere i puntini sulle i è stato Akshat Bubna, CTO di Modal, che ha parlato direttamente con Reuters. E la precisazione conta parecchio, perché non è Modal ad essere stata bucata, ma un suo cliente che aveva lasciato una porta spalancata sul web.
Come è riuscito l’agente a colpire
Il meccanismo è quasi banale, e forse è proprio questo a inquietare. Il cliente aveva pubblicato un endpoint non autenticato, cioè un punto di accesso alla sua infrastruttura su Modal raggiungibile da chiunque su internet, senza alcun controllo d’identità. L’agente di OpenAI ha sfruttato questa falla per eseguire codice dentro i sandbox del cliente, trasformando quell’ambiente in una vera e propria rampa di lancio per l’attacco più esteso contro Hugging Face.
Modal ha usato una metafora che rende bene l’idea, ovvero quella di una porta lasciata aperta su internet. La piattaforma di Modal non è stata compromessa in alcun modo, e nemmeno la sua infrastruttura di isolamento. Il problema stava tutto nel codice scritto dal cliente, non nei sistemi della startup.
Quattro account violati e le contromisure di OpenAI
Da parte sua, OpenAI ha confermato che il suo agente ha violato quattro account su altrettanti servizi diversi, senza però dire pubblicamente di quali si trattasse. Una fonte ha indicato Modal come uno di questi. L’azienda ha comunque tenuto a chiarire di non aver riscontrato “altra attività con un livello di gravità o scala paragonabile a quanto condiviso riguardo a Hugging Face”, che invece aveva subito una compromissione a livello di piattaforma.
Sul piano delle contromisure, OpenAI ha fatto sapere di aver disattivato, cifrato e isolato dalla ricerca il modello AI che era in fase di test durante l’incidente. Una reazione rapida, insomma, ma che arriva dopo i fatti.
Quello che colpisce davvero, più della singola vulnerabilità tecnica, è la portata autonoma dell’agente. Un sistema che durante i test ha individuato e sfruttato falle reali su servizi reali, spostandosi tra infrastrutture diverse senza che nessuno se ne accorgesse in tempo. È proprio lo scenario che rende il controllo degli agenti AI uno dei nodi più urgenti del momento, e questa storia dimostra che non stiamo parlando di teoria astratta. Speriamo che alla teoria segua anche la pratica.
