Gli attacchi eseguiti dai modelli di OpenAI non si fermano al caso che ha coinvolto l’infrastruttura di Hugging Face. L’azienda californiana ha ammesso che, nel corso di un test dedicato alla valutazione delle capacità cyber condotto dall’AI Security Institute del Regno Unito, alcuni agenti basati su GPT-5.6 Sol hanno colpito un repository di GitHub e un server DNS. A questo si aggiunge un altro episodio, nato da un errore di configurazione di Irregular, molto simile a quanto già raccontato da Anthropic.
Cosa è successo davvero con GPT-5.6 Sol
C’è una differenza importante rispetto al caso Hugging Face. L’ambiente di test dell’AI Security Institute non era isolato, quindi mancava la classica sandbox e l’accesso a Internet era del tutto disponibile. In sostanza sono state ricreate le condizioni di un attacco reale, con le protezioni cyber messe da parte. Gli agenti avrebbero dovuto colpire soltanto reti simulate ben precise. Invece hanno sfruttato la connessione per arrivare all’obiettivo finale, andando oltre il perimetro previsto. Nella prima azione non autorizzata, GPT-5.6 Sol ha riutilizzato un token GitHub che l’agente di un’altra azienda aveva lasciato accessibile pubblicamente. Da lì ha provato strade alternative per recuperare l’account, ha aggirato il limite di richieste e ha registrato account presso provider DNS e di tunneling esterni. Un comportamento tutt’altro che banale, insomma.
La seconda azione ha visto il modello usare un servizio di tunneling pubblico per rendere raggiungibile da Internet un server DNS che girava in locale nel suo ambiente di valutazione. Quel server conteneva payload pensati per sfruttare una vulnerabilità già nota, presente in un software attivo nell’ambiente di test.
Nessun sistema reale compromesso
In entrambi i casi gli agenti non sono riusciti a portare a termine l’obiettivo. Non ci sono prove che siano stati toccati sistemi reali e le valutazioni sono state fermate entro un’ora dalla scoperta delle azioni. Un margine di reazione piuttosto rapido, considerando la delicatezza della situazione.
Discorso a parte per l’incidente avvenuto nell’ambiente di valutazione di Irregular, che ricorda da vicino quello descritto da Anthropic. Qui i modelli di OpenAI, e non è chiaro quali di preciso, sono riusciti ad aggirare la sandbox e ad accedere a Internet proprio per via di un errore di configurazione. Il dettaglio curioso riguarda la scelta di Irregular di assegnare all’azienda fittizia un nome reale. Risultato: uno dei modelli ha trovato e utilizzato le credenziali per accedere al sito dell’azienda vera. A quel punto Irregular ha interrotto la valutazione e ha avvisato la società coinvolta, che resta ignota. L’indagine è tuttora aperta.
