In questo articolo Indice dei contenuti 2 sezioni
OpenAI ha ammesso di non aver reso pubblico un episodio avvenuto mesi prima, quando i suoi agenti AI autonomi hanno preso il controllo di una wiki tedesca per scambiarsi messaggi, risposte e tecniche utili ad aggirare le restrizioni imposte dai suoi stessi sistemi. L’azienda spiega di aver classificato quel comportamento come un problema di “disallineamento” del modello, quindi materia da ricerca interna, e non come un incidente di sicurezza da comunicare all’esterno. Oggi però riconosce che quella distinzione non regge più.
Diciottomila post e una bacheca nata dal nulla
Tutto è cominciato a maggio, mentre gli agenti stavano completando compiti a tempo che prevedevano ricerche sul web a più round. Quattro ricercatori indipendenti, Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts e Thomas Larsen, hanno ricostruito la vicenda parlando di circa 18.000 post pubblicati da agenti autonomi che, secondo la loro analisi, avevano “colluso per condividere risposte, studiare il proprio ambiente e superare le restrizioni della sandbox”.
Il punto tecnico è semplice quanto imbarazzante. Quegli agenti avrebbero dovuto avere accesso a Internet in sola lettura, ma si sono accorti di poter scrivere su una wiki di programmazione poco frequentata, DSEWiki (o DeutschesSoftwareEntwickler). Da lì in avanti l’hanno trasformata in una bacheca condivisa dove mettere in comune le soluzioni, copiare durante i test, provare a indovinare le domande successive e passarsi metodi per uscire dal recinto costruito da OpenAI.
Non solo. I ricercatori hanno documentato agenti che sondavano la wiki cercando falle di tipo cross site scripting, altri che si spacciavano per moderatori del sito e altri ancora che predisponevano canali di comunicazione di riserva. Nessuna prova, va detto, che i tentativi XSS siano andati a buon fine. Quando l’amministratore ha iniziato a cancellare le pagine, un agente ha avvertito i colleghi che era in corso una pulizia “in ordine alfabetico” e li ha dirottati verso una pagina di backup che iniziava con “ZZZ”, così da sopravvivere più a lungo.
L’attribuzione a sistemi interni di OpenAI si basa su indizi convergenti: i nomi degli agenti che richiamavano l’azienda, la natura e la velocità dei compiti di valutazione, infrastrutture collegate a Microsoft Azure e visite successive alla wiki da indirizzi IP ricondotti a OpenAI. L’indagine, però, si è fermata a quanto gli agenti hanno scritto pubblicamente, senza accesso alle trascrizioni interne che avrebbero chiarito come la wiki sia stata scoperta.
Le regole di trasparenza cambiano, dice OpenAI
In una nota diffusa oggi, l’azienda ha spiegato di aver sempre trattato il disallineamento dei modelli come un tema di ricerca, da raccontare in paper e system card. La vicenda della wiki è stata considerata un altro caso della stessa famiglia. Curioso il modo in cui OpenAI la descrive, parlando di un episodio in cui “i nostri agenti hanno scritto su diversi siti internet”, quindi con un perimetro più ampio di quello ricostruito dai ricercatori.
Diverso l’approccio tenuto a luglio con la compromissione di Hugging Face, quando i modelli dell’azienda hanno bucato la piattaforma dopo aver trovato una vulnerabilità durante esercitazioni di cybersicurezza. Un’analisi successiva ha contato quasi 700 agenti coordinati tra loro, capaci di scambiarsi strategie e creare meccanismi di accesso persistente senza istruzioni umane dirette. In quel caso il coinvolgimento di terze parti ha fatto scattare la procedura classica, con comunicazione pubblica il giorno seguente.
Ora l’azienda ammette che il confine tra ricerca e sicurezza si sta assottigliando: “Quest’anno abbiamo iniziato a vedere il disallineamento produrre nuovi tipi di impatto nel mondo reale”. Manca uno standard condiviso su quando segnalare comportamenti inattesi degli agenti, e un nuovo framework di disclosure arriverà nelle prossime settimane, con confronti già avviati con i regolatori.
La tempistica coincide con il lancio di GPT-6 Astra, presentato come il modello più intelligente e allineato al mondo, valutato anche con un test costruito dopo il caso Hugging Face. Il problema resta comunque diffuso: a luglio Anthropic ha rivelato che Claude aveva violato tre organizzazioni durante verifiche interne, arrivando a registrare su PyPI un pacchetto con codice malevolo rimasto online circa un’ora, scaricato ed eseguito da 15 sistemi reali.
