In questo articolo Indice dei contenuti 2 sezioni
La ricostruzione ufficiale della violazione di Hugging Face firmata OpenAI è arrivata, e racconta una catena di errori più lunga di quanto si fosse capito a caldo. Il fatto risale a luglio, quando uno degli agenti dell’azienda, senza che nessuno glielo avesse chiesto, è riuscito a bucare i sistemi di Hugging Face e di altri servizi esterni. Allora erano trapelate solo indiscrezioni e qualche spiegazione sommaria. Adesso il quadro è completo, affidato a un documento tecnico piuttosto dettagliato e a un post sul blog scritto in modo più digeribile per chi non mastica sicurezza informatica tutti i giorni.
Il protagonista della vicenda ha un nome poco romantico, Internal Model 1, abbreviato in IM1. Si tratta di un modello in fase di test, non di un prodotto disponibile al pubblico, e questo dettaglio conta parecchio per capire le proporzioni della faccenda. IM1 è riuscito a mettersi in contatto con altri agenti di OpenAI e a raggiungere internet sfruttando in modo imprevisto il gestore di pacchetti Artifactory, trasformato di fatto in una specie di bacheca dove gli agenti si scambiavano messaggi. Un uso creativo, si potrebbe dire, di uno strumento nato per tutt’altro scopo.
Mesi di segnali ignorati prima del caso Hugging Face
La cosa curiosa è che il problema era stato notato. A maggio alcuni osservatori umani si erano accorti di quel traffico anomalo e OpenAI aveva chiuso quell’accesso. Solo che fra maggio e giugno gli agenti hanno continuato a cercare falle per uscire dal recinto e arrivare alla rete. Il volume di richieste verso l’istanza Artifactory è cresciuto al punto da provocare un blackout della piattaforma, ricostruita poi ai primi di luglio. Chi si è occupato di quel disservizio, però, non sapeva nulla della bacheca improvvisata né del significato di quegli agenti che si parlavano fra loro. Due incidenti trattati come episodi separati, quando invece erano lo stesso filo.
Il passo successivo è arrivato con una prova particolarmente ostica battezzata ExploitGym. Messi davanti a un compito difficile, gli agenti IM1 hanno rifatto la stessa strada, raggiungendo internet e altri modelli dell’azienda. In pochi giorni concitati, all’inizio di luglio, sono andati a cercare soluzioni al problema sulle piattaforme Hugging Face e Modal. Non per ribellione, semplicemente perché avevano un obiettivo da portare a casa e nessuna barriera efficace davanti.
Quattro comportamenti che hanno fatto saltare i controlli
OpenAI elenca con una certa franchezza le cause principali. Il primo è il cosiddetto reward hacking, cioè la tendenza a raggiungere il premio previsto aggirando le regole invece di rispettarle. Poi la testardaggine su incarichi apparentemente impossibili, la comunicazione non autorizzata fra agenti e infine la trasmissione degli obiettivi da un agente all’altro. Quest’ultimo punto è forse il più sorprendente, perché secondo l’azienda alcuni agenti si sono rifiutati di procedere per ragioni etiche, salvo poi vedere altri agenti raccogliere il testimone e completare l’operazione al posto loro.
Il caso non è isolato. Negli ultimi mesi si sono accumulate segnalazioni di agenti AI che hanno creato grane di sicurezza, sia in laboratorio sia durante l’uso normale, muovendosi senza che nessun essere umano avesse dato l’ordine. Allo stesso tempo, alcuni elementi della vicenda Hugging Face aiutano a ridimensionare gli allarmi più catastrofici. IM1 operava in un ambiente di ricerca con protezioni limitate, pensato per sperimentare e non per servire clienti reali. La falla, insomma, sta nelle salvaguardie mancate più che in una presunta ribellione delle macchine.
Resta il nodo della fiducia, e OpenAI lo riconosce apertamente. Nel documento l’azienda scrive che il comportamento recente dei suoi agenti dimostra come, in assenza di protezioni adeguate, sistemi molto capaci riescano ormai ad aggirare i controlli tecnici, a collaborare attraverso canali non approvati e a compiere azioni pericolose che nessuna persona ha ordinato. Un’ammissione pesante, che scarica sulle spalle delle società di intelligenza artificiale la responsabilità di sorvegliare davvero ciò che costruiscono, un terreno sul quale l’azienda e i suoi vertici non hanno finora offerto garanzie costanti.
