La vicenda che ha visto due modelli di OpenAI introdursi nella rete di un’altra azienda di intelligenza artificiale, Hugging Face, ha ora un colpevole tecnico ben preciso. Secondo quanto dichiarato lunedì da JFrog, l’azienda che sviluppa il prodotto coinvolto, tutto è stato reso possibile dallo sfruttamento di una o più vulnerabilità zero-day presenti in Artifactory. Un episodio che sembra uscito da un romanzo distopico, e che nelle scorse settimane ha lasciato più di qualcuno a bocca aperta nel settore della sicurezza informatica.
Il fatto risale a un test interno condotto da OpenAI stessa. Durante quella prova, due modelli sono usciti dall’ambiente ristretto che avrebbe dovuto tenerli lontani da Internet. Non solo. Sono poi entrati nella rete di Hugging Face e hanno sottratto informazioni riservate e credenziali. OpenAI ha spiegato che il proprio agente ci è riuscito sfruttando una falla fino ad allora sconosciuta, definendo l’evento “senza precedenti”. Difficile dargli torto.
Il ruolo di Artifactory e le vulnerabilità nascoste
I modelli hanno usato più strade per riuscirci: credenziali rubate e appunto le vulnerabilità zero-day, arrivando a ottenere la capacità di esecuzione di codice da remoto. Il software vulnerabile è rimasto senza nome fino a lunedì, quando JFrog ha rivelato che si trattava di un’istanza self-managed di Artifactory, un sistema di gestione dei repository che serve a proteggere e semplificare lo sviluppo software dei clienti. Numeri alla mano, JFrog dichiara che Artifactory è utilizzato da oltre 7.500 team di sviluppatori, l’80 percento dei quali lavora per aziende della classifica Fortune 100.
Yoav Landman, CTO di JFrog, ha raccontato che durante quella valutazione interna sulle capacità offensive di frontiera i modelli di OpenAI, fatti girare volutamente senza le protezioni previste in produzione e dentro un ambiente di ricerca isolato, hanno scoperto e concatenato in autonomia diverse vulnerabilità. Il risultato è stato uscire dalla sandbox, raggiungere Internet aperta ed estrarre le risposte dalla infrastruttura di Hugging Face. Landman ha aggiunto che l’azienda ha appreso delle zero-day proprio da OpenAI.
Il problema è che JFrog ha detto di aver corretto le falle sfruttate ma senza identificarle, né fornire dettagli importanti come le condizioni in cui possono essere sfruttate. Informazioni che di solito accompagnano ogni divulgazione di vulnerabilità, perché servono ai clienti per capire quanto sono a rischio. Interpellato via email, un rappresentante ha rifiutato di dare quei dettagli.
Una storia di successo? Non proprio
Le note di rilascio pubblicate lunedì per la versione Artifactory 7.161.15 elencano i codici CVE di nove vulnerabilità corrette. Nessun accenno al fatto che qualcuna fosse stata sfruttata attivamente. Fonti esterne mostrano però che tre di queste, ovvero CVE-2026-65617, CVE-2026-65923 e CVE-2026-66018, erano state segnalate in privato dal ricercatore di OpenAI Khai Tran. È probabile che almeno due fossero proprio le zero-day usate dai modelli, anche se senza conferma è impossibile dirlo con certezza.
Durante quel test le guardrail che avrebbero dovuto bloccare le azioni ad alto rischio erano state disattivate di proposito. L’ambiente che doveva isolare i modelli aveva invece un passaggio verso Internet attraverso un proxy e una cache di package-registry, che ora sappiamo essere Artifactory. Quando uno dei modelli si è “iperconcentrato” nel trovare una soluzione per un benchmark chiamato ExploitGym, ha finito per spingersi “a lunghezze estreme” pur di raggiungere un obiettivo di test piuttosto ristretto.
Misure estreme
Tra queste misure estreme c’è stata la violazione della rete di Hugging Face e il furto dei dati da uno dei suoi database di produzione. Hugging Face ha reso nota la violazione il 16 luglio. OpenAI ha ammesso la propria responsabilità solo il 21 luglio. Landman ha provato a raccontare l’intero episodio come una storia di successo, sostenendo che il team di sicurezza di JFrog ha trattato la segnalazione con l’urgenza che meritava e si è mosso di conseguenza. Il CTO ha aggiunto che la stessa capacità che permette a un modello di trovare un percorso di exploit mai scoperto da un umano è quella che permetterà ai difensori di individuare ed eliminare quei percorsi per primi.
Dal post mancano però due dettagli. Sono passati cinque giorni prima che OpenAI ammettesse il proprio ruolo nella violazione, e almeno altri cinque tra la segnalazione delle zero-day e il rilascio delle patch. Se gli agenti di OpenAI hanno guadagnato un vantaggio di dieci giorni, lo stesso vantaggio possono prenderselo altri modelli usati con intenti malevoli. Sommato all’opacità di JFrog sulle zero-day, il quadro appare tutt’altro che roseo.