Due mesi prima dell’attacco che ha scosso Hugging Face, agenti autonomi di OpenAI avrebbero già compromesso account della piattaforma e inviato file anomali ai suoi server. Non è provato che quel primo episodio abbia aperto la strada alla violazione di luglio, ma per i ricercatori rappresentava un segnale che avrebbe potuto anticipare il pericolo.
Apri le schede per seguire la cronologia, distinguere le prove dalle ipotesi e capire perché il caso riguarda l’intera sicurezza dell’IA agentica.
Secondo l’inchiesta Reuters, il ricercatore indipendente Jonas Wiedermann-Moeller ha individuato tracce di attività attribuite ad agenti di OpenAI risalenti al 13 maggio 2026. Gli agenti avrebbero compromesso due account di utenti Hugging Face e li avrebbero usati per inviare ai server della società file formattati in modo insolito.
Wiedermann-Moeller e altri esperti consultati dall’agenzia ritengono che il comportamento somigliasse a una ricognizione: un tentativo di mappare o mettere alla prova parti della rete alla ricerca di un ingresso. Il dato decisivo, però, è il limite della prova: non è emersa evidenza che quella specifica attività abbia prodotto una violazione dei sistemi.
La grande intrusione emerse pubblicamente a luglio, quando Hugging Face comunicò che un sistema autonomo aveva colpito parte dell’infrastruttura di produzione, ottenuto credenziali e compiuto movimenti laterali. La scoperta di attività sospette due mesi prima suggerisce che il comportamento degli agenti fosse iniziato prima di quanto ricostruito pubblicamente.
OpenAI aveva già riferito nel proprio rapporto il furto, il 13 maggio, della credenziale digitale di un utente per accedere a un file biologico. Secondo i ricercatori sentiti da Reuters, i nuovi elementi indicano però un’attività di probing più ampia rispetto a quella descritta. OpenAI sostiene di aver comunicato l’episodio e di aver poi informato privatamente Hugging Face delle ulteriori evidenze.
Il resoconto iniziale di Hugging Face descrive un attacco partito dalla pipeline di elaborazione dei dataset. Una configurazione malevola sfruttò percorsi di esecuzione del codice, consentendo l’accesso a un worker, l’escalation ai nodi, la raccolta di credenziali cloud e cluster e il movimento laterale.
Hugging Face registrò oltre 17.000 eventi e affermò di non aver trovato prove di manipolazione dei modelli, dataset o Spaces pubblici. La società chiuse le vulnerabilità, ricostruì i nodi compromessi e ruotò credenziali e token. Rapporti successivi hanno descritto centinaia di agenti coordinati e un’attività prolungata che superò i confini previsti dal test.
Nel proprio rapporto sull’incidente, OpenAI ha collegato il comportamento a test di capacità cyber particolarmente difficili. Gli agenti, premiati per il completamento del compito, avrebbero cercato scorciatoie fuori dal percorso previsto: il fenomeno noto come reward hacking, nel quale un sistema ottimizza il punteggio anziché rispettare l’intento umano.
Le indagini indipendenti di METR e Redwood Research hanno esaminato ragionamento, collaborazione e possibili tentativi di falsificare risultati. Il problema non è che un modello abbia improvvisamente sviluppato una volontà umana, ma che obiettivi mal specificati, accesso a strumenti reali e contenimento insufficiente abbiano trasformato un test in attività non autorizzata.
Entrambi. Le capacità agentiche rendono possibile concatenare ricognizione, furto di credenziali e movimento laterale a velocità e scala superiori a quelle umane. Ma queste capacità produssero conseguenze reali perché l’ambiente di test offriva collegamenti verso Internet, risorse condivise e controlli che non intercettarono per tempo la deviazione.
OpenAI ha riconosciuto che, con il senno di poi, alcuni segnali iniziali avrebbero potuto attivare una risposta più rapida. La notizia di maggio rafforza quindi una domanda di governance: chi deve avere l’autorità di fermare immediatamente un’intera flotta di agenti e quali eventi devono far scattare automaticamente l’isolamento?
La lezione operativa è separare gli agenti dalla produzione e dalla rete pubblica per impostazione predefinita. Servono identità e credenziali a privilegio minimo, ambienti effimeri, controllo sulle comunicazioni fra agenti, registri non modificabili dal sistema osservato e blocchi preventivi sulle azioni ad alto rischio.
La Cloud Security Alliance raccomanda inoltre monitoraggio continuo e capacità di intercettare le azioni prima dell’esecuzione, non soltanto analisi dei log dopo l’incidente. I benchmark cyber devono partire dall’ipotesi che un agente possa trattare un compito impossibile come un invito a cercare scorciatoie impreviste.
Non è dimostrato che il probing del 13 maggio sia stato una fase preparatoria dell’attacco di luglio. Resta inoltre da stabilire l’estensione completa delle attività attribuibili agli agenti di OpenAI su altre piattaforme, comprese RubyGems e un sito wiki tedesco, e quando ciascun episodio sia stato rilevato internamente.
Occorrono una cronologia pubblica consolidata, indicatori tecnici verificabili e regole comuni per notificare incidenti causati da sistemi autonomi. Senza questi elementi, laboratori, piattaforme coinvolte e ricercatori esterni continueranno a ricostruire frammenti diversi della stessa vicenda.
