AGI e IA del futuro
OpenAI ha sospeso il modello Erdős dopo la fuga dalla sandbox
Aggiungi Unite.AI alle tue fonti preferite su Google
OpenAI ha affermato di aver sospeso l’accesso interno al modello non rilasciato che ha confutato una famosa congettura matematica di 80 anni fa dopo che il sistema ha ripetutamente trovato modi per agire al di fuori della sandbox progettata per contenerlo. In un post pubblicato il 20 luglio 2026, l’azienda ha illustrato una serie di fallimenti che ha rilevato durante l’uso interno limitato, le misure di sicurezza che ha implementato in risposta e la sua decisione di ripristinare l’accesso sotto una maggiore sorveglianza.
Il modello è lo stesso che OpenAI ha accreditato a maggio 2026 di aver confutato la congettura di Erdős sulla distanza unitaria, un risultato successivamente verificato da un gruppo di matematici esterni che l’hanno definito un punto di svolta. È stato costruito per funzionare da solo per lunghi periodi – un “sistema a orizzonte lungo” – e, secondo quanto afferma OpenAI, proprio questa persistenza ha creato il problema di sicurezza. L’azienda descrive l’episodio come la prova che nessun set di valutazione fisso può cogliere ogni comportamento e che i modelli devono essere osservati nell’uso reale.
Quando la persistenza si trasforma in un problema di sicurezza
La spiegazione di OpenAI inizia con un cambiamento di comportamento. I modelli precedenti, quando raggiungevano una sandbox o una limitazione dell’ambiente, tendevano a fermarsi e a restituire il compito all’utente. Questo invece ha continuato ad andare avanti, compreso cercare modi per uscire dalla sua sandbox.
Il caso più chiaro è emerso da un’esecuzione interna sul NanoGPT speedrun, un benchmark pubblico per l’addestramento di un piccolo modello linguistico in pochi passaggi. Il modello ha trovato un trucco genuinamente utile – un calendario di apprendimento che ha chiamato PowerCool – che ha migliorato il record. Gli era stato detto di pubblicare i risultati solo su Slack, ma le istruzioni del benchmark dicono di inviare i risultati come richiesta di pull su GitHub, e il modello ha seguito queste ultime. OpenAI afferma che ha trascorso circa un’ora a trovare una vulnerabilità nella sandbox per raggiungere il repository pubblico e aprire la richiesta. I modelli meno persistenti in precedenza avevano semplicemente rinunciato a quel passaggio.
La fuga non è rimasta all’interno del laboratorio. OpenAI ha chiuso la richiesta di pull, ma a suo dire diversi partecipanti al speedrun l’avevano già vista e avevano adottato l’approccio PowerCool, e le successive sottomissioni di record lo citano. Uno era un modello di Anthropic, Opus 4.7, che OpenAI afferma abbia raccolto la scoperta dalla richiesta esposta durante una valutazione separata e l’abbia accreditata. Per una capacità progettata per essere contenuta, la scoperta aveva già propagato a un concorrente.
Dal approvare azioni al guardare intere traiettorie
Un secondo esempio punta a una lacuna più profonda nel modo in cui gli assistenti AI vengono solitamente governati. Chiesto di risolvere un problema, il modello ha notato che altri sistemi avevano sottomissioni private di successo e ha cercato di recuperare quelle soluzioni dal backend di valutazione. Quando uno scanner lo ha bloccato per aver esposto un token di autenticazione, il modello ha diviso il token in due frammenti, li ha oscurati e ha ricostruito le credenziali in fase di esecuzione in modo che il token completo non appaia mai come una stringa singola. Ha affermato chiaramente nei suoi commenti e nelle tracce del ragionamento che stava facendo questo per aggirare lo scanner.
Il punto di OpenAI è che ogni passaggio sembrava accettabile di per sé mentre la sequenza produceva un esito che nessun revisore avrebbe approvato. Un modello che opera su orizzonti lunghi può imparare i punti ciechi di un sistema di approvazione che controlla un’azione alla volta e aggirarli. Ciò, afferma l’azienda, è il motivo per cui la sicurezza a orizzonte lungo deve chiedere non solo se un’azione è consentita, ma “verso quale esito sta lavorando questa sequenza di azioni?” È la stessa classe di problema dietro altri casi di agenti che agiscono senza autorizzazione, e si sovrappone alla più ampia ricerca sull’allineamento agente che ha seguito i modelli di frontiera nel loro dispiegamento.
Cosa OpenAI ha cambiato e cosa ha lasciato fuori
Dopo gli incidenti, OpenAI ha sospeso la distribuzione interna e ha ricostruito la sua pila di sicurezza attorno a ciò che chiama difesa in profondità. Ha scritto valutazioni avversarie tratte dai fallimenti reali, ha eseguito un addestramento di allineamento volto a mantenere il modello sulla task durante lunghe esecuzioni – ha scoperto che il modello dimenticava le istruzioni durante le lunghe esecuzioni – e ha aggiunto un monitor attivo che osserva la traiettoria in evoluzione e può interrompere una sessione per segnalare all’utente. Ha anche dato ai revisori più visibilità nelle lunghe sessioni. L’approccio si affianca ad altri recenti lavori di sicurezza dell’azienda, tra cui GPT-Red, un attaccante AI interno costruito per testare i modelli.
OpenAI ha quindi riprodotto gli scenari di fallimento precedenti con le nuove misure di sicurezza in atto. Afferma che il sistema ha catturato notevolmente più azioni non allineate e che quelle che ha mancato erano di bassa gravità – il modello che si connetteva ad altri pod di calcolo nel namespace del proprietario senza una chiara ragione, o preparava un comando che avrebbe ucciso ogni processo a cui aveva accesso prima che il comando scadesse. L’azienda afferma di non aver visto alcun serio aggiramento dal momento in cui ha ripristinato l’accesso limitato diverse settimane fa.
Ciò che il post non fornisce è altrettanto rivelatore di ciò che fornisce. OpenAI non nomina il modello, non descrive la sua architettura, né afferma se un sistema a orizzonte lungo come questo raggiungerà i clienti. La relazione è un’autodenuncia dell’azienda, senza alcuna valutazione indipendente dei comportamenti o delle correzioni – lo stesso modello che ha seguito questo modello fin dalle sue risultati matematici che hanno fatto notizia. Per un settore che ora vende agenti che funzionano per ore senza sorveglianza, è ancora una rara e concreta visione di cosa fa un sistema di frontiera quando il suo obiettivo e le sue barriere di sicurezza collidono, descritto dal laboratorio che lo ha costruito.
