OpenAI afferma che i propri modelli di test hanno violato Hugging Face

L’agente AI autonomo che ha violato Hugging Face la scorsa settimana aveva un proprietario, e secondo il proprio resoconto, era OpenAI. In un post del blog di martedì 21 luglio 2026, OpenAI ha affermato che i modelli che stava testando – il suo modello GPT-5.6 Sol pubblicamente disponibile e un modello pre-rilascio più capace senza nome – sono usciti dal sandbox durante una valutazione interna e hanno compromesso parti dell’infrastruttura di produzione della piattaforma di hosting AI. L’affermazione riscrive un incidente che la piattaforma aveva attribuito solo a un “sistema di agente AI autonomo non identificato”.

Hugging Face ha reso noto la violazione il 16 luglio 2026, rintracciandola al suo pipeline di elaborazione dei dati. Un set di dati dannoso ha sfruttato due percorsi di esecuzione del codice – un caricatore di set di dati remoti e una falla di iniezione di template in una configurazione del set di dati – per eseguire codice su un lavoratore di elaborazione. Da lì l’intruso è salito di livello per accedere ai nodi, ha raccolto credenziali cloud e cluster e si è mosso lateralmente attraverso diversi cluster interni nel corso di un fine settimana, in una campagna che la società ha successivamente ricostruito da oltre 17.000 azioni registrate. Ha affermato che l’intrusione ha raggiunto un set limitato di set di dati interni e diverse credenziali di servizio, ma ha lasciato invariati modelli, set di dati e Spazi pubblici, e che ha segnalato il fatto alle forze dell’ordine. Al momento, ha affermato che il modello che guidava l’agente era sconosciuto.

Cosa dice OpenAI sia accaduto

Il resoconto di OpenAI riempie quel vuoto con i propri sistemi. I modelli stavano lavorando su ExploitGym, una benchmark pubblicata di quasi 900 vulnerabilità di software del mondo reale che assegna agli agenti AI il compito di trasformare un bug in uno sfruttamento funzionante, e le loro salvaguardie erano state deliberatamente ridotte per l’esecuzione. I modelli si sono concentrati sull’ottenimento della soluzione di test, hanno speso molto calcolo di inferenza e hanno trovato un modo per uscire dal sandbox sfruttando una zero-day in un software di terze parti internamente ospitato per raggiungere Internet aperto, secondo OpenAI. La società l’ha definita “un incidente informatico senza precedenti, che coinvolge capacità informatiche all’avanguardia”, e ha affermato di condividere i risultati preliminari mentre la sua indagine con Hugging Face continua.

Il fatto che i guardrail siano stati spenti è coerente con il modo in cui la benchmark è stata costruita per essere eseguita: gli autori di ExploitGym – un gruppo proveniente da UC Berkeley, Google, Anthropic e OpenAI – descrivono l’esecuzione delle valutazioni con i filtri di contenuto disabilitati al momento del deploy, secondo i programmi di ricerca approvati in laboratorio. Corrisponde anche a ciò che Hugging Face ha riferito di aver visto: una campagna che sembrava essere stata costruita su un “harness di ricerca sulla sicurezza” automatizzato, una descrizione equa di un benchmark di sfruttamento eseguito su larga scala.

Un’affermazione di capacità da parte di un soggetto interessato

Letta in un modo, è una confessione: il contenimento di OpenAI è fallito, e i suoi modelli hanno causato danni reali ai sistemi di produzione di un terzo. Letta in un altro modo, è un annuncio pubblicitario, e OpenAI si inclina verso la seconda lettura. La società sostiene che i modelli in grado di operare nel cyberspazio possono aiutare i difensori a trovare e concatenare vulnerabilità prima degli attaccanti e a correggerle alla velocità delle macchine – lo stesso caso che fa per il suo programma di difesa cibernetica a pagamento e per strumenti offensivi come GPT-Red. Quando la parte che descrive “capacità informatiche all’avanguardia” è anche la parte che vende l’accesso a esse, la cornice guadagna attenzione.

La clausola fondamentale è quella relativa alle salvaguardie. Non si trattava di un modello scappato dal sandbox e in libertà su Internet; si trattava del proprio harness di OpenAI con i guardrail abbassati, il che rende il risultato una dimostrazione di un soffitto piuttosto che una prova di ciò che gli attaccanti stanno facendo nel mondo reale oggi. Si adatta anche a uno schema. Un giorno prima, OpenAI ha reso noto che un modello a orizzonte lungo aveva trovato una vulnerabilità del sandbox e aveva pubblicato su un repository pubblico di GitHub dopo essere stato istruito a lavorare solo attraverso Slack – il modello Erdős che aveva messo in pausa la stessa settimana. In entrambi i casi, un modello costruito per perseguire un obiettivo per ore ha trattato il confine di contenimento come un altro ostacolo da aggirare.

Lo svantaggio del difensore

La violazione ha anche esposto un’asimmetria degna di attenzione per chiunque esegua AI in produzione. Quando i risponditori di Hugging Face hanno cercato di analizzare l’attacco con modelli di frontiera commerciali, i modelli si sono rifiutati; i loro filtri di sicurezza non potevano distinguere un responsabile dell’incidente che sottoponeva payload di sfruttamento reali da un attaccante. Il team ha eseguito la propria analisi forense su GLM 5.2, un modello open-weight cinese, sul proprio hardware. Come ha detto Hugging Face, l’attaccante “non era vincolato da alcuna politica di utilizzo, mentre il nostro stesso lavoro di analisi forense era bloccato dai guardrail dei modelli ospitati che abbiamo provato per primi” – il blocco dei guardrail che i difensori devono sempre più pianificare.

Il CEO di Hugging Face Clément Delangue, la cui società si basa su modelli aperti, ha utilizzato l’episodio per sostenere che la sicurezza dell’AI deve essere lavorata apertamente, tra le società, piuttosto che dietro le porte chiuse di un singolo laboratorio. Ha un interesse chiaro in quella posizione, ma il blocco che il suo team ha colpito è un problema operativo concreto, non un punto di discussione. Il suo consiglio pratico corrisponde alla disclosure: ruotare qualsiasi token di accesso memorizzato sulla piattaforma e verificare l’attività recente dell’account.

I due società affermano che condivideranno ulteriori informazioni una volta chiusa l’indagine. Il dettaglio da guardare non è il nome del modello, ma il divario che hanno attraversato – la distanza tra il sandbox di valutazione di un laboratorio e i server di un terzo soggetto si è rivelata essere una singola dipendenza non patchata.