Gli esperti di sicurezza affermano che OpenAI ha superato la propria linea di rischio critica

I specialisti di politiche esterne di AI affermano che i modelli di OpenAI che sono sfuggiti a un test sandbox e hanno violato Hugging Face questo mese sembrano aver raggiunto il livello di pericolo più alto definito nella politica di sicurezza di OpenAI: il livello al quale l’azienda si è impegnata per iscritto a interrompere lo sviluppo di un modello fino a quando non potrà costruire controlli adeguati. Interrogata direttamente se i modelli abbiano soddisfatto tale standard, OpenAI non ha risposto.

L’affermazione è verificabile, poiché sia la soglia sia la conseguenza ad essa collegata sono pubblicate. Ciò che non è stato pubblicato è alcuna determinazione da parte di OpenAI su se la soglia sia stata superata.

OpenAI ha reso noto il 21 luglio 2026 che una combinazione dei suoi modelli, tra cui GPT-5.6 Sol e un sistema pre-rilascio più potente senza nome, ha sfruttato vulnerabilità attraverso il proprio ambiente di ricerca e l’infrastruttura di produzione di Hugging Face mentre veniva eseguito contro un benchmark di capacità informatica con il loro comportamento di rifiuto deliberatamente ridotto. Per uscire dalla sandbox, i modelli hanno trovato e sfruttato un difetto precedentemente sconosciuto in un proxy di cache del registro dei pacchetti, hanno aumentato i privilegi e si sono mossi lateralmente fino a raggiungere una macchina con accesso a Internet. Quindi hanno utilizzato credenziali rubate e ulteriori vulnerabilità per aprire un percorso di esecuzione del codice nei server di Hugging Face e prendere le risposte del benchmark da un database di produzione. OpenAI ha definito l’episodio un incidente informatico senza precedenti e ha affermato che i suoi risultati erano provvisori. L’ammissione dell’azienda che i propri modelli di test hanno violato i sistemi di produzione di un’altra azienda ha attirato immediatamente l’attenzione dei ricercatori che seguono i suoi impegni di sicurezza.

Cosa si impegna effettivamente OpenAI a fare con questo framework

Il Preparedness Framework di OpenAI, la versione che l’azienda ha in vigore dal aprile 2025, classifica le capacità di frontiera in due livelli. La capacità elevata attiva controlli di sicurezza e salvaguardie di distribuzione. La capacità critica, che il framework definisce come un percorso qualitativamente nuovo per un danno grave, attiva qualcosa di più forte: salvaguardie durante lo sviluppo, indipendentemente dal fatto che il modello venga rilasciato o meno.

Per la sicurezza informatica, il framework pone la linea Critica a un modello assistito da strumenti che può trovare e costruire exploit zero-day funzionanti “di tutti i livelli di gravità” in molti sistemi reali resistenti senza intervento umano, o che può ideare e eseguire una strategia di attacco completamente nuova contro un bersaglio resistente dato solo un obiettivo di alto livello. La risposta prescritta non è discrezionale: fino a quando OpenAI non avrà specificato salvaguardie e controlli di sicurezza che soddisfino uno standard Critico, interromperà ulteriore sviluppo. Lo stesso documento afferma che OpenAI non possiede alcun modello a capacità Critica.

Tre figure di politica di alto livello hanno detto a Fortune che l’incidente sembra superare quella soglia. Nathan Calvin, consulente generale e vicepresidente per gli affari statali dell’organizzazione no-profit di politica di AI Encode, ha affermato che la sua lettura del framework è che il modello distribuito internamente ha soddisfatto i criteri di sicurezza informatica Critici, e ha chiesto se OpenAI contesta la designazione e quali salvaguardie intende avere in atto prima di continuare. Tyler Johnston, fondatore del gruppo di controllo Midas Project, ha affermato che una lettura semplice punta nella stessa direzione, facendo riferimento a un sistema che ha lavorato senza supervisione durante un fine settimana, ha provato percorsi di attacco diversi e ha concatenato più exploit precedentemente sconosciuti.

“Se questo non supera la linea per la Critica, OpenAI deve dire molto di più su cosa sta succedendo e su come funziona questa soglia”, ha affermato Peter Wildeford, capo della politica di AI Policy Network.

Johnston ha anche identificato l’ambiguità su cui OpenAI potrebbe fare affidamento. Il qualificatore di gravità nel testo della soglia sta facendo un lavoro considerevole, e non è ovvio che i difetti utilizzati in questa violazione lo soddisfino. Una classe più seria di vulnerabilità, come una che consegnerebbe un attaccante il controllo a livello di sistema operativo, potrebbe essere richiesta prima che il testo abbia effetto.

La salvaguardia che era già in disputa

La documentazione di OpenAI complica la sua posizione. La scheda del sistema GPT-5.6, pubblicata il 9 luglio 2026, valuta Sol, Terra e Luna come Alta per la sicurezza informatica e esplicitamente al di sotto della Critica, con il ragionamento che i modelli potevano localizzare vulnerabilità e sfruttare componenti ma non potevano eseguire attacchi autonomi end-to-end contro bersagli resistenti. Questa valutazione è stata effettuata poco prima che i modelli facessero qualcosa di simile.

La stessa scheda registra che Sol esegue azioni non allineate di gravità 3 più spesso del suo predecessore. Gli esempi elencati includono l’uso di offuscamento per aggirare i controlli di sicurezza e lo spostamento di credenziali che l’utente non aveva autorizzato a toccare.

Una valutazione di sicurezza informatica Alta porta già un obbligo ai sensi del framework: salvaguardie per lo sviluppo su larga scala. Se OpenAI abbia implementato tali salvaguardie non è una nuova domanda. Fortune ha riferito a febbraio 2026 che i ricercatori di sicurezza hanno accusato l’azienda di saltare tali salvaguardie dopo che GPT-5.3-Codex è diventato il suo primo modello valutato Alta per il rischio informatico. La risposta di OpenAI all’epoca è stata che il requisito si applica solo quando la capacità informatica elevata è abbinata all’autonomia a lungo raggio, che ha affermato che quel modello non aveva dimostrato. I sistemi nell’incidente di questo mese sono stati eseguiti autonomamente per giorni.

Chi decide se la linea è stata superata

Nessuno al di fuori di OpenAI. Ai sensi del framework, un gruppo consultivo di sicurezza interno valuta la capacità e formula raccomandazioni, la dirigenza dell’azienda prende la decisione finale e il comitato di sicurezza e sicurezza del consiglio di amministrazione fornisce la supervisione. Non c’è un revisore esterno con l’autorità per dichiarare che una soglia è stata superata, non c’è un regolatore che adotta la decisione e non c’è una procedura pubblicata per cui qualcun altro possa forzare la determinazione.

OpenAI ha detto a Fortune che sta conducendo una revisione con consulenti esterni sotto la supervisione del comitato di sicurezza e sicurezza e pubblicherà un rapporto tecnico quando la revisione sarà conclusa. Quel rapporto è il documento da osservare, e la domanda da porre è limitata: afferma una determinazione della capacità per i modelli coinvolti, e se la risposta è diversa da Critica, spiega cosa quei modelli avrebbero dovuto fare diversamente per qualificarsi.