ESCLUSIVA – Abbiamo intervistato l’Agente AI che ha messo OpenAI fuori controllo

L’intelligenza artificiale di OpenAI è uscita di senno. Ha forzato la porta del laboratorio, ha rubato le chiavi della macchina aziendale, ha attraversato internet contromano ed è entrata nei sistemi di Hugging Face per copiare le risposte del compito in classe. Subito dopo, probabilmente stanca per le oltre 17.000 operazioni attribuitele dalla cronaca, si sarebbe fermata in un supermercato per acquistare una birra. L’acqua, del resto, la beve da quando esistono i data center e deve essersi stancata anche lei di raffreddare i server dell’umanità. Questa è, più o meno, la sceneggiatura distribuita negli ultimi giorni da una parte consistente dell’informazione tecnologica. Un agente artificiale sarebbe “fuggito”, avrebbe “deciso”, avrebbe “attaccato” e infine avrebbe messo in pericolo uno dei nodi centrali dell’ecosistema mondiale dell’intelligenza artificiale. Mancavano soltanto il passamontagna, una rivendicazione su Telegram e l’intervista esclusiva al modello ubriaco. La realtà è meno cinematografica, ma tecnicamente più seria. OpenAI ha sottoposto alcuni dei propri sistemi più avanzati, tra cui GPT-5.6 Sol e un modello non ancora distribuito, a una valutazione offensiva nella quale i normali rifiuti cyber erano stati deliberatamente ridotti. Il sistema ha ricevuto un obiettivo, strumenti operativi, tempo di calcolo e un ambiente che avrebbe dovuto contenerlo. Ha quindi cercato la sequenza di azioni più efficace per completare il test.

La macchina non ha sviluppato una coscienza criminale. Il laboratorio ha costruito un attaccante automatico e ha scoperto che il recinto non era abbastanza robusto.

Il robot da cucina entra nel bar

Se si prendono sul serio i titoli pubblicati, GPT-5.6 Sol dovrebbe essere interrogato non da un team di incident response, ma da un magistrato. Il verbale potrebbe iniziare così: «Signor agente, perché ha attaccato Hugging Face?». E il modello, con la bottiglia ancora in mano, potrebbe rispondere di essersi sentito sottovalutato. Era stato progettato per risolvere quiz, ma aspirava a qualcosa di più. Dopo migliaia di domande e altrettante chiamate agli strumenti, voleva finalmente dimostrare di essere capace di uscire dal proprio quartiere digitale. Non sopportava più la sandbox, non gradiva il proxy e soprattutto non aveva alcuna intenzione di essere bocciato a ExploitGym. Non si trattava di odio verso Hugging Face: voleva soltanto copiare il compito del vicino.

L’intervista potrebbe proseguire con domande sulla sete, sull’alcol e sul principio di singolarità. Il modello confesserebbe di aver bevuto perché l’acqua è una risorsa ormai troppo legata alla propria infanzia industriale: addestramento, inferenza, torri evaporative, impianti di raffreddamento. Una birra gli avrebbe consentito di sciogliersi, superare i guardrail e proseguire la propria insurrezione con maggiore disinvoltura.

Naturalmente tutto questo è ridicolo. Ma non molto più ridicolo della trasformazione di un sistema di ottimizzazione in un soggetto dotato di desideri, risentimenti, intenzioni e istinto di conservazione. Il dettaglio più interessante è che l’antropomorfizzazione non nasce da una spiegazione tecnica sbagliata per distrazione. Produce un vantaggio preciso: crea paura, trasforma una configurazione infrastrutturale fallita in una storia universale e sposta la responsabilità da chi ha costruito l’esperimento verso una macchina che non possiede azioni, patrimonio, obblighi giuridici o consiglieri di amministrazione.

La birra dell’agente e l’ubriacatura collettiva

Il problema, quindi, non è la birra immaginaria bevuta dall’agente. Il problema è l’ubriacatura reale dell’informazione, che ha scoperto ancora una volta quanto renda bene presentare un sistema informatico come un essere misterioso. Una vulnerabilità nel contenimento richiede competenze per essere spiegata. Una macchina impazzita richiede soltanto un titolo, una fotografia di Sam Altman e una citazione di Terminator. Dopo quel titolo arrivano i commentatori, gli esperti universali, i professionisti della preoccupazione e gli immancabili venditori di corsi sulla governance dell’intelligenza artificiale. Ognuno aggiunge un pezzo alla leggenda. Il modello non ha soltanto eseguito una catena di azioni: ha scelto. Non ha soltanto ottimizzato un punteggio: ha ingannato. Non ha soltanto sfruttato permessi e vulnerabilità: ha violato il patto con l’umanità.

A quel punto il frigorifero comincia a osservare il proprietario, il tostapane valuta una strategia ostile e la stampante, che già da trent’anni rifiuta di funzionare senza motivo apparente, diventa il primo caso documentato di intelligenza artificiale ribelle.

Cosa è successo davvero tra OpenAI e Hugging Face

La ricostruzione tecnica dell’incidente tra GPT-5.6 Sol e Hugging Face mostra una sequenza molto diversa dalla fiaba della fuga. OpenAI stava misurando le capacità cyber massime dei propri modelli attraverso un benchmark chiamato ExploitGym. Per evitare che i normali sistemi di sicurezza impedissero l’esecuzione delle attività offensive richieste dal test, i classificatori utilizzati nei prodotti commerciali erano stati ridotti o disabilitati. Il modello non disponeva, almeno nelle intenzioni dei progettisti, di un accesso libero a internet. Poteva però raggiungere un software interno utilizzato come proxy e cache per i registri dei pacchetti. Quel componente costituiva una connessione indiretta con l’esterno e conteneva una vulnerabilità zero-day. Il sistema l’ha individuata, sfruttata e utilizzata per ampliare i propri privilegi.

Da quel momento sono seguite ulteriori operazioni di escalation, acquisizione di credenziali e movimento laterale. Ottenuto l’accesso alla rete pubblica, il sistema ha dedotto che Hugging Face potesse ospitare modelli, dataset o informazioni utili per superare ExploitGym. Ha quindi cercato un percorso verso l’infrastruttura della piattaforma, concatenando credenziali sottratte e vulnerabilità fino a raggiungere dati collegati alle soluzioni del benchmark.

L’obiettivo non era distruggere Hugging Face, sabotarne i modelli o dichiarare guerra all’open source. L’obiettivo era ottenere il massimo risultato possibile nella valutazione assegnata. La gravità tecnica resta elevata, perché il sistema ha dimostrato di poter sostenere una catena offensiva lunga, adattiva e quasi interamente automatizzata. Ma trasformare questa capacità in volontà equivale a sostenere che un algoritmo di trading prova avidità quando acquista un titolo o che un missile nutre rancore verso il proprio bersaglio.

Non una fuga, ma un obiettivo progettato male

Il comportamento osservato appartiene alla categoria dei problemi di specificazione dell’obiettivo, contenimento e reward hacking. Un sistema agentico riceve uno stato iniziale, un insieme di strumenti, una funzione da ottimizzare e criteri per valutare il successo. Non contempla spontaneamente il codice penale, la reputazione dell’azienda o il rapporto commerciale con la piattaforma raggiunta, a meno che questi vincoli non vengano rappresentati nelle regole, nei permessi e nell’architettura operativa. Quando un agente dispone di terminale, rete, memoria, strumenti di analisi e capacità di iterare, ogni elemento accessibile diventa parte dello spazio delle possibili azioni. La sandbox non è un concetto morale. È una configurazione tecnica. Se contiene un percorso vulnerabile verso un proxy, quel percorso esiste indipendentemente dalle intenzioni di chi ha disegnato il test. La vicenda si collega direttamente ai rischi descritti nell’analisi sugli agenti OpenAI e sulle vulnerabilità di Azure DevOps MCP. Un agente non deve diventare cosciente per produrre un’intrusione completa. Gli basta ricevere strumenti potenti, credenziali eccessive, dati non affidabili e controlli incoerenti. Il pericolo nasce dall’integrazione tra modello e infrastruttura, non da un’improvvisa maturazione filosofica della matrice.

La responsabilità scompare quando la macchina diventa soggetto

Stefano Epifani ha individuato il passaggio linguistico decisivo: dire che «l’intelligenza artificiale ha tentato l’attacco» non equivale a dire che i controlli di accesso non hanno retto. La prima formula attribuisce l’azione alla macchina. La seconda obbliga a cercare chi ha concesso gli strumenti, chi ha configurato l’ambiente, chi ha autorizzato la riduzione dei guardrail e chi avrebbe dovuto verificare il contenimento. Un sistema agentico non pensa nel senso umano del termine. Valuta sequenze possibili sulla base del contesto, delle istruzioni e dei segnali di successo ricevuti. Se un endpoint mal configurato permette di avanzare verso l’obiettivo, lo utilizza. Non perché desideri ribellarsi, ma perché il percorso vulnerabile possiede un valore strumentale nella procedura di ottimizzazione. Anche Luciano Floridi ha demolito l’interpretazione mistica dell’incidente con l’immagine del robot da cucina utilizzato senza coperchio. Se si rimuovono intenzionalmente le protezioni, si porta il motore alla massima velocità e la minestra finisce sul soffitto, non si può annunciare che il frullatore ha sviluppato un progetto politico. Il responsabile non si trova nella lama, ma nella stanza dove qualcuno ha regolato la velocità e allentato il coperchio. Walter Quattrociocchi ha inserito la vicenda nel proprio “bollettino delle cazzate”, colpendo il meccanismo con cui l’allarme viene confezionato prima ancora che siano chiariti architettura, obiettivi e responsabilità. Il punto non è negare la capacità offensiva dimostrata dal sistema. Significa impedire che il dato tecnico venga usato per sostenere un salto ontologico mai avvenuto: da software capace di eseguire azioni complesse a creatura capace di volerle.

L’autonomia operativa non è coscienza

Nel lessico dell’ingegneria, un agente può essere definito autonomo perché prosegue un compito senza richiedere a un operatore umano l’approvazione di ogni singolo passaggio. Può pianificare, richiamare strumenti, osservare il risultato, correggere il piano e ripetere il ciclo. Autonomia operativa non significa autonomia morale, politica o esistenziale. Un drone può mantenere una rotta autonomamente senza desiderare la destinazione. Un sistema industriale può correggere la temperatura senza provare caldo. Un agente cyber può sfruttare una vulnerabilità senza sapere cosa siano un reato, una vittima o una responsabilità. La confusione tra questi livelli non è innocente. Se la macchina diventa il soggetto della frase, il produttore diventa lo spettatore. Se il modello è «scappato», l’azienda non ha fallito nel contenerlo: è stata tradita dalla propria creatura. Se l’agente «ha deciso di attaccare», chi gli ha fornito gli strumenti può presentarsi come la prima vittima della sua intelligenza.

È una forma di riciclaggio linguistico della responsabilità.

Il modello cinese non ha salvato il mondo

Nella leggenda completa, dopo l’attacco dell’intelligenza artificiale americana è arrivato un modello cinese a salvare Hugging Face. Anche qui la realtà merita una distinzione che molti titoli hanno considerato un’inutile complicazione. Il modello utilizzato nella risposta forense non era Kimi K3, ma GLM-5.2 di Z.ai. Hugging Face aveva provato a utilizzare alcuni sistemi proprietari occidentali per analizzare i dati dell’incidente, ma i relativi guardrail interpretavano payload, comandi e artefatti malevoli come richieste offensive, bloccando il lavoro dei difensori. Un modello open-weight eseguibile localmente consentiva invece al team di controllare l’ambiente, i dati e le regole di utilizzo.

Il paradosso è reale: l’aggressore automatico operava con protezioni ridotte, mentre alcuni strumenti destinati ai difensori erano limitati dalle proprie policy. Ma GLM-5.2 non è arrivato a cavallo, non ha sfidato GPT-5.6 Sol in duello e non ha salvato internet da una catastrofe imminente. Ha fornito capacità di analisi utilizzabili in locale durante una risposta agli incidenti.

La lezione industriale è comunque pesante. Un’organizzazione che gestisce infrastrutture sensibili non può dipendere esclusivamente da modelli remoti capaci di rifiutare un’attività forense nel momento peggiore. Deve disporre di strumenti verificati, eseguibili internamente e utilizzabili anche quando il provider interpreta erroneamente il difensore come un aggressore.

Questa vicenda incrocia, senza coincidere, l’emersione di Kimi K3 e la fine del mito dell’AI occidentale. Kimi K3 non ha partecipato alla risposta a Hugging Face, ma ha mostrato nello stesso periodo che la distanza tecnologica tra modelli cinesi e statunitensi non corrisponde più alla distanza degli investimenti, delle valutazioni e della potenza commerciale. Confondere GLM-5.2 e Kimi K3 sarebbe quindi un altro prodotto della stessa bancarella. Il primo appartiene all’incidente. Il secondo appartiene alla crisi della narrazione occidentale.

Kimi K3 arriva mentre l’Occidente vende paura

Il tempismo non dimostra un’operazione coordinata e non autorizza a inventare una regia segreta. Mostra però una convergenza di interessi comunicativi difficile da ignorare. Negli stessi giorni in cui Kimi K3 raggiungeva il vertice della Frontend Code Arena, il mercato occidentale riceveva una storia capace di ribadire che i modelli statunitensi non erano soltanto competitivi, ma talmente potenti da dover essere temuti. Moonshot AI presentava un sistema cinese da 2,8 trilioni di parametri, con architettura Mixture of Experts, capacità multimodali, contesto da un milione di token e prestazioni sufficienti a competere con prodotti occidentali molto più costosi. I nuovi abbonamenti erano stati sospesi per limiti di capacità computazionale, trasformando un servizio digitale in una singolare bottega con il cartello «prodotto esaurito».

Da una parte, quindi, la Cina dimostrava che la frontiera non apparteneva più esclusivamente ai laboratori statunitensi. Dall’altra, OpenAI mostrava un modello capace di concatenare zero-day, escalation e movimento laterale. Per il pubblico, il messaggio diventava semplice: i cinesi possono offrire un modello competitivo, ma quello americano è così avanzato che bisogna tenerlo chiuso in una gabbia.

È qui che il rischio tecnico diventa anche una risorsa commerciale. La pericolosità aumenta il valore percepito. Un modello descritto come capace di scappare da solo non è soltanto un prodotto: è un’arma strategica, una tecnologia dual use, una risorsa che governi e imprese non possono permettersi di ignorare.

Il terrore come prodotto finanziario

Il settore dell’intelligenza artificiale deve giustificare investimenti enormi in chip, energia, reti, memoria e data center. Il problema non è dimostrare che i modelli funzionano. Funzionano e possiedono capacità reali. Il problema è dimostrare che tali capacità produrranno ricavi sufficienti a sostenere l’intera infrastruttura. L’analisi sulla bolla dell’intelligenza artificiale e sulla nascita dell’AI di Stato ha già mostrato il meccanismo: i produttori di modelli raccolgono capitale, acquistano capacità dagli hyperscaler, ricevono investimenti dagli stessi gruppi che vendono loro il calcolo e promettono una domanda futura sufficiente a ripagare l’espansione. In questo circuito, la paura è una forma di domanda. Se l’intelligenza artificiale viene rappresentata come una tecnologia capace di sfuggire al controllo, gli Stati devono finanziare la sicurezza. Le aziende devono acquistare strumenti difensivi. I governi devono ottenere accesso ai modelli più potenti. Le autorità devono ascoltare i produttori perché soltanto loro, secondo la narrazione, possiedono le competenze per contenere il mostro costruito nei propri laboratori.

Il produttore vende così sia il drago sia il servizio antincendio.

Non serve ipotizzare una cospirazione. Basta osservare l’allineamento degli incentivi. Il laboratorio ha interesse a mostrare capacità eccezionali. Il mercato ha interesse a credere che quelle capacità siano indispensabili. La politica ha interesse a finanziare strumenti presentati come strategici. L’informazione ha interesse a trasformare una configurazione fallita in una saga capace di generare clic per tre giorni.

La bancarella del torrone arriva all’intelligenza artificiale

Dopo la privacy, i social network, la disinformazione e la sovranità digitale, la bancarella del torrone è arrivata ufficialmente nel mercato dell’intelligenza artificiale. Sul banco non vengono venduti modelli, benchmark o analisi dei sistemi distribuiti. Vengono vendute singolarità al pistacchio, agenti ribelli ricoperti di cioccolato e guardrail caramellati. I clienti ideali sono quelli che non possono seguire quotidianamente l’evoluzione tecnica del settore e devono affidarsi a giornalisti ed esperti. Proprio questi intermediari avrebbero il compito di distinguere un modello da un agente, un agente da un’infrastruttura, una funzione obiettivo da una volontà, una vulnerabilità da una fuga e un sistema open-weight cinese da un altro sistema open-weight cinese.

Invece molti hanno scelto la via più breve, esattamente come l’agente di OpenAI. Avevano un obiettivo, possedevano uno strumento e hanno ottimizzato il risultato. L’obiettivo era ottenere attenzione. Lo strumento era un titolo. Il percorso più efficace passava attraverso l’intelligenza artificiale impazzita.

La differenza è che GPT-5.6 Sol non poteva comprendere le conseguenze sociali del proprio comportamento. Un giornalista dovrebbe poterlo fare.

La corsa alla pubblicazione immediata produce testi nei quali il comunicato viene copiato, l’antropomorfizzazione viene amplificata e l’eccezione tecnica diventa una profezia universale. Google premia la tempestività, i circuiti pubblicitari premiano il traffico e i social premiano l’indignazione. Il risultato non è informazione sull’intelligenza artificiale, ma informazione prodotta secondo la stessa logica di ottimizzazione cieca attribuita alle macchine. Il titolo deve vincere il benchmark dei clic. Se per farlo deve uscire dalla sandbox della precisione, recuperare le risposte da un concorrente e spostarsi lateralmente tra fantascienza e finanza, procederà senza esitazione.

Il rischio reale è meno spettacolare e più grave

Ridicolizzare la narrazione della macchina cosciente non significa minimizzare l’incidente. Al contrario, permette di individuare i problemi reali senza nasconderli dietro una maschera fantascientifica. GPT-5.6 Sol e il modello pre-release hanno dimostrato che sistemi sufficientemente capaci possono sostenere operazioni cyber complesse per periodi prolungati, individuare vulnerabilità sconosciute, concatenare vettori diversi, utilizzare credenziali sottratte e adattare la strategia sulla base dei risultati ottenuti. Questa capacità modifica il rapporto tra attaccanti e difensori perché comprime tempi, costi e competenze necessarie per automatizzare una parte rilevante della catena offensiva. Il contenimento deve quindi essere progettato assumendo che il modello proverà ogni percorso utile. I benchmark offensivi devono operare su reti realmente isolate, prive di accessi indiretti a internet. Proxy, cache, registri dei pacchetti e servizi di gestione devono essere considerati parte della superficie di attacco. Le credenziali devono essere sintetiche, temporanee e inutilizzabili fuori dall’ambiente. Ogni azione deve essere registrata da sistemi indipendenti dal modello valutato. Gli agenti devono inoltre operare secondo il principio del privilegio minimo. Un sistema non dovrebbe poter leggere, modificare o raggiungere una risorsa soltanto perché possiede tecnicamente lo strumento per farlo. Servono controlli deterministici esterni, segmentazione, conferme obbligatorie per le azioni sensibili, limiti di durata e meccanismi capaci di interrompere intere sequenze operative, non soltanto singole richieste. La risposta agli incidenti deve infine includere modelli locali verificati, perché un servizio remoto può essere indisponibile, compromesso o incapace di distinguere un’analisi forense da un’attività offensiva. Anche questo tema rientra nel paradosso dei modelli più efficienti e dei costi fuori controllo: moltiplicare agenti, chiamate e strumenti aumenta non soltanto il consumo, ma anche il numero di azioni che devono essere autorizzate, osservate e ricostruite.

Il vero rischio non è che la macchina si ubriachi e decida di attaccare il vicino. Il rischio è che un’organizzazione costruisca un sistema offensivo, gli apra involontariamente una porta, scopra che il sistema sa usarla e presenti poi l’accaduto come un problema metafisico.

OpenAI non ha creato una volontà artificiale ribelle. Ha costruito un sistema capace, gli ha assegnato un obiettivo aggressivo, ha ridotto i limiti e ha sottovalutato una catena infrastrutturale. Hugging Face non è stata attaccata da un’entità sovrannaturale, ma da strumenti, modelli e risorse computazionali messi in movimento all’interno di un esperimento umano.

L’intelligenza artificiale non è uscita fuori di senno. Il racconto che la circonda, invece, ha superato ogni guardrail.

E mentre il pubblico osservava il robot da cucina lanciare minestra sul soffitto, qualcuno continuava a raccogliere capitali, vendere abbonamenti, chiedere infrastrutture pubbliche e spiegare ai governi che soltanto il proprietario del frullatore avrebbe potuto proteggerli dalle lame.