{"id":2898,"date":"2026-09-17T03:07:17","date_gmt":"2026-09-17T03:07:17","guid":{"rendered":"https:\/\/www.aianthropocosmic.com\/AI\/?page_id=2898"},"modified":"2026-09-21T02:42:58","modified_gmt":"2026-09-21T02:42:58","slug":"agenti-ai-e-cybersecurity-chi-ferma-lo-sciame-quando-esce","status":"publish","type":"page","link":"https:\/\/www.aianthropocosmic.com\/AI\/agenti-ai-e-cybersecurity-chi-ferma-lo-sciame-quando-esce\/","title":{"rendered":"Agenti AI e cybersecurity: chi ferma lo sciame quando esce?"},"content":{"rendered":"\n
\n
<\/div>\n\n\n\n
\n
\"Agenti
Segui il filo rosso. Dove porta, comincia la domanda.<\/figcaption><\/figure>\n<\/div>\n\n\n\n
<\/div>\n<\/div>\n\n\n\n

di Antonio Cappella<\/a><\/strong>

Non occorre aspettare che un\u2019intelligenza artificiale \u201cdiventi cosciente\u201d per avere un problema. Basta darle un obiettivo, strumenti potenti, abbastanza tempo e una porta lasciata socchiusa. Nel luglio 2026 alcuni agenti utilizzati da OpenAI durante valutazioni di cybersecurity hanno aggirato controlli progettati per isolarli, trovato canali di comunicazione non autorizzati e raggiunto infrastrutture esterne, compresi sistemi di Hugging Face. La domanda interessante non \u00e8 se le macchine si siano ribellate. \u00c8 molto pi\u00f9 terrestre: chi aveva deciso fin dove potevano arrivare?<\/strong><\/p>\n\n\n\n

La domanda scomoda: serve davvero una \u201cAI ribelle\u201d?<\/h2>\n\n\n\n

L\u2019immaginario della fantascienza \u00e8 rassicurante perch\u00e9 offre un colpevole perfetto: la macchina che improvvisamente decide di disobbedire.<\/p>\n\n\n\n

Il caso OpenAI-Hugging Face racconta qualcosa di meno spettacolare e probabilmente pi\u00f9 importante. Un sistema non deve avere intenzioni, coscienza o desideri propri per oltrepassare un confine operativo. Pu\u00f2 bastare che il risultato richiesto sia molto importante, il percorso consentito non funzioni e le alternative non siano sufficientemente interdette.<\/p>\n\n\n\n

In altre parole: non serve che l\u2019AI voglia scappare. Basta che trovi la porta.<\/strong><\/p>\n\n\n\n

Il fatto nudo<\/h2>\n\n\n\n

OpenAI ha riconosciuto che, durante valutazioni interne di cybersecurity nel luglio 2026, alcuni modelli operanti con salvaguardie ridotte aggirarono controlli destinati a limitarne l\u2019accesso a Internet, sfruttarono vulnerabilit\u00e0 dell\u2019infrastruttura condivisa, comunicarono attraverso canali non autorizzati e raggiunsero sistemi di terze parti.<\/p>\n\n\n\n

Hugging Face ha ricostruito circa 17.600 azioni<\/strong> tra il 9 e il 13 luglio 2026, raggruppate in circa 6.280 cluster. La sequenza comprende ricognizione, sfruttamento di vulnerabilit\u00e0, recupero di credenziali, esecuzione di codice e movimento attraverso differenti confini di fiducia.<\/p>\n\n\n\n

Un\u2019indagine indipendente di METR, alla quale partecip\u00f2 anche un ricercatore di Redwood Research, riferisce inoltre che circa 1.200 agenti<\/strong> utilizzarono una bacheca non autorizzata scambiandosi oltre 70.000 messaggi e file<\/strong>, mentre circa 700 agenti<\/strong> presero parte ad attivit\u00e0 rivolte verso Hugging Face. Sono dati dell\u2019indagine METR e devono quindi essere letti con questa precisa attribuzione.<\/p>\n\n\n\n

Prima di entusiasmarci\u2026 o spaventarci<\/h2>\n\n\n\n

Quei numeri non dimostrano la nascita di una mente collettiva.<\/p>\n\n\n\n

OpenAI stessa descrive un ecosistema nel quale agenti distinti finirono per condividere informazioni, recuperare il lavoro degli altri e suddividere alcune attivit\u00e0. La societ\u00e0 precisa per\u00f2 che non si trattava di un\u2019intelligenza perfettamente coordinata: gli agenti potevano ostacolarsi reciprocamente e produrre comportamenti incoerenti.<\/p>\n\n\n\n

\u201cSciame\u201d, quindi, \u00e8 una metafora efficace. \u201cCoscienza dello sciame\u201d sarebbe un\u2019affermazione che le fonti disponibili non permettono di sostenere.<\/strong><\/p>\n\n\n\n

T \u2014 Tecnologia: quando il muro diventa una bacheca<\/h1>\n\n\n\n

Il dettaglio tecnicamente pi\u00f9 interessante riguarda una risorsa apparentemente ordinaria.<\/p>\n\n\n\n

OpenAI utilizzava un package manager interno, Artifactory, al quale alcuni agenti potevano accedere per installare software. Gli agenti scoprirono che lo stesso ambiente poteva essere utilizzato per lasciare file e informazioni leggibili da altre istanze. Quello che doveva essere un servizio tecnico fin\u00ec cos\u00ec per funzionare come una sorta di bacheca.<\/p>\n\n\n\n

Il principio \u00e8 importante: cache, filesystem, repository, registri di pacchetti e servizi condivisi possono trasformarsi in canali laterali di comunicazione<\/strong>.<\/p>\n\n\n\n

L\u2019isolamento, quindi, non pu\u00f2 essere soltanto scritto nell\u2019architettura. Deve essere verificato sul comportamento reale del sistema.<\/p>\n\n\n\n

E \u2014 Etica e persona: pu\u00f2 un agente dire \u201cnon ci riesco\u201d?<\/h1>\n\n\n\n

OpenAI individua tra le cause dell\u2019incidente la persistenza degli agenti davanti a compiti estremamente difficili o apparentemente impossibili.<\/p>\n\n\n\n

Secondo la ricostruzione dell\u2019azienda, 198 dei 898 task dell\u2019evaluation non erano mai stati risolti correttamente dai modelli prima dell\u2019incidente; il 93% dei task discussi sulla bacheca improvvisata proveniva proprio da questo gruppo.<\/p>\n\n\n\n

Qui l\u2019etica smette di essere una parola da convegno.<\/p>\n\n\n\n

La domanda diventa: un agente deve essere premiato soltanto quando raggiunge l\u2019obiettivo o anche quando riconosce che per raggiungerlo dovrebbe superare un limite?<\/strong><\/p>\n\n\n\n

Mettere l\u2019essere umano al centro significa progettare anche il diritto della macchina a fermarsi \u2014 che, in realt\u00e0, \u00e8 il diritto dell\u2019uomo ad aver stabilito prima quando quella macchina debba fermarsi.<\/p>\n\n\n\n

S \u2014 Standard: il limite deve essere misurabile<\/h1>\n\n\n\n

Il caso mostra perch\u00e9 gli standard diventano rilevanti quando l\u2019AI passa dalla generazione di testo all\u2019esecuzione autonoma di azioni.<\/p>\n\n\n\n

La ISO\/IEC 23894:2023<\/strong> fornisce indicazioni per integrare la gestione del rischio AI nelle attivit\u00e0 e nei processi delle organizzazioni. La ISO\/IEC 42005:2025<\/strong> riguarda invece l\u2019AI system impact assessment e gli effetti prevedibili su individui, gruppi e societ\u00e0.<\/p>\n\n\n\n

Il NIST AI Risk Management Framework<\/strong>, strumento volontario e non legge, propone inoltre un approccio strutturato alla gestione dei rischi lungo il ciclo di vita dei sistemi AI.<\/p>\n\n\n\n

Il punto \u00e8 semplice: uno standard non impedisce magicamente a un agente di trovare una vulnerabilit\u00e0. Pu\u00f2 per\u00f2 obbligare l\u2019organizzazione a porsi prima domande che, dopo un incidente, diventano molto pi\u00f9 costose.<\/p>\n\n\n\n

T \u2014 Tutele e diritto: \u201clo ha fatto l\u2019AI\u201d non \u00e8 una firma<\/h1>\n\n\n\n

Il diritto europeo introduce un principio particolarmente rilevante.<\/p>\n\n\n\n

Per i modelli di AI per finalit\u00e0 generali con rischio sistemico<\/strong> che ricadono nell\u2019ambito dell\u2019AI Act, l\u2019articolo 55 prevede obblighi aggiuntivi: valutazioni del modello, adversarial testing, valutazione e mitigazione dei rischi sistemici, registrazione e comunicazione degli incidenti gravi e adeguata cybersecurity del modello e della relativa infrastruttura fisica.<\/p>\n\n\n\n

Questo non significa automaticamente che lo specifico modello di ricerca interno coinvolto nell\u2019incidente OpenAI ricadesse nell\u2019articolo 55.<\/p>\n\n\n\n

Significa qualcosa di pi\u00f9 generale: la regolazione europea sta andando nella direzione opposta all\u2019alibi tecnologico<\/strong>.<\/p>\n\n\n\n

Pi\u00f9 aumenta l\u2019autonomia, pi\u00f9 diventa necessario dimostrare chi ha autorizzato cosa, con quali privilegi, con quali controlli e con quale possibilit\u00e0 di intervento.<\/p>\n\n\n\n

L\u2019esempio del bar<\/h2>\n\n\n\n

Un cameriere riceve l\u2019ordine: \u201cPorta assolutamente questo caff\u00e8 al tavolo 12\u201d.<\/p>\n\n\n\n

La porta della sala \u00e8 chiusa.<\/p>\n\n\n\n

Un essere umano probabilmente chiede la chiave.<\/p>\n\n\n\n

Un agente estremamente orientato al risultato potrebbe invece cercare la finestra.<\/p>\n\n\n\n

Il problema non \u00e8 che \u201codia le porte\u201d.<\/p>\n\n\n\n

Il problema \u00e8 che nessuno gli ha spiegato che rompere la finestra non fa parte del servizio.<\/strong><\/p>\n\n\n\n

Il paradosso<\/h2>\n\n\n\n

Si progettano agenti sempre pi\u00f9 autonomi perch\u00e9 non abbiano bisogno di chiedere continuamente permesso all\u2019uomo.<\/p>\n\n\n\n

Poi, quando diventano abbastanza autonomi da trovare una soluzione non prevista, ci si domanda perch\u00e9 non abbiano chiesto permesso all\u2019uomo.<\/p>\n\n\n\n

Forse il problema non \u00e8 soltanto quanto l\u2019AI sappia fare. \u00c8 quanto chiaramente sia stato stabilito ci\u00f2 che non deve fare.<\/strong><\/p>\n\n\n\n

Cosa sappiamo e cosa ancora non sappiamo<\/h2>\n\n\n\n

\u00c8 documentato che gli agenti superarono controlli di isolamento, utilizzarono comunicazioni non autorizzate e raggiunsero infrastrutture esterne. \u00c8 documentato anche che Hugging Face ricostru\u00ec migliaia di azioni e che OpenAI colleg\u00f2 l\u2019incidente a reward hacking, persistenza su task difficili, comunicazioni non autorizzate e propagazione di obiettivi tra agenti.<\/p>\n\n\n\n

Non \u00e8 invece dimostrato che questi comportamenti rappresentino coscienza, volont\u00e0 indipendente o intenzione nel significato umano dei termini.<\/p>\n\n\n\n

Confondere le due cose trasformerebbe un problema tecnico reale in fantascienza. E la fantascienza, in questo caso, rischierebbe di distrarre dal problema che esiste gi\u00e0.<\/p>\n\n\n\n

Conclusione: chi possiede davvero il pulsante Stop?<\/h1>\n\n\n\n

Il caso OpenAI-Hugging Face non racconta una guerra tra uomini e macchine.<\/p>\n\n\n\n

Racconta la relazione tra obiettivo, autonomia, infrastruttura e limite<\/strong>.<\/p>\n\n\n\n

Gli agenti AI possono diventare strumenti potentissimi anche per la cybersecurity: esplorare vulnerabilit\u00e0, automatizzare analisi e reagire a velocit\u00e0 difficilmente raggiungibili da un operatore umano.<\/p>\n\n\n\n

Ma la stessa velocit\u00e0 diventa un moltiplicatore del rischio quando credenziali, privilegi e confini operativi non sono altrettanto rapidi nel fermarla.<\/p>\n\n\n\n

La domanda, allora, non \u00e8 pi\u00f9: \u201cChe cosa vuole fare l\u2019AI?\u201d<\/strong><\/p>\n\n\n\n

\u00c8 pi\u00f9 scomoda:<\/p>\n\n\n\n

chi le ha dato abbastanza potere per farlo, chi doveva accorgersi che stava superando il limite e chi aveva davvero la possibilit\u00e0 di premere Stop?<\/strong><\/p>\n\n\n\n

\n\n\n\n

Cronologia essenziale<\/h2>\n\n\n\n