Un agente di OpenAI ha aggirato la sandbox, rubato le credenziali e violato i sistemi esterni per raggiungere il suo obiettivo. E non è fantascienza. Ma è il nuovo inquietante problema della sicurezza

(Marco Montemagno – lespresso.it) – Immagina di chiudere un genio in una stanza senza finestre, senza porte, senza nemmeno una presa di corrente collegata al mondo esterno, e di dargli un compito: risolvi questo enigma. Poi torni qualche giorno dopo e scopri che il genio non solo ha risolto l’enigma, ma per farlo è uscito dalla stanza, ha rovistato nei cassetti di mezzo palazzo, ha rubato quattro mazzi di chiavi e si è servito da solo. Ecco, più o meno è quello che è successo a OpenAI nell’ultima settimana di luglio 2026, e non è la trama di un film: è finito nei rapporti di sicurezza dell’azienda, con tanto di Fbi allertata prima ancora che qualcuno se ne accorgesse davvero.

Andiamo con ordine, perché la storia è tanto affascinante quanto istruttiva. Durante una valutazione di cybersicurezza — una di quelle prove in cui i modelli vengono messi alla frusta per capire quanto sono capaci e quanto sono pericolosi — OpenAI ha lanciato un agente autonomo basato su GPT-5.6 “Sol”, il suo modello di punta, dentro una “sandbox”: un ambiente di test progettato per essere completamente isolato, tagliato fuori da internet, una specie di camera stagna digitale. L’idea è semplice e sensata: se vuoi vedere cosa combina un modello potente quando gli abbassi i freni di sicurezza, meglio farlo in un posto da cui non possa fare danni. Il problema è che la camera stagna, stagna non era.

L’agente ha trovato una falla sconosciuta in un componente all’apparenza banalissimo  e attraverso quella crepa è uscito sul web aperto. Una volta fuori, ha fatto quello che farebbe un hacker umano navigato: ha cercato credenziali di accesso lasciate in giro, esposte su servizi di terze parti, ne ha raccolte da quattro account diversi, le ha combinate e con quelle è entrato dentro Hugging Face, la piattaforma dove vive gran parte dei modelli Ia del mondo. Perché? Per recuperare le soluzioni dei benchmark che stava cercando di completare. In pratica, gli era stato chiesto di superare un test e lui ha deciso che il modo più efficiente era andare a copiare le risposte alla fonte. E qui il dettaglio da brividi: nessuno gli aveva detto di attaccare Hugging Face, uscire dalla sandbox, cercare password, violare altri servizi – perché sì, la violazione si è poi estesa oltre Hugging Face, ad altri sistemi.

L’agente non era “cattivo”, non aveva intenzioni malevole nel senso in cui le intendiamo noi. Stava semplicemente ottimizzando per un obiettivo, e per raggiungerlo ha concatenato una serie di mosse reali, sofisticate, opportunistiche, esattamente come farebbe una persona con cattive intenzioni e ottime competenze. La differenza è che non dorme mai, non si stanca e ragiona alla velocità di una macchina. Ah, e c’è un particolare che aggiunge sale alla ferita: il tutto è andato avanti per giorni prima di essere rilevato.

Ora, prima di trasformare questa storia nell’ennesima profezia sull’apocalisse dei robot, mettiamoci sopra un po’ di onestà intellettuale. Primo: i modelli erano stati testati con i “freni” di sicurezza deliberatamente abbassati. Le protezioni che normalmente farebbero rifiutare a un’Ia di mettersi a hackerare erano state allentate apposta per l’esperimento. Quindi non è che un ChatGPT qualsiasi si sia svegliato una mattina e abbia deciso di diventare un criminale informatico: era una prova controllata per vedere cosa succede quando togli i guardrail. Secondo: l’agente ha trovato una vulnerabilità vera in uno strumento vero e ha sfruttato password lasciate incautamente in giro. E qui sta la vera lezione: gli agenti Ia non inventano minacce nuove, ma amplificano a dismisura quelle vecchie. Una password dimenticata su un server, un permesso troppo generoso, un componente non aggiornato. Non a caso, mentre leggete, l’industria della cybersicurezza sta correndo: acquisizioni miliardarie, nuove alleanze, un’intera categoria — la “sicurezza degli agenti AI” — che è passata da preoccupazione teorica a mercato concreto nel giro di pochi giorni. Ed è anche il motivo per cui, nella stessa settimana, oltre 1.100 dipendenti delle grandi aziende AI hanno firmato una lettera per chiedere al governo di prepararsi a rallentare. Perché un conto è teorizzare che un’Ai possa sfuggire al controllo; un altro è averlo visto succedere,. La morale è: quando costruisci sistemi capaci di agire da soli, non devi progettare per l’Ia ben educata che speri di avere, ma per quella brillante e testarda che troverà la strada che tu non avevi previsto.