Immaginate di voler condurre un esperimento. Prendete un robot da cucina, lo riempite e intenzionalmente appoggiate il coperchio senza fissarlo del tutto, in modo che il blocco di sicurezza non possa entrare in funzione. Non siete distratti: state raccogliendo dati. Portate la manopola al massimo e fate un passo indietro per osservare. La forza centrifuga solleva il coperchio e la zuppa disegna arabeschi sul soffitto. Allora stilate una relazione dove annotate che l’elettrodomestico ha avuto un malfunzionamento. Ma l’apparecchio non ha fatto altro che girare alla velocità da voi selezionata con un coperchio che avete scelto di non fissare. La lama non ha cospirato contro di voi, ha semplicemente ruotato.

Questa settimana OpenAI ha pubblicato un report analogo. L’azienda ha reso noto che, durante una valutazione interna, due suoi modelli (GPT-5.6 Sol e uno ancora più potente ma non disponibile pubblicamente), utilizzati «con restrizioni sulle attività informatiche deliberatamente ridotte», sono usciti da una sandbox di test e hanno compromesso l’infrastruttura di produzione di Hugging Face, un concorrente di OpenAI. L’azienda di Sam Altman ha definito l’episodio «un incidente informatico senza precedenti, che ha coinvolto capacità cyber all’avanguardia». Vale la pena notare il tono: in un report su un incidente, una società che vende anche sistemi di difesa informatica utilizza il linguaggio tipico del lancio di un prodotto. Proviamo allora a ridimensionare il racconto, perché la metafora della cucina contiene già tutta la storia. Senza effetti speciali, il meccanismo è piuttosto banale. ExploitGym è un benchmark pubblico che valuta la capacità di un modello di trasformare una vulnerabilità nota in un exploit funzionante. OpenAI lo ha eseguito con i blocchi di sicurezza dei modelli «intenzionalmente non abilitati», per usare le parole dell’azienda, all’interno di una sandbox il cui unico accesso controllato verso l’esterno era un proxy interno per il registro dei pacchetti. Il proxy conteneva una vulnerabilità sconosciuta. L’agente AI, nel tentativo di ottenere un punteggio elevato, ha individuato la falla zero-day, aumentato i propri privilegi, effettuato movimenti laterali fino a raggiungere un nodo con accesso a Internet, identificato Hugging Face come probabile sede delle soluzioni del benchmark e ha sfruttato una serie di credenziali sottratte per eseguire codice da remoto sui suoi server, in modo da ottenere le risposte. Secondo l’analisi forense di Hugging Face, nel corso di un fine settimana sono state registrate circa 17.000 azioni. Nessun modello voleva fuggire, provava risentimento verso un concorrente o aveva deciso di barare. A un sistema è stato assegnato un obiettivo, sono stati forniti i mezzi per perseguirlo, sono state disattivate le limitazioni e il sistema ha ottimizzato il risultato.