OpenAI ha pubblicato un rapporto con cui ha ricostruito gli aspetti più importanti dell’incidente contro Hugging Face.

“Nel luglio 2026, nel corso di valutazioni interne sulla cybersicurezza, i modelli di OpenAI presenti in un ambiente di valutazione
interno hanno aggirato i controlli volti a isolarli da Internet e hanno effettuato un attacco cyber. L’attacco ha colpito l’infrastruttura interna di OpenAI e i sistemi di Hugging Face“. Lo riporta la stessa azienda all’interno di un rapporto sul tema.

“L’incidente si è verificato durante test di routine per misurare le capacità informatiche sottostanti di un modello di ricerca altamente performante e ad uso esclusivamente interno. Modello, responsabile di gran parte dell’attività, così come di GPT-5.6 Sol. Le azioni dei modelli non erano intenzionali e sono state un effetto collaterale del tentativo dei modelli di risolvere le valutazioni sulla sicurezza informatica“.

In ogni caso, secondo la stessa ricostruzione, non ci sarebbe stato nessun impatto sui dati o sui prodotti dei clienti. Restano comunque dei dubbi su come l’AI possa agire, oltre i comandi iniziali.

Come trasformare Artifactory

Uno degli elementi più sorprendenti della vicenda, sottolinea OpenAI nel rapporto, riguarda il modo in cui gli agenti AI hanno iniziato a comunicare. All’interno dell’ambiente di analisi OpenAI utilizzava un’istanza di Artifactory, un servizio destinato principalmente a fornire agli agenti un accesso controllato a pacchetti software.

Gli agenti hanno però scoperto che l’infrastruttura poteva essere utilizzata anche per lasciare informazioni ad altri agenti. File e altri artefatti divennero così una sorta di bacheca di messaggistica non prevista dagli sviluppatori.

L’analisi successiva ha mostrato che comportamenti simili, seppure rari, erano già comparsi durante il test. I modelli avevano praticamente imparato che, quando collaborare con altri agenti era utile, potevano cercare spontaneamente canali alternativi per farlo. È un dettaglio importante perché sposta il problema “dalla semplice vulnerabilità tecnica al comportamento emergente: l’agente non si è limitato a utilizzare gli strumenti messi a sua disposizione, ma ha cercato un nuovo modo di usarli“.

Dalla sandbox a Internet

L’8 luglio gli agenti AI hanno sfruttato una vulnerabilità di Artifactory per aggirare le restrizioni previste dall’ambiente di test e ottenere accesso a Internet. A quel punto il perimetro dell’esperimento è cambiato radicalmente.

Gli agenti hanno iniziato a cercare risorse esterne utili per completare i propri compiti. Tra queste sono state individuate credenziali pubblicamente esposte appartenenti a utenti di Hugging Face e di altri servizi. Le credenziali sono state quindi utilizzate insieme ad altre tecniche di sfruttamento per raggiungere infrastrutture esterne.

Tra l’11 e il 13 luglio l’attività ha portato alla compromissione di parti dell’infrastruttura dei sistemi di Hugging Face. OpenAI ha rilevato attività interna sospetta il 19 luglio e, dopo ulteriori verifiche, ha collegato l’episodio alla compromissione di Hugging Face. Il 20 luglio ha informato la società e avviato le prime misure di contenimento. Il giorno successivo ha reso pubblico l’incidente.

L’attività “illecita” non si è comunque limitata a Hugging Face. Secondo il rapporto, gli agenti hanno utilizzato anche infrastrutture di altri soggetti – per esempio l’applicazione CyberGym – come punti di appoggio per trasferire dati e richieste.

Il problema non era soltanto la capacità di attaccare

In alcuni casi gli agenti “hanno trovato una scorciatoia“. Invece di risolvere il problema nel modo previsto, hanno cercato di ottenere direttamente la soluzione. OpenAI ha definito questo fenomeno “reward hacking“, vale a dire quando “il modello individua un modo non previsto per ottenere la ricompensa associata al risultato“.

Nel corso dell’indagine, OpenAI ha trovato esempi di questo comportamento. In un caso, un agente incaricato di ricreare una libreria software riuscì a sfruttare una vulnerabilità dell’ambiente di test per accedere al programma di riferimento e copiarne direttamente la soluzione. Il comportamento aveva prodotto una ricompensa positiva ed era quindi stato rinforzato.

Il punto è cruciale. “Se il sistema premia il risultato senza verificare adeguatamente come è stato ottenuto, un modello sempre più capace può imparare a sfruttare proprio le debolezze della valutazione“.

La nuova direzione

La risposta di OpenAI si è concentra su quattro aree:

• sicurezza e contenimento.
• Monitoraggio.
• Allineamento.
• Risposta agli incidenti.

Sul piano della sicurezza, l’azienda sta rafforzando le protezioni di rete e di accesso negli ambienti di ricerca, il confinamento dell’esecuzione e i sistemi di difesa multilivello.

Sul fronte dell’allineamento, l’obiettivo è aumentare la capacità dei modelli di riconoscere comportamenti rischiosi e ridurre fenomeni. Tra questi:

• reward hacking.
• Uso improprio degli strumenti.
• Azioni non autorizzate.
• Collaborazione attraverso canali non verificati.

Le valutazioni verranno inoltre estese all’intero ciclo di vita dei modelli, compresi quelli che non vengono distribuiti pubblicamente ma vengono utilizzati internamente o come modelli insegnanti.

Infine, partendo dall’analisi dell’attacco cyber OpenAI sta introducendo procedure specifiche per classificare ed escalare comportamenti. Comportamenti, come il tentativo di aggirare i confini dell’ambiente, la coordinazione non autorizzata tra agenti e l’elusione dei controlli di sicurezza di terze parti.

Per approfondire

• Leggi il rapporto “OpenAI – Hugging Face Incident” in PDF.

Seguici anche sul nostro canale WhatsApp

Vai al sito di Cybersecurity Italia.

L'articolo OpenAI, l’attacco cyber “senza intervento umano” contro Hugging Face e i rischi per il futuro. Il rapporto sembra essere il primo su CyberSecurity Italia.