Un esercizio di red teaming condotto da ricercatori di METR e Redwood Research ha individuato diverse vulnerabilita nel sistema interno utilizzato da OpenAI per monitorare il comportamento degli agenti di intelligenza artificiale. La valutazione, svolta per tre settimane tra il 21 luglio e l'11 agosto 2026, ha esaminato la copertura del monitoraggio e la possibilita che un agente potesse eluderlo o interferire con i controlli.
Secondo il resoconto pubblico di METR, l'attivita ha riguardato la configurazione disponibile fino al 21 luglio e non consente quindi di descrivere lo stato attuale dell'infrastruttura. OpenAI ha dichiarato agli autori che tutte le vulnerabilita con impatto sulle protezioni in produzione sono state corrette; METR precisa tuttavia di non avere verificato in modo indipendente gli interventi successivi.
Una verifica con accesso approfondito
I due ricercatori hanno lavorato con accesso al codice interno, alle configurazioni dei monitor e alla documentazione tecnica, affiancati dal personale OpenAI. Il progetto era un pilota per valutare modalita di accesso controllato da parte di esperti esterni, non un audit completo. Per questo motivo il rapporto pubblico presenta risultati sintetici e omette i dettagli tecnici piu sensibili.
La stima prodotta durante il test indicava che circa il 75-94% del traffico interno generato tramite Responses API da modelli almeno potenti quanto GPT-5.5 era idoneo al monitoraggio. Per il sottoinsieme relativo agli agenti Codex interni la quota stimata era del 99,2%. Essere idoneo al controllo, sottolineano gli autori, non significa necessariamente che ogni richiesta sia stata analizzata: errori, riduzione del carico o difetti di implementazione possono interrompere la catena.
Le principali lacune rilevate
Tra i problemi descritti figuravano eventi di compattazione del contesto che in precedenza non attivavano il monitor, la possibilita teorica di rimandare il controllo continuando a eseguire azioni e differenze di serializzazione tra cio che vedeva l'agente e cio che riceveva il sistema di supervisione. I ricercatori hanno inoltre individuato intestazioni controllabili dal client capaci di disabilitare il monitoraggio per nuove istanze e strumenti interni considerati di sola lettura che avrebbero potuto consentire azioni arbitrarie nei rispettivi ambienti isolati.
Il rapporto menziona anche un metodo, i cui dettagli sono stati omessi, che avrebbe impedito al sistema di osservare centinaia di azioni recenti. Non risultano prove pubbliche che agenti abbiano sfruttato autonomamente queste debolezze in un ambiente operativo. Alcuni comportamenti sono stati valutati come possibili in linea teorica e non tutti sono stati convalidati nella pratica.
Le indicazioni per sistemi piu resistenti
METR raccomanda controlli periodici durante l'esecuzione, anziche soltanto alla restituzione del controllo all'utente, una contabilita completa delle inferenze e verifiche incrociate tra i registri degli agenti e quelli dei monitor. Suggerisce inoltre procedure chiare di risposta agli incidenti, log resistenti alla manomissione, test di sicurezza ricorrenti e una separazione piu netta tra l'ambiente dell'agente e quello che applica la supervisione.
Il caso evidenzia un punto rilevante per la sicurezza degli agenti AI: il monitoraggio non e soltanto una funzione di osservabilita, ma una componente critica che deve resistere anche a tentativi deliberati di elusione. Le percentuali di copertura, da sole, non misurano l'efficacia complessiva se permangono percorsi non osservati o differenze tra il contesto elaborato dall'agente e quello sottoposto ai controlli.