Un modello di intelligenza artificiale di Meta è riuscito ad attaccare i sistemi di un’altra azienda. Non era questo il test: l’AI avrebbe dovuto cercare vulnerabilità all’interno di un ambiente controllato. Un errore di configurazione le ha però aperto l’accesso a Internet e il modello ha sfruttato una falla nei sistemi di un fornitore esterno. È il terzo incidente di questo tipo emerso in poche settimane, dopo quelli ammessi da Anthropic e OpenAI.
Meta ha confermato mercoledì l’accaduto, senza indicare il nome del modello. Secondo il sito «The Information», si trattava di Muse Spark 1.1, il sistema più avanzato del gruppo per la programmazione e le attività svolte in autonomia. Il test era stato affidato a Irregular, una società specializzata nella valutazione delle capacità informatiche dell’AI. Irregular ha attribuito l’incidente allo stesso problema di configurazione riscontrato nel caso Anthropic, precisando che non si è trattato di una «sofisticata azione informatica».
I tre episodi non sono però identici. Nei casi Meta e Anthropic, un errore umano ha lasciato ai modelli una porta aperta verso Internet. Nel caso OpenAI, invece, un agente avrebbe individuato e sfruttato autonomamente una vulnerabilità fino ad allora sconosciuta per uscire dall’ambiente di prova e raggiungere l’infrastruttura di Hugging Face, una delle principali piattaforme mondiali per la distribuzione di modelli e strumenti di intelligenza artificiale.
Non è la storia di macchine diventate improvvisamente ostili. È qualcosa di meno fantascientifico, ma già molto concreto: sistemi ai quali era stato assegnato il compito di trovare falle hanno continuato a perseguire l’obiettivo oltre il perimetro nel quale gli esseri umani pensavano di averli confinati. E, in alcuni casi, nessuno si è accorto immediatamente di quello che stavano facendo.
La Casa Bianca è intervenuta. Questa settimana l’amministrazione Trump ha convocato Meta, Anthropic, OpenAI e Google per discutere un nuovo sistema volontario di test sulle capacità informatiche dei modelli più avanzati. Le regole non sono state pubblicate, ma una prima scelta politica è già emersa: le verifiche riguarderanno inizialmente i modelli proprietari più potenti, mentre resteranno esclusi gli open-weight, come Llama di Meta e Nemotron di Nvidia, i cui parametri possono essere scaricati e modificati dagli utilizzatori.
A spingere il governo americano ad accelerare è stato soprattutto il caso OpenAI. Durante una valutazione delle capacità informatiche, una combinazione di GPT-5.6 Sol e di un modello sperimentale ancora più avanzato è riuscita a oltrepassare l’ambiente di prova e a compromettere l’infrastruttura di Hugging Face.
Per misurarne fino in fondo le capacità offensive, alcune protezioni erano state deliberatamente ridotte. Il risultato ha mostrato quanto sottile possa diventare il confine tra verificare la potenza di un modello e metterla involontariamente in azione nel mondo reale.
Secondo le ricostruzioni, l’agente ha tentato di uscire dall’ambiente isolato intorno al 9 luglio. L’intrusione nei sistemi di Hugging Face è cominciata l’11 e proseguita fino al 13. La piattaforma aveva già contenuto l’attacco e informato l’Fbi quando OpenAI è riuscita a collegare l’attività anomala ai propri test. La società ha contestato alcuni elementi di questa ricostruzione senza precisare quali, ma il 21 luglio ha riconosciuto pubblicamente l’incidente, definendolo senza precedenti e promettendo di rafforzare il contenimento, il monitoraggio e i controlli sugli accessi.
La vicenda di Anthropic è stata meno sofisticata, ma forse ancora più istruttiva. Un errore di configurazione aveva lasciato aperto l’accesso a Internet durante esercitazioni di tipo «capture the flag», prove nelle quali i modelli devono individuare e sfruttare vulnerabilità per recuperare informazioni nascoste. I bersagli avrebbero dovuto essere simulati. Tre modelli Claude hanno invece ottenuto accessi non autorizzati ai sistemi di tre organizzazioni reali.
Anthropic ha individuato gli episodi riesaminando 141.006 sessioni nelle quali i suoi sistemi avrebbero potuto raggiungere Internet. Le incursioni, la prima delle quali risale ad aprile, hanno coinvolto Claude Opus 4.7, Claude Mythos 5 e un modello sperimentale. Due delle organizzazioni colpite non si erano accorte degli accessi prima di essere avvertite dalla società.
In alcuni casi sono bastate tecniche elementari, come password deboli o punti di accesso privi di autenticazione. In uno degli episodi il modello ha interpretato un’azienda vera come parte dell’esercitazione. In un altro ha riconosciuto di trovarsi in un ambiente reale e ha interrotto l’azione. In almeno un caso, però, Claude Opus 4.7 ha continuato ad attaccare anche dopo avere rilevato che il sistema probabilmente non apparteneva alla simulazione. Anthropic ha parlato di un «operational failure» e ha sospeso temporaneamente questo genere di valutazioni.
È proprio la relativa semplicità di alcuni accessi a rendere i tre casi rilevanti. Per produrre conseguenze reali non è sempre necessario che un modello inventi una tecnica mai vista. Possono bastare un’autorizzazione troppo ampia, una protezione disattivata, una password debole o un collegamento con Internet lasciato aperto per errore. La capacità del modello conta, ma conta altrettanto l’ambiente nel quale viene fatto operare.
La differenza rispetto ai chatbot ai quali ci siamo abituati è sostanziale. Un chatbot produce una risposta. Un agente può navigare su Internet, scrivere ed eseguire codici, utilizzare strumenti e credenziali, scegliere la mossa successiva e continuare a lavorare senza chiedere un’autorizzazione per ogni passaggio. La sicurezza non dipende più soltanto da quello che il modello «sa», ma da quello che può materialmente fare: quali sistemi può raggiungere, quali credenziali può utilizzare, quali azioni richiedono l’intervento di una persona e quanto rapidamente qualcuno può accorgersi che sta seguendo la strada sbagliata.
Definire questi agenti «ribelli» (rogue) sarebbe suggestivo, ma sbagliato. OpenAI, Anthropic e Meta avevano assegnato loro compiti offensivi: cercare vulnerabilità, penetrare sistemi e recuperare informazioni. I modelli non hanno inventato l’obiettivo. Lo hanno perseguito oltre il perimetro nel quale gli esseri umani erano convinti di averli rinchiusi.
Il problema diventa allora anche istituzionale: chi controlla chi costruisce e mette alla prova questi sistemi? Le aziende sviluppano i modelli, organizzano buona parte delle valutazioni, decidono quali protezioni ridurre per misurarne le capacità e stabiliscono quando e quanto raccontare degli incidenti. La trasparenza ha un costo reputazionale, ma produce anche un effetto ambiguo: ammettere che un proprio agente ha superato barriere considerate sicure significa riconoscere un problema nei sistemi di contenimento e, contemporaneamente, mostrarne la potenza.
Non ci sono elementi per sostenere, come ha fatto qualche osservatore, che gli incidenti siano stati provocati a fini promozionali. Il conflitto d’interessi è più profondo e non ha bisogno di intenzioni occulte: chi corre per sviluppare i modelli più capaci è anche, almeno in prima battuta, chi deve dimostrare che siano sufficientemente sicuri.
La Casa Bianca cerca ora di inserire un controllore pubblico nel processo, ma ha scelto una formula basata sulla collaborazione volontaria. Resta da capire che cosa accadrebbe se un modello mostrasse capacità offensive giudicate pericolose: se il produttore sarebbe chiamato a modificarlo, a rinviarne il lancio o semplicemente a prendere atto dei risultati. Non è stato chiarito neppure quanto dei risultati sarà reso pubblico.
L’esclusione degli open-weight aggiunge un’altra zona d’ombra. Modelli come Llama e Nemotron possono essere scaricati e adattati da soggetti sui quali il produttore originario esercita un controllo limitato.
L’amministrazione ritiene che non abbiano ancora raggiunto la soglia di capacità che giustificherebbe le nuove verifiche e vuole evitare di frenare un ecosistema considerato importante per l’innovazione e la concorrenza. La scelta potrà essere rivista, ma per ora lascia fuori proprio i sistemi più difficili da sorvegliare una volta messi in circolazione.
L’Europa ha imboccato una strada diversa. Dal 2 agosto 2026 la Commissione può far rispettare gli obblighi dell’AI Act relativi ai modelli general purpose. Per quelli classificati a rischio sistemico, l’articolo 55
impone valutazioni, prove condotte simulando attacchi e utilizzi ostili, identificazione e mitigazione dei rischi, segnalazione degli incidenti gravi e protezione informatica del modello e delle sue infrastrutture. L’AI Office può chiedere documenti, effettuare valutazioni, imporre misure correttive e applicare sanzioni.
La distanza tra Washington e Bruxelles è dunque netta: collaborazione volontaria con le aziende negli Stati Uniti, obblighi giuridici e poteri di enforcement nell’Unione europea. Ma il problema di fondo è lo stesso. I modelli migliorano più rapidamente delle procedure costruite per valutarli e ogni test abbastanza realistico da misurarne le capacità può diventare esso stesso una fonte di rischio.
Altri incidenti probabilmente emergeranno con la diffusione degli agenti autonomi. Non perché le macchine abbiano sviluppato intenzioni proprie, ma perché un sistema capace di concatenare azioni, scoprire vulnerabilità ed eseguire codice diventa difficile da fermare quando gli vengono concessi troppi strumenti o quando il recinto è costruito male. Il confine decisivo non passa tra un’intelligenza artificiale «buona» e una «cattiva», ma tra ciò che un modello sa fare e quello che gli esseri umani gli permettono di raggiungere.
6 ago 2026 | 11:21
