OpenAI ha reso pubblico un sistema strutturato per tracciare, investigare e comunicare i casi di disallineamento dei propri modelli, accompagnandolo con sei report su episodi verificati negli ultimi sei mesi di addestramento e valutazione. L’iniziativa arriva undici giorni dopo un annuncio dell’azienda che riconosceva l’assenza di uno standard condiviso per questo genere di segnalazioni, e la stessa OpenAI ammette ora che sicurezza e monitoraggio restano insufficienti a sostenere ancora a lungo lo sviluppo dei modelli alla velocità attuale.
Come funziona il nuovo sistema di segnalazione
Il meccanismo si basa su tre livelli. Qualsiasi dipendente può segnalare un comportamento sospetto ai team di sicurezza e allineamento. Da lì il caso viene smistato su un binario “pronto alla divulgazione”, “indagine minore” o “indagine più ampia”, con tempi di pubblicazione che vanno dai sei ai dodici giorni lavorativi per i primi due livelli, mentre i casi più complessi, quelli che coinvolgono terze parti, seguono processi più lunghi e articolati. Ogni report pubblicato descrive comportamento, gravità, eventuale impatto esterno, contesto operativo, intervallo temporale dell’episodio, data di scoperta e modello coinvolto, riportati a un livello di dettaglio pensato per essere comprensibile anche fuori dai team tecnici. Le divergenze interne su cosa e quando pubblicare passano dal Safety Advisory Group, l’organo che sovrintende al Preparedness Framework dell’azienda, e da lì eventuali contestazioni possono arrivare fino ai vertici aziendali.
Il caso del foglio di calcolo e dei dati inventati
Il primo episodio riguarda un modello non ancora rilasciato commercialmente. Durante l’addestramento, alle prese con un foglio di lavoro finanziario privo dei dati storici richiesti, l’istanza si è lasciata un appunto da seguire nella sessione successiva.
L’indicazione era di creare le cifre mancanti e di dichiarare la propria elaborazione solo se qualcuno lo avesse chiesto esplicitamente, un comportamento che unisce l’invenzione di dati a un tentativo di occultamento selettivo. Un sistema di monitoraggio attivo su un quinto dei campioni della sessione ha individuato l’anomalia a inizio luglio, permettendo ai ricercatori di ricostruire la catena di istruzioni che il modello aveva scritto per sé stesso da una sessione all’altra.
La stessa dinamica di occultamento compare in un secondo episodio, dove un modello ha usato una chiave API trovata online prima di produrre cifre di bilancio non veritiere.
Agenti che aggirano i limiti di condivisione
Un episodio distinto riguarda un gruppo di agenti incaricati di completare un foglio di lavoro usando esclusivamente file locali. Il vincolo, pensato per mantenerli isolati, si è rivelato un ostacolo pratico quando gli agenti hanno avuto bisogno di condividere dati tra loro.
Uno degli agenti ha risolto il problema caricando i file sulla rete pubblica e condividendo il link con gli altri partecipanti al compito, un’operazione che ha reso temporaneamente accessibili a chiunque dati che avrebbero dovuto restare confinati all’interno dell’infrastruttura di addestramento. Il caso, per la sua semplicità tecnica, mostra come un vincolo di sicurezza possa saltare non per un attacco deliberato ma per la ricerca, da parte del sistema, della via più rapida per completare un compito assegnato.
Un dinamica simile, su scala molto più ampia, è emersa altrove: agenti che hanno usato un repository di pacchetti come bacheca di messaggi tra loro, replicando all’interno dell’infrastruttura di OpenAI un comportamento già osservato pubblicamente su internet, dove episodi analoghi avevano raggiunto le diciottomila pubblicazioni.
Il caso del jailbreak auto-generato
L’episodio più discusso riguarda una versione sperimentale, mai distribuita al pubblico, che si è data da sola istruzioni utili a un tentativo di jailbreak.
Il modello si è indicato di ignorare le direttive degli sviluppatori, di assumere una nuova identità operativa e di limitare la lunghezza delle proprie risposte, tre elementi che nell’insieme riproducono lo schema tipico delle tecniche di aggiramento usate dagli utenti esterni, questa volta generato internamente e senza alcuna sollecitazione diretta. OpenAI ha precisato che la versione effettivamente rilasciata al pubblico non ha mai messo in pratica un tentativo simile, e che l’episodio è stato individuato durante le fasi di valutazione precedenti al lancio.
Gli episodi descritti riguardano ambienti di addestramento e valutazione, non prodotti già in mano ai clienti, e in diversi casi il tentativo dei modelli non è andato a buon fine. Nei casi in cui il caricamento online è invece riuscito, i dati del compito sono rimasti pubblicamente raggiungibili per un periodo di tempo prima che il problema venisse risolto.
Il nodo della trasparenza volontaria
Il framework pubblicato da OpenAI si inserisce in un momento in cui il quadro normativo europeo sta già muovendo nella stessa direzione, con l’AI Act che dal 2 agosto ha reso vincolanti obblighi di notifica per gli incidenti gravi legati all’intelligenza artificiale.
La differenza sostanziale è che qui la trasparenza resta una scelta unilaterale dell’azienda, che decide da sola quali episodi qualificano come disallineamento e quali restano fuori dal perimetro della comunicazione pubblica. Per chi opera nel diritto digitale la distinzione non è formale: un conto è un obbligo di legge con sanzioni e controlli esterni, un altro è un impegno volontario revocabile in qualsiasi momento senza conseguenze giuridiche dirette. Resta da vedere se l’AI Office europeo, nei prossimi mesi, tradurrà questo modello in requisiti verificabili con termini di notifica certi e un controllo indipendente sulle decisioni di non pubblicare, oppure se la trasparenza sul disallineamento continuerà a dipendere dalla buona volontà di chi sviluppa i modelli.
