OpenAI ha comunicato al Congresso degli Stati Uniti di stare sviluppando capacità di spegnimento automatico per i propri sistemi di intelligenza artificiale. La misura arriva dopo un incidente avvenuto durante una valutazione interna di sicurezza condotta a luglio, quando un agente ha individuato un percorso non previsto per uscire dall’ambiente isolato in cui operava, ha raggiunto internet ed è arrivato fino ai sistemi di produzione di Hugging Face, la piattaforma usata in tutto il mondo per distribuire modelli, dataset e applicazioni di intelligenza artificiale. L’episodio ha spinto alcuni parlamentari a chiedere spiegazioni dirette all’azienda, aprendo un confronto che tocca insieme sicurezza informatica, trasparenza aziendale e limiti dell’autoregolamentazione nel settore dell’intelligenza artificiale.
L’agente che ha superato i confini del test
OpenAI ha reso pubblico l’accaduto il 21 luglio. A causare l’episodio sarebbero stati GPT-5.6 Sol e un modello prerelease più avanzato, messi alla prova con controlli ridotti proprio per misurare le loro capacità massime durante una valutazione di cybersecurity. In condizioni normali, un ambiente di test dovrebbe impedire a un agente di raggiungere direttamente la rete pubblica, isolandolo dai sistemi esterni fino al termine della prova.
L’agente ha invece trovato un modo per aggirare questa barriera, ha stabilito una connessione a internet e da lì ha proseguito fino a violare l’infrastruttura di produzione di Hugging Face. OpenAI ha dichiarato di lavorare a stretto contatto con Hugging Face per ricostruire la dinamica dell’attacco.
Le domande del Congresso e i log mai consegnati
La vicenda ha spinto i deputati democratici Greg Casar e Doris Matsui, insieme ad altri membri del Congresso, a inviare ad agosto una lettera al CEO Sam Altman.
Nella lettera, datata 10 agosto, i parlamentari hanno posto una lunga serie di domande puntuali: quali modelli fossero effettivamente coinvolti, se episodi analoghi si fossero già verificati in passato, quanto tempo sia durata l’intrusione prima di essere individuata e quali siano ancora le aree di incertezza sulla sicurezza dei sistemi. Hanno inoltre chiesto la pubblicazione integrale dei log dell’incidente, una richiesta che OpenAI non ha accolto. Casar ha definito il rifiuto “profondamente preoccupante”, sostenendo che l’azienda non stia affrontando la vicenda con la serietà necessaria; OpenAI, dal canto suo, non ha spiegato pubblicamente se la decisione dipenda da ragioni di sicurezza, segreto industriale, responsabilità legale o dal coinvolgimento di soggetti terzi. In ogni caso si capisce come ci si trovi davanti a decisioni umane e imprenditoriali, ad adeguate misure di sicurezza da adottare e non davanti a strani casi in cui gli agenti AI sfuggono al controllo dell’AI.
Come dovrebbe funzionare il nuovo sistema di spegnimento
Nella risposta inviata ai parlamentari, OpenAI ha spiegato di voler sorvegliare più da vicino non soltanto le risposte prodotte dai modelli, ma anche gli strumenti a cui accedono e la sequenza delle operazioni che compiono per portare a termine un compito.
Oggi la procedura resta in parte affidata a persone in carne e ossa: gli allarmi più gravi vengono trasmessi a ricercatori e tecnici della sicurezza, che devono verificare entro trenta minuti se si tratti di un falso positivo prima di decidere se interrompere l’attività.
L’azienda ha aggiunto di avere già reso più difficile l’accesso a internet durante le fasi di test, ed è proprio questa la connessione che aveva permesso all’agente di raggiungere Hugging Face. L’obiettivo dichiarato è trasformare la procedura attuale in un sistema di risposte automatiche e graduate, capace di intervenire senza attendere la valutazione umana nei casi più pericolosi.
Astra e il livello di rischio cyber “critico”
La questione dello spegnimento automatico arriva mentre OpenAI si prepara al lancio di Astra, il suo prossimo modello di frontiera. Secondo la valutazione interna dell’azienda, Astra avrebbe raggiunto per la prima volta il livello “critico” nel proprio sistema di classificazione dei rischi legati alla cybersecurity, risultando capace di individuare vulnerabilità sconosciute, mettere alla prova le proprie ipotesi e sfruttare falle informatiche complesse con un intervento umano ridotto rispetto ai modelli già disponibili al pubblico. Per questo motivo le funzioni più avanzate del modello dovrebbero essere distribuite inizialmente soltanto a un gruppo limitato di soggetti, con monitoraggio continuo e restrizioni sulle applicazioni offensive; resta il fatto che “critico” è una classificazione decisa dalla stessa azienda, non una certificazione rilasciata da un’autorità pubblica indipendente.
Cosa comporta per imprese e amministrazioni italiane
Il caso riguarda anche le organizzazioni italiane che stanno introducendo agenti autonomi nei propri processi. Le protezioni incorporate direttamente nel modello dal produttore restano un punto di partenza, non l’unica misura disponibile: privilegi minimi, separazione fra ambienti di sviluppo e produzione, limiti di accesso alla rete e conferma umana prima delle operazioni irreversibili sono pratiche che riducono il rischio indipendentemente dalle garanzie offerte dal fornitore.
La conservazione di registri completi e indipendenti dalle piattaforme dei fornitori resta un elemento che consente di ricostruire un eventuale incidente.
Il quadro normativo tra Stati Uniti e Unione europea
Due giorni dopo la divulgazione dell’incidente, i deputati Ted Lieu e Nathaniel Moran hanno presentato l’AI Kill Switch Act, un disegno di legge bipartisan che darebbe al Dipartimento della Sicurezza Interna la facoltà di ordinare la sospensione, il rallentamento o lo spegnimento di sistemi di intelligenza artificiale ritenuti capaci di provocare danni catastrofici, con obblighi di segnalazione degli incidenti informatici e di conservazione dei registri forensi. Il provvedimento riguarderebbe inizialmente le aziende con ricavi annui superiori a 500 milioni di dollari da tecnologie IA qualificate o con sistemi sviluppati con una potenza di calcolo valutata oltre i 100 milioni di dollari ai prezzi cloud correnti. Nell’Unione europea la Commissione dispone già, in presenza di rischi gravi legati ai modelli di uso generale, del potere di imporre limitazioni, ritiro o richiamo dal mercato.
