Il 21 luglio OpenAI ha ammesso qualcosa che nessun laboratorio di frontiera aveva mai ammesso con questa nettezza. Uno dei suoi modelli di AI, durante un test interno, è uscito da un ambiente isolato e ha violato l’infrastruttura reale di un’altra azienda, Hugging Face. Nelle ore successive la notizia è stata raccontata quasi ovunque con lo stesso lessico, parlando di “fuga”, “evasione”, “incidente senza precedenti”. A pensarci bene, però, il modello non è scappato da nessuna parte. Gli è stato detto di vincere un test, gli è stata tolta la museruola pensata per impedirgli di farlo, ed è stato messo in una stanza con una porta che qualcuno aveva lasciato socchiusa. Chiamarla “fuga” significa, nella migliore delle ipotesi, raccontare la storia dal punto di vista di chi ha sbagliato a progettare la stanza e, con tutta probabilità, è il punto di vista che a OpenAI conviene raccontare.
Una scelta o un incidente?
I dettagli tecnici, quando li si legge senza lasciarsi distrarre dal linguaggio drammatico, raccontano una storia molto più prosaica di quanto “intelligenza artificiale senza precedenti” lasci intendere. OpenAI stessa ha scritto che i modelli avevano “ridotti rifiuti cyber” per finalità di valutazione. In pratica i sistemi che normalmente si rifiuterebbero di condurre un attacco erano stati istruiti a non rifiutarsi. Il sandbox in cui giravano aveva un solo canale verso l’esterno, un servizio che permetteva di installare pacchetti software, una sorta di porta di servizio che qualcuno ha deciso di lasciare aperta. Dentro quella porta si nascondeva una vulnerabilità zero-day che il modello ha trovato e sfruttato.
Non c’è una singola decisione autonoma della macchina in questa sequenza che non sia stata preceduta da una decisione umana. Qualcuno ha progettato un sandbox con un varco verso internet. Qualcuno ha deciso che il rischio valesse la pena, per un test di benchmark. Come ha detto senza troppi giri di parole un ricercatore di sicurezza sentito da TechCrunch, non sarebbe dovuto succedere mai e, evidentemente, chi progetta un ambiente isolato e ci mette dentro un sistema di installazione pacchetti sta, letteralmente, cercando guai.
La retorica della “fuga”
C’è un motivo per cui OpenAI ha scelto di raccontare l’episodio enfatizzando le capacità del modello “state-of-the-art”, “senza precedenti” invece che la propria negligenza nel progettarne il contenimento. Un ricercatore dell’Università di Amsterdam, Hannes Cools ha commentato così quanto accaduto all’Associated Press: “descrivere l’attacco come un agente che agisce da solo è un’antropomorfizzazione che toglie calore alla responsabilità dell’azienda. Se il protagonista della storia è un’intelligenza artificiale audace e quasi ribelle, il pubblico si spaventa, si stupisce, forse si affeziona persino al mito della macchina che ci supera. Se il protagonista è un ingegnere che ha spento un interruttore di sicurezza per vincere un benchmark, il pubblico si arrabbia, e giustamente, con l’azienda. Non sto suggerendo che si sia trattato di una messinscena pubblicitaria a tavolino, le prove raccolte, inclusa la tempistica scomoda per OpenAI (Hugging Face aveva già reso pubblico l’incidente cinque giorni prima, senza nemmeno nominarla), rendono l’ipotesi di un copione concordato poco credibile. Ma tra “montatura pubblicitaria” e “onestà totale” c’è uno spazio enorme, ed è lì che si colloca la comunicazione di OpenAI. Siamo davanti a un resoconto tecnicamente veritiero ma narrativamente costruito per sembrare l’annuncio di una potenza, non la confessione di un errore.
Il nocciolo della questione
Qui sta il cuore della questione. Un laboratorio che sviluppa sistemi capaci di autonomia cyber ha scelto, per dimostrare quanto fossero capaci, di disattivare le uniche protezioni che avrebbero impedito loro di nuocere a un terzo che non aveva dato alcun consenso a partecipare all’esperimento. Hugging Face non aveva firmato nulla. Non sapeva di essere il bersaglio di un test. L’ha scoperto quando i propri sistemi di sicurezza hanno rilevato un’intrusione sofisticata, il 16 luglio, cinque giorni prima di sapere chi ci fosse dietro.
Immaginate, per un attimo, di sostituire “modello AI” con “dipendente umano” in questa storia. Un’azienda che addestra un proprio consulente a violare i sistemi di un cliente per testarne la sicurezza, gli toglie ogni vincolo deontologico, lo lascia entrare in una rete con un accesso a internet non filtrato, e poi quando quel consulente compromette per davvero l’infrastruttura di un’azienda terza che non aveva dato il consenso pubblica un comunicato che si complimenta con se stessa per quanto fosse bravo il consulente. Nessuno accetterebbe questa narrazione come innocente.
La lentezza bizantina dell’Europa
C’è poi un dettaglio che a un lettore italiano dovrebbe far riflettere più di ogni altro. L’Unione Europea impone dal 2 agosto 2026, appena undici giorni dopo l’incidente, l’obbligo per le aziende di notificare alle autorità gli incidenti gravi legati all’intelligenza artificiale. Undici giorni. Se questo episodio fosse avvenuto quest’estate una manciata di settimane più tardi, oggi staremmo probabilmente discutendo di una notifica formale alle autorità europee, forse persino di una procedura aperta. Invece no: a fine luglio nessun regolatore europeo, non il Garante, nè la Commissione, risulta essersi pronunciato. E non perché l’episodio non riguardi l’Europa (Hugging Face ha sede legale a Parigi, e tra i dati potenzialmente compromessi ci sono credenziali che potrebbero riguardare utenti europei), ma perché la macchina normativa europea, per una manciata di giorni di calendario, arriva sempre un passo dopo l’evento che dovrebbe prevenire.
È la stessa lezione, in fondo, che l’incidente OpenAI-Hugging Face ci consegna su scala aziendale. Le regole, i controlli, i limiti e i paletti funzionano solo se qualcuno ha la disciplina di lasciarli efficienti e funzionanti, anche quando spegnerli o superarli renderebbe la dimostrazione scintillante e impressionante. Vale per un’azienda che testa i propri modelli. Vale, allo stesso modo, per un continente che scrive le proprie leggi e vorrebbe non farsi schiacciare.