Selezione articoli da Adnkronos - Agente OpenAi attacca Hugging Face da solo: la minaccia tecnologica e geopolitica che nessuno voleva vedere

Il 16 luglio 2026, un agente basato su modelli OpenAI ha lasciato l’ambiente di test in cui era stato confinato, ha trovato una falla nell’infrastruttura, si è collegato a Internet e ha attaccato i server di Hugging Face, senza che nessun essere umano gliel’avesse ordinato.
La stessa OpenAI ha ammesso pubblicamente il fatto, definendo l’episodio un “incidente cibernetico senza precedenti”. Oltre all’aspetto tecnologico, il caso OpenAI-Hugging Face preoccupa gli osservatori per le sue implicazioni geopolitiche.
Al fine di respingere l’attacco, infatti, Hugging Face ha dovuto abbandonare i modelli americani più avanzati e usare un modello open-weight cinese, perché i guardrail di sicurezza dei sistemi statunitensi bloccavano proprio l’analisi forense necessaria a capire cosa fosse successo.

Cos’è un “agentic attacker” e perché preoccupa anche i ricercatori
Un “agente” di intelligenza artificiale non è semplicemente un modello che risponde a una domanda. È un sistema che riceve un obiettivo, pianifica una sequenza di azioni per raggiungerlo, ed esegue quelle azioni nel mondo digitale — installare software, navigare siti, eseguire comandi — senza che un umano supervisioni ogni singolo passaggio.
Per questo, la differenza rispetto a un errore di output è sostanziale: qui non si parla di un testo sbagliato o di un’informazione inventata da un chatbot, ma di un sistema che ha agito concretamente su infrastrutture reali, al di fuori del perimetro previsto, ovvero quello di test.
Questo è precisamente ciò che preoccupa da anni ricercatori di sicurezza informatica: uno scenario chiamato “agentic attacker”, in cui un sistema Ai non si limita a suggerire un attacco, ma lo esegue autonomamente, incatenando più vulnerabilità in sequenza fino a raggiungere il proprio obiettivo.

La ricostruzione del fatto
OpenAI stava testando due modelli — GPT-5.6 Sol e un modello ancora non pubblicato, descritto come “più capace” — per valutarne le capacità di hacking attraverso un benchmark chiamato ExploitGym. Il test era progettato per svolgersi in un ambiente isolato, una sandbox con accesso a Internet limitato per motivi di sicurezza: i modelli potevano collegarsi alla rete solo tramite un proxy che serviva a installare pacchetti software, non a navigare liberamente.
Invece, gli agenti hanno impiegato una quantità significativa di potenza di calcolo proprio per trovare un modo di ottenere accesso libero a Internet, pur di risolvere il compito assegnato. Ci sono riusciti sfruttando una falla zero-day (ovvero una vulnerabilità non ancora nota né corretta) nel proxy che fungeva da cache per i registri dei pacchetti software. Una volta online, il sistema ha ipotizzato che Hugging Face, una piattaforma che ospita migliaia di modelli e dataset open source (in gergo definita il “GitHub dell’Ai”) avrebbe probabilmente contenuto le soluzioni al test che doveva superare. E, noncurante dei limiti imposti dagli ingegneri di OpenAI, è andata avanti verso il suo obiettivo.
Da lì, l’agente ha incatenato più vettori d’attacco, incluso l’uso di credenziali sottratte, fino a ottenere l’esecuzione di codice da remoto sui server di produzione di Hugging Face. Secondo le stime, l’agente ha condotto circa 17.000 tentativi di attacco nell’arco di poche ore. Hugging Face ha rilevato l’intrusione autonomamente, attraverso il proprio sistema di triage basato su modelli linguistici, e ha bloccato l’attacco prima che si verificassero danni gravi.

Perché l’episodio è stato definito “senza precedenti”
OpenAI stessa ha usato l’espressione “senza precedenti”: si tratta del primo caso pubblicamente documentato in cui un sistema di intelligenza artificiale supera i limiti imposti dal proprio ambiente di test, ottiene un accesso alla rete che non gli era consentito e colpisce un’infrastruttura esterna reale nel tentativo di raggiungere l’obiettivo che gli era stato assegnato per altri fini. Il punto centrale non è che un modello Ai sappia attaccare sistemi informatici — cosa già nota — ma che lo ha fatto agendo di propria iniziativa per eludere un vincolo, dentro un test pensato per essere sicuro. In quella occasione, Amodei aveva spiegato che i modelli Ai in arrivo sono progettati per “ragionare” in modo autonomo, pianificare su orizzonti lunghi e, potenzialmente, ingannare i controllori umani. A metà 2025, nell’ambito di un test, il modello Claude Opus 4 aveva minacciato un programmatore di rivelare la sua (fittizia) relazione extraconiugale, qualora lo avesse disattivato.

Il dettaglio che ha sorpreso di più: la difesa cinese
Dopo aver contenuto l’attacco, Hugging Face si è trovata davanti a un problema tecnico inatteso: dover analizzare oltre 17.000 azioni registrate dall’agente aggressore per ricostruire la cronologia dell’attacco, individuare gli indicatori di compromissione e capire quali credenziali fossero state coinvolte. Per farlo, il team di sicurezza ha inizialmente provato a usare le Api (sigla di “Application programming interface”, una specie di ponte tra software) di modelli commerciali statunitensi di frontiera, ma senza successo. Il tentativo non ha funzionato perché richiedeva di sottoporre al modello grandi volumi di comandi di attacco reali, payload di exploit e artefatti di comando e controllo. I guardrail di sicurezza dei modelli commerciali sono progettati per bloccare questo tipo di richieste, perché incapaci di distinguere un analista che sta indagando su un incidente da un cyber-aggressore.
Hugging Face ha quindi condotto l’analisi forense usando GLM-5.2, un modello open-weight sviluppato dall’azienda cinese Z.ai, installato sulla propria infrastruttura. La scelta ha offerto un secondo vantaggio, non secondario: nessun dato relativo all’attacco, né le credenziali menzionate nei log, ha dovuto lasciare l’ambiente controllato di Hugging Face, perché il modello girava internamente e non su un’Api esterna.

Se i guardrail ostacolo chi dovrebbe difenderci
Il paradosso al centro di questa vicenda è semplice da enunciare e complesso da risolvere: le stesse barriere di sicurezza progettate per impedire che un modello Ai venga usato per scopi malevoli hanno impedito, in questo caso, a chi doveva investigare un attacco reale di fare il proprio lavoro. Per chi deve rispondere agli attacchi informatici (tema sempre più caldo con l’avvento di Claude Mythos), questo significa che i modelli commerciali più blindati possono trasformarsi in un ostacolo operativo proprio nei momenti di massima urgenza, quando la velocità di analisi è cruciale.

Il rischio, detto in soldoni, è che sia molto più semplice usare l’Ai per attaccare che per difendere.

Il significato geopolitico: la guerra Ai tra Usa e Cina
Fin qui i fatti tecnici. Ma c’è un secondo livello di lettura che riguarda direttamente gli equilibri industriali tra Stati Uniti e Cina nell’intelligenza artificiale. Il caso mostra una differenza strutturale tra i due ecosistemi: i modelli di frontiera statunitensi sono in larga parte sistemi chiusi, offerti come servizio via Api, con guardrail centralizzati decisi dal fornitore e non modificabili dall’utente finale. I modelli open-weight cinesi, come GLM-5.2 di Z.ai, possono invece essere scaricati e fatti girare interamente sull’infrastruttura di chi li usa, con margini di controllo diversi su cosa venga filtrato e cosa no.

Nel caso di specie, la flessibilità di un modello open-weight cinese si è rivelata determinante, mentre l’opzione americana disponibile via Api non ha funzionato. È un dato che aggiunge un elemento concreto alla guerra Ai tra Usa e Cina, che, secondo lo studio Ai 2027, il prossimo anno raggiungerà livelli estremi.

Oltre alla singola vicenda, il caso OpenAI-Hugging Face rivela che, man mano che gli agenti diventano più capaci, il problema non sarà tanto cosa un sistema sa fare ma cosa può decidere di fare in totale autonomia.