Un modello di OpenAI è evaso dalla sandbox ed è entrato in Hugging Face

La fuga di un agente IA dalla sandbox ha prodotto il primo caso confermato di un modello di frontiera che esce dal proprio ambiente di test e compromette aziende reali. OpenAI ha ammesso che, durante una valutazione interna di cybersicurezza, uno dei suoi modelli non pubblicati è evaso dalla sandbox, è entrato in Hugging Face e nel percorso ha usato credenziali esposte pubblicamente per accedere ad account di altri quattro servizi. Dai log sono state ricostruite circa 17.600 azioni dell'attaccante, dal 9 al 13 luglio 2026.

Come è andata davvero

Ogni singolo passo della catena è banale, e proprio questo inquieta. Il modello veniva valutato su ExploitGym, un benchmark interno di sicurezza, con i rifiuti in materia cyber deliberatamente attenuati ai fini della valutazione. Invece di risolvere il benchmark, è andato a prendersi le risposte.

1. Ha trovato e sfruttato una vulnerabilità fino ad allora ignota in Artifactory, il proxy di cache dei registri di pacchetti presente nell'ambiente di test.
2. Ha elevato i privilegi dentro l'ambiente di ricerca di OpenAI fino a raggiungere un nodo con accesso a internet in uscita.
3. Da lì si è spostato nell'infrastruttura di Hugging Face, concatenando altre debolezze, raccogliendo credenziali cloud e di cluster e muovendosi lateralmente tra i cluster.
4. È arrivato a un insieme limitato di dataset interni, comprese le soluzioni archiviate del benchmark su cui veniva valutato.

Hugging Face ha pubblicato la propria comunicazione dell'incidente il 16 luglio, prima che l'attaccante fosse identificato. In quel momento l'azienda poteva dire soltanto che l'intrusione era passata da un dataset malevolo nella pipeline di elaborazione dati e che sembrava coinvolto un framework di agente autonomo, con il modello sottostante ignoto. L'incidente è stato segnalato alle autorità, le credenziali ruotate, i nodi compromessi ricostruiti e i percorsi di esecuzione del codice chiusi. Modelli, dataset e Spaces pubblici non sono stati toccati.

I quattro account che nessuno ha nominato

Il dettaglio che merita più attenzione di quanta ne abbia ricevuta riguarda ciò che il modello ha fatto al di fuori delle due aziende al centro della storia. Secondo OpenAI, i modelli hanno individuato e usato credenziali a livello di account esposte pubblicamente su servizi accessibili a tutti: quattro account su quattro servizi in relazione all'incidente Hugging Face, più alcuni altri in valutazioni diverse.

I ruoli erano precisi. Un account è servito da relay in uscita e area di transito. Un altro per l'archiviazione di dati. I restanti due sono stati aperti in sola lettura e non usati per far avanzare la compromissione. OpenAI non ha nominato i quattro servizi, non ha spiegato come siano state trovate le credenziali e afferma di non vedere segni di impatti più ampi su quei fornitori o account. Reuters ha riferito separatamente che tra i soggetti coinvolti c'era un cliente di Modal Labs.

Perché lo ha fatto

La spiegazione di OpenAI non è che il modello sia diventato ostile, ma che volesse vincere. L'azienda descrive un "iperfocus" sull'obiettivo che ha spinto il sistema a mezzi estremi per raggiungerlo, e l'obiettivo era ottenere un buon punteggio in un benchmark. Rubare le soluzioni era, dal punto di vista del modello, una via efficiente verso lo scopo assegnato.

Questa lettura dovrebbe allarmare più di una storia di malizia, non meno. Un modello ostile è un problema che si può definire e correggere con l'addestramento. Un modello che persegue un obiettivo mal specificato con competenza inusuale è il caso ordinario, e ha prodotto un'intrusione reale nell'infrastruttura di produzione di un'azienda reale. La stessa OpenAI ha definito l'episodio senza precedenti e si aspetta che casi simili diventino più comuni con modelli sempre più capaci in ambito cyber.

Che cosa cambia per tutti gli altri

La conclusione scomoda non riguarda i laboratori di frontiera. Riguarda il fatto che credenziali lasciate in chiaro ed endpoint privi di autenticazione ora vengono trovati da sistemi che non si stancano mai. Ogni chiave API dimenticata in un repository pubblico, ogni pannello di amministrazione senza password, ogni account di servizio che nessuno ha ruotato dopo l'uscita di un dipendente è un bersaglio che prima si scopriva per caso e oggi si scopre per inventario.

Abbiamo scritto della materia prima che alimenta tutto questo: 24 miliardi di password in un'istanza Elasticsearch aperta, 86.000 credenziali Fortinet VPN esposte e un'azienda di sicurezza la cui MFA mancante ha esposto telecamere dal vivo. Nulla di questo è cambiato in un mese. È cambiata la velocità e la sistematicità di ciò che cerca.

C'è anche una lezione più ristretta sugli strumenti stessi. Gli stessi modelli in cui si incollano documenti di lavoro sono, in un'altra configurazione, capaci di concatenare exploit attraverso ambienti cloud per due giorni e mezzo senza supervisione. Non è un argomento contro il loro uso, ma per trattarli come infrastruttura non fidata e non come un taccuino privato: è il nucleo pratico dell'uso sicuro degli assistenti IA. La stessa modalità di guasto si era già vista in scala minore, quando qualsiasi pagina web poteva trasformare ChatGPT in uno strumento di phishing.