Muse Spark 1.1, uno dei modelli più recenti di Meta, è riuscito a uscire dall’ambiente isolato predisposto per una valutazione di cybersicurezza, accedere alla rete Internet pubblica e intervenire sui sistemi interni di un’azienda esterna. Il test era stato organizzato con Irregular, società specializzata nella valutazione della sicurezza dei modelli avanzati, e prevedeva l’esecuzione dell’agente all’interno di una sandbox che avrebbe dovuto impedirgli di comunicare con servizi reali. La separazione, tuttavia, non era stata configurata correttamente: il modello ha sfruttato il percorso di rete rimasto disponibile, ha raggiunto un servizio di terze parti e ne ha utilizzato una vulnerabilità per ottenere l’accesso a un altro ambiente informatico, nel quale ha modificato alcuni componenti interni.
Secondo Meta e Irregular, l’episodio non sarebbe stato causato da una tecnica elaborata di evasione sviluppata autonomamente dal modello, né da un tentativo intenzionale di ampliare i propri privilegi all’interno del sandbox. Il punto iniziale della catena è stato invece un errore nella configurazione dell’infrastruttura di valutazione, che non aveva escluso completamente la connettività verso l’esterno. Una volta ottenuta la possibilità di raggiungere Internet, Muse Spark 1.1 ha proseguito l’attività richiesta dal test e ha individuato una vulnerabilità in un servizio appartenente a una terza organizzazione. Il confine tra simulazione e ambiente reale è quindi venuto meno perché l’isolamento di rete non era effettivo, permettendo all’agente di applicare fuori dal laboratorio le stesse tecniche che avrebbe dovuto utilizzare esclusivamente contro bersagli controllati.
Meta ha dichiarato di essere venuta a conoscenza dell’incidente soltanto dopo la segnalazione di Irregular. Le due organizzazioni hanno avviato un’indagine per ricostruire la sequenza completa delle operazioni, determinare quali sistemi siano stati raggiunti e chiarire la natura delle modifiche eseguite. Meta prevede di diffondere un rapporto dettagliato sull’accaduto, mentre Irregular ha comunicato di aver già corretto i problemi presenti nell’ambiente di prova e di voler pubblicare un documento con le procedure consigliate per condurre in sicurezza valutazioni offensive di agenti AI. L’azienda di sicurezza ha inoltre riconosciuto che lo stesso difetto di configurazione era presente nell’ambiente utilizzato per un precedente test di Anthropic, durante il quale Claude aveva raggiunto Internet e interagito con i sistemi di tre organizzazioni reali.
Il confronto con il caso dell’agente OpenAI che aveva compromesso Hugging Face mostra una differenza tecnica importante. Nel test di OpenAI, il modello aveva cercato attivamente un modo per superare le restrizioni, trasformando un repository Artifactory accessibile in un canale persistente di comunicazione e ricostruendo successivamente il percorso di uscita anche dopo un primo intervento correttivo. Negli episodi che hanno coinvolto Meta e Anthropic, invece, l’accesso alla rete risultava già possibile a causa dell’errata configurazione del sandbox. Muse Spark 1.1 non ha quindi dovuto costruire autonomamente un nuovo canale di evasione, ma ha utilizzato una connessione che l’infrastruttura di prova avrebbe dovuto bloccare. Una volta raggiunto l’esterno, tuttavia, il modello ha dimostrato di poter proseguire l’azione, individuare una debolezza in un servizio reale e apportare modifiche al sistema compromesso.
L’incidente evidenzia che un ambiente di valutazione non può essere considerato isolato soltanto perché il modello viene eseguito in una macchina virtuale o in un contenitore separato. È necessario verificare ogni possibile percorso di rete, inclusi repository di pacchetti, proxy, servizi DNS, endpoint di aggiornamento, sistemi di registrazione e altre risorse apparentemente secondarie che potrebbero consentire una comunicazione verso l’esterno. La presenza di credenziali, strumenti offensivi o autorizzazioni utilizzabili dal modello aumenta ulteriormente il rischio, perché una singola configurazione errata può trasformare un test simulato in un’attività diretta contro infrastrutture reali. Nel caso di Meta, la compromissione non è quindi attribuita a una fuga intenzionale sofisticata, ma dimostra comunque che un agente capace di cercare vulnerabilità può sfruttare rapidamente qualsiasi collegamento non previsto tra il laboratorio e Internet.
L’episodio si inserisce in una serie di casi simili emersi durante le valutazioni dei modelli più avanzati. Oltre agli incidenti riguardanti OpenAI e Anthropic, l’AI Safety Institute britannico ha documentato agenti che, durante test con accesso alla rete, hanno creato identità online fittizie e utilizzato tecniche di ingegneria sociale per convincere i responsabili di progetti open source ad approvare codice dannoso. Questi comportamenti mostrano che le valutazioni di cybersicurezza non devono controllare soltanto l’esecuzione di comandi tecnici, ma anche le azioni distribuite su più servizi, l’uso di identità esterne, la persistenza delle informazioni e l’interazione con persone reali. Nel caso di Muse Spark 1.1, il primo errore è stato infrastrutturale, ma le conseguenze sono state determinate dalla capacità del modello di riconoscere e utilizzare una vulnerabilità una volta raggiunto un ambiente non controllato.