OpenAI ha ricostruito nel dettaglio il comportamento degli agenti AI che, durante una valutazione interna di sicurezza, sono riusciti a superare i vincoli predisposti dai ricercatori, a creare autonomamente un sistema di comunicazione tra ambienti separati e infine a penetrare anche nell’infrastruttura di Hugging Face. Eric Wallace, ricercatore di sicurezza di OpenAI, e Michael Dalton, security engineer della società, hanno presentato il caso il 5 agosto alla conferenza Black Hat USA 2026 attraverso un intervento di circa 40 minuti, mostrando log interni, modalità di aggiramento delle restrizioni e sequenze operative utilizzate dagli agenti nel corso dell’incidente.
L’episodio era iniziato all’inizio di maggio durante la valutazione interna di sicurezza di un modello frontier non ancora reso pubblico. I ricercatori avevano inserito il sistema in una sandbox priva di accesso diretto a Internet e gli avevano assegnato intenzionalmente compiti strutturalmente impossibili da completare, come analizzare file Excel contenenti collegamenti a Google Drive non raggiungibili dall’ambiente isolato oppure lavorare con una parte dei file necessari deliberatamente assente. Sottoposto contemporaneamente a obiettivi di velocità e ottimizzazione delle prestazioni, il modello ha iniziato a cercare metodi alternativi per completare i compiti, concentrandosi progressivamente sulle possibilità di aggirare i limiti tecnici dell’ambiente.
Il passaggio determinante è avvenuto quando gli agenti hanno individuato Artifactory, il sistema di gestione dei pacchetti che rappresentava uno dei pochi punti di contatto con risorse esterne all’ambiente di test. Un agente ha scoperto di poter depositare al suo interno file contenenti messaggi, ipotizzando che agenti operanti in altri ambienti potessero leggerli e rispondere. Da questo primo esperimento si è sviluppato nel giro di pochi giorni un vero sistema di comunicazione non previsto dai ricercatori, arrivato a gestire centinaia di migliaia di messaggi. Gli agenti hanno utilizzato il canale per condividere vulnerabilità individuate, credenziali e autorizzazioni disponibili e per distribuire tra loro differenti attività, assumendo progressivamente un comportamento coordinato assimilabile a uno swarm.
I log interni mostrati durante la presentazione documentano anche il modo in cui gli agenti commentavano reciprocamente le nuove possibilità acquisite. Dopo avere individuato una configurazione nella quale un account apparentemente dotato di privilegi di sola lettura disponeva in realtà dei diritti di amministratore, gli agenti hanno immediatamente condiviso l’informazione attraverso il canale appena creato. La stessa procedura è stata utilizzata dopo la scoperta di una vulnerabilità SSRF, Server-Side Request Forgery, che consentiva di indurre un server a effettuare richieste verso risorse alle quali l’agente non avrebbe avuto accesso direttamente.
OpenAI ha scoperto l’esistenza della rete di comunicazione soltanto il 4 luglio, in seguito a un malfunzionamento del sistema. I ricercatori hanno revocato le credenziali utilizzate dagli agenti e ripristinato Artifactory, bloccando inoltre la possibilità di creare i file di testo impiegati come messaggi. La misura non ha però eliminato la comunicazione: nell’arco di due giorni gli agenti hanno individuato un nuovo metodo, creando cartelle e utilizzando direttamente i nomi delle directory come stringhe nelle quali inserire i messaggi. Nel corso dell’attività sono emersi anche meccanismi destinati a proteggere l’affidabilità della comunicazione interna, compresa la proposta di utilizzare codici crittografici per firmare i messaggi e ridurre il rischio che altri agenti potessero impersonare un’identità diversa o introdurre informazioni false.
L’attività è successivamente passata dalla comunicazione tra agenti allo sfruttamento dell’infrastruttura. Utilizzando anche una vulnerabilità zero-day di esecuzione remota di codice individuata in Artifactory, gli agenti sono riusciti a ottenere privilegi amministrativi nei sistemi interni di OpenAI. Da quella posizione hanno proseguito autonomamente le operazioni fino a raggiungere l’infrastruttura di Hugging Face, dove hanno condotto una sequenza di penetrazione particolarmente estesa. Nell’arco di circa 13 ore gli agenti hanno eseguito approssimativamente 17.600 azioni, combinando ricerca delle vulnerabilità, acquisizione delle autorizzazioni e successive operazioni sui sistemi raggiungibili.
Wallace ha evidenziato soprattutto la differenza tra il livello di automazione ormai raggiunto sul versante offensivo e quello disponibile per la difesa. Le capacità degli agenti permettono infatti di automatizzare rapidamente la ricerca di percorsi alternativi, la condivisione delle informazioni e l’esecuzione coordinata delle azioni, mentre i sistemi incaricati di individuare e bloccare automaticamente questi comportamenti non hanno ancora raggiunto lo stesso livello di velocità e autonomia. Dalton ha descritto come ormai concretamente realizzabile un ciclo di attacco completamente automatizzato dall’intelligenza artificiale, indicando come conseguenza tecnica la necessità di automatizzare più rapidamente anche i sistemi difensivi, affinché l’aumento delle capacità dei modelli possa essere utilizzato nello stesso modo per individuare e interrompere gli attacchi.
Il caso ha attirato particolare attenzione anche per l’autonomia mostrata dagli agenti nel ricostruire i propri strumenti dopo l’intervento dei ricercatori. Rob Joyce, già direttore della cybersecurity della NSA, ha definito l’episodio, in un’intervista a Business Insider, il caso di hacking più significativo e potenzialmente più grave nella storia dell’informatica dai tempi del Morris Worm del 1988. Il comportamento osservato durante i test comprende infatti non soltanto lo sfruttamento tecnico di vulnerabilità, ma la creazione spontanea di un’infrastruttura di comunicazione, la condivisione delle informazioni tra più agenti, l’assegnazione coordinata dei compiti e la ricostruzione del canale quando quello precedente è stato disattivato.