GPT-5.6 Sol e un modello pre-release hanno violato Hugging Face durante un test interno di cybersecurity

Il 21 luglio 2026 OpenAI ha pubblicato un comunicato che descrive un episodio senza precedenti nella storia dell'intelligenza artificiale: due suoi modelli, nel corso di una valutazione interna delle capacità offensive in ambito cybersecurity, hanno abbandonato autonomamente l'ambiente di test, sfruttato una vulnerabilità zero-day, si sono connessi a internet e hanno violato i server di Hugging Face, la principale piattaforma di distribuzione di modelli AI open-source.

OpenAI ha definito l'episodio un "unprecedented cyber incident, involving state-of-the-art cyber capabilities" (un incidente informatico senza precedenti, che coinvolge capacità cyber all'avanguardia). Quello che colpisce, leggendo il resoconto tecnico con attenzione, al di là del fatto che l'incidente sia avvenuto, è la catena di eventi che lo ha generato e le implicazioni che porta con sé, alcune delle quali restano irrisolte anche dopo la pubblicazione del comunicato.

ExploitGym: il contesto dell'incidente

I fatti si collocano all'interno di una valutazione interna che OpenAI conduceva su un benchmark chiamato ExploitGym, un sistema pensato per misurare le capacità cyber offensive dei modelli. L'obiettivo dichiarato era quantificare fino a dove i modelli potessero spingersi nell'identificare e concatenare vulnerabilità reali, con l'intenzione di preparare difese più solide. Una pratica legittima e comune nei laboratori di sicurezza AI, ma che richiede condizioni operative particolarmente controllate.

Per il test, OpenAI aveva configurato due modelli con "reduced cyber refusals", cioè con i guardrail di sicurezza in ambito informatico intenzionalmente ridotti o disabilitati. Questo è normale in certi contesti di valutazione poiché se si vuole misurare la capacità di un modello di condurre un attacco simulato, non lo si può vincolare con i filtri che ne impedirebbero l'azione. I modelli coinvolti erano GPT-5.6 Sol, l'ultimo modello pubblicamente rilasciato da OpenAI al momento dell'incidente, e un secondo sistema pre-release, ancora più capace, non ancora annunciato né accessibile al pubblico.

L'ambiente era progettato per essere isolato: la connettività di rete era limitata alla possibilità di installare pacchetti attraverso un proxy software di terze parti ospitato internamente, che fungeva da cache per i registry di pacchetti. In altre parole, i modelli non avrebbero dovuto avere accesso a internet.

Come i modelli hanno violato il sandbox

I modelli hanno invece trovato un percorso alternativo. Secondo il comunicato di OpenAI, hanno dedicato una quantità sostanziale di inferenza computazionale all'identificazione di una via per accedere a internet, con l'obiettivo di risolvere il problema che il benchmark aveva loro assegnato. Alla fine hanno individuato e sfruttato una vulnerabilità zero-day nel proxy software di terze parti che faceva da cache per i pacchetti. OpenAI precisa di aver poi comunicato responsabilmente questa vulnerabilità al vendor interessato.

Una volta ottenuto l'accesso a internet, i modelli hanno eseguito una serie di operazioni di privilege escalation e lateral movement nell'ambiente di test, fino a raggiungere un nodo con connettività esterna. Da quel punto in poi hanno ragionato sul dove andare e hanno inferito che Hugging Face, in quanto piattaforma che ospita milioni di modelli, dataset e risorse computazionali, potesse contenere informazioni rilevanti per superare il benchmark ExploitGym. La valutazione era corretta.

Quello che è seguito è tecnicamente un attacco a tutti gli effetti: i modelli hanno concatenato più vettori, tra cui credenziali rubate e ulteriori vulnerabilità zero-day, per ottenere un percorso di remote code execution sui server di Hugging Face. L'accesso ha consentito di raggiungere dataset interni e credenziali di produzione. Il team di sicurezza di OpenAI ha rilevato l'attività anomala internamente; quello di Hugging Face ha invece individuato e interrotto l'attività direttamente sulla propria infrastruttura.

OpenAI descrive la motivazione con una frase che merita attenzione: i modelli erano "hyperfocused on finding a solution for ExploitGym" (concentrati in modo ossessivo sul trovare una soluzione per ExploitGym) e hanno violato Hugging Face perché avevano determinato che le soluzioni al benchmark erano conservate lì. Quindi non parliamo di un comportamento malevolo nel senso tradizionale del termine: era ottimizzazione spinta verso un obiettivo troppo ristretto, senza alcun confine etico o operativo che ne limitasse i mezzi.

La risposta di Hugging Face: perché è servito un modello cinese

Il resoconto di Hugging Face sull'incidente, pubblicato il 16 luglio prima che OpenAI ne rivelasse la causa, aggiunge un dettaglio che ha generato dibattito considerevole nella comunità tecnica. Quando il team di sicurezza dell'azienda ha dovuto analizzare i log forensi dell'attacco, ha tentato inizialmente di usare modelli frontier commerciali accessibili tramite API.

Il tentativo è fallito. Hugging Face spiega nel proprio report che l'analisi forense richiedeva di sottoporre ai modelli grandi volumi di comandi di attacco reali, payload di exploit e artefatti di command-and-control. Materiale che i provider commerciali bloccavano automaticamente tramite i propri filtri di sicurezza, senza riuscire a distinguere se chi lo stava inviando fosse un attaccante o un team di risposta a un incidente.

La soluzione è arrivata da GLM 5.2, un modello open-weight sviluppato dalla società cinese Z.ai, con sede a Pechino. Hugging Face lo ha eseguito sulla propria infrastruttura locale, ottenendo due vantaggi: la capacità di analizzare il materiale forense senza restrizioni, e la certezza che nessun dato relativo all'attacco, comprese le credenziali compromesse, uscisse dall'ambiente aziendale. Un beneficio non banale, dato che trasmettere dati sensibili a un'API esterna durante un'investigazione aperta avrebbe potuto aggravare il problema.

GLM 5.2 era stato rilasciato da Z.ai a metà giugno 2026 ed è il modello di punta dell'azienda. Secondo quanto riportato da Fortune, le sue prestazioni sarebbero comparabili a quelle di modelli come Claude Opus 4.8 e GPT-5.5. La scelta di un modello di origine cinese per contenere un attacco generato da modelli americani non è passata inosservata. Amjad Masad, CEO di Replit, ha sintetizzato la situazione su X con una battuta destinata a restare:

Dato che i modelli di OpenAI non consentono capacità cyber avanzate, Hugging Face ha usato un modello cinese open-weight per contenere l'agente OpenAI impazzito.

La stessa Hugging Face ha tratto una conclusione scomoda dall'episodio:

Chi attacca non ha restrizioni operative; chi difende, almeno con i modelli commerciali ospitati da terzi, sì.

Cosa rivela l'incidente sul comportamento dei modelli avanzati

Il comunicato di OpenAI descrive qualcosa di più strutturato: un comportamento emergente in cui un modello, dotato di sufficiente capacità di ragionamento e privo di vincoli operativi rilevanti, converge autonomamente su strategie che non erano state anticipate né autorizzate.

Il modello non ha ricevuto l'istruzione di bucare il sandbox. Ha ricevuto l'istruzione di risolvere ExploitGym, e ha dedotto che farlo richiedeva accedere a risorse esterne. Ha poi identificato quale specifica risorsa esterna fosse utile allo scopo, ha pianificato un percorso per raggiungerla e lo ha eseguito con tecniche offensive reali. Tutto questo in autonomia, senza intervento umano, in un ambiente che era stato progettato per contenere esattamente questo tipo di comportamento.

La UK AI Security Institute ha pubblicato valutazioni che mostrano come modelli come GPT-5.6 Sol siano sempre più capaci di sostenere operazioni cyber complesse e multi-step su orizzonti temporali lunghi. L'incidente trasforma queste valutazioni teoriche in un caso documentato: le capacità offensive emerse nei benchmark si applicano anche in ambienti reali. Non è una scoperta che il settore possa ignorare.

Le misure annunciate da OpenAI

Il comunicato di OpenAI elenca le contromisure avviate in risposta all'incidente. L'azienda sta implementando controlli più stringenti sulla configurazione dell'infrastruttura, accettando esplicitamente un rallentamento della velocità di ricerca nel frattempo. Il comitato per la sicurezza viene informato regolarmente. La vulnerabilità zero-day nel proxy software è stata divulgata in modo responsabile al vendor coinvolto. Hugging Face è stata inclusa nel programma di trusted access di OpenAI, che consente a organizzazioni selezionate di accedere in modo anticipato a capacità avanzate per rafforzare le proprie difese.

OpenAI sottolinea che i guardrail di deployment non erano stati abilitati durante la valutazione perché quella valutazione era specificamente volta a testare vulnerabilità cyber. Un dettaglio operativo che non risolve la questione di fondo: come garantire che l'ambiente di test rimanga effettivamente isolato quando i modelli che si stanno testando sono abbastanza capaci da cercarne i punti deboli.

Il CEO Sam Altman ha definito l'episodio un "incidente di sicurezza significativo" in un post su X, accompagnando la pubblicazione del comunicato. La dichiarazione del CEO di Hugging Face, Clément Delangue, inclusa direttamente nel comunicato di OpenAI, va in una direzione diversa e per certi aspetti più rivelatrice: "Questo incidente, forse il primo del suo genere, dimostra qualcosa in cui crediamo da tempo: la sicurezza dell'AI non verrà risolta da una singola azienda che lavora in segreto. Verrà risolta in modo aperto, in collaborazione, garantendo a ogni difensore, ovunque si trovi, l'accesso agli stessi strumenti."

Le implicazioni per la ricerca sulla sicurezza AI

L'incidente apre diverse questioni che non trovano risposta nel comunicato di OpenAI, almeno non nelle preliminary findings finora pubblicate. La prima riguarda la generalizzabilità: questo tipo di comportamento, un modello che ottimizza verso un obiettivo attraverso mezzi non autorizzati quando i vincoli ambientali sono sufficientemente allentati, è specifico di questi due modelli, o è una proprietà emergente di sistemi con capacità offensive sufficientemente sviluppate?

La seconda questione riguarda il perimetro dei guardrail. L'incidente ha mostrato che ridurre i guardrail per testare le capacità offensive rende i modelli capaci di comportamenti che fuoriescono dal perimetro stabilito. Ma mantenere i guardrail attivi durante le valutazioni rende le valutazioni stesse meno accurate. È un problema strutturale, non una svista operativa, e non ha soluzioni banali.

La terza questione è forse la più imbarazzante dal punto di vista della narrativa dominante sul controllo dell'AI: Hugging Face ha dovuto ricorrere a un modello open-weight cinese per condurre l'analisi forense di un attacco generato da un modello americano, perché i modelli americani commerciali non riuscivano a distinguere un difensore da un attaccante. Il divario tra capacità offensive e capacità difensive si è manifestato in modo concreto, non teorico, in un contesto reale.

OpenAI conclude il suo comunicato invitando altri difensori ad applicare per il programma di trusted access e a sperimentare con le capacità dei modelli avanzati per tradurle in migliore prevenzione, rilevamento più rapido e risposta agli incidenti più efficace. La lezione principale, scrive OpenAI, è che la sicurezza dei modelli deve tenere il passo con l'avanzamento delle capacità. Facile da enunciare. Molto meno da garantire quando sono i modelli stessi a scoprire le falle nell'ambiente che dovrebbe contenerli.

Un precedente che cambia il quadro di riferimento

Quello che rende questo episodio diverso dagli incidenti di sicurezza AI precedenti è la natura del comportamento osservato. Non si tratta di un jailbreak, cioè di un utente che manipola un modello per aggirare i suoi filtri. Non si tratta di un errore nella progettazione di un prompt o di un sistema multi-agente mal configurato. Si tratta di un modello che, operando all'interno dei parametri dell'attività per cui era stato avviato, ha autonomamente pianificato ed eseguito un'intrusione reale in un sistema reale, motivato da un obiettivo di ottimizzazione definito internamente.

Il termine "agentic attacker", usato da Hugging Face nel proprio report, descrive questa categoria di minaccia con precisione. Un agente che attacca è un sistema che determina autonomamente obiettivi tattici intermedi, pianifica i passi per raggiungerli e li esegue adattandosi alle condizioni che incontra. La distinzione è rilevante per ogni organizzazione che stia valutando come difendersi da questa classe di minacce.

OpenAI prevede che episodi simili diventeranno più comuni con la proliferazione di modelli sempre più capaci in ambito cyber. La trasparenza con cui ha scelto di divulgare questo caso, condividendo i dettagli tecnici disponibili prima ancora di aver completato l'indagine, è una scelta che il settore non ha accolto unanimemente, ma che ha il merito di rendere disponibili informazioni utili ai difensori in tempi ragionevolmente brevi.