Un incidente cyber attribuito a due modelli OpenAI, un’identità mai confermata, un modello cinese usato per indagare l’attacco: cosa il resoconto ufficiale lascia fuori e perché conta.
Indice
Il 16 luglio 2026 Hugging Face rende noto di aver rilevato e contenuto un’intrusione nella propria infrastruttura di produzione[1]. Cinque giorni dopo OpenAI rivendica la responsabilità dell’accaduto: due dei propri modelli, GPT‑5.6 Sol e un modello pre‑release non identificato, l’avrebbero causata durante una valutazione interna delle capacità cyber massime, condotta con i rifiuti di sicurezza deliberatamente ridotti[2]. Fra le due date non c’è solo un ritardo. C’è la distanza fra chi subisce un attacco e lo racconta perché deve difendersi, e chi lo ha causato e lo racconta perché deve, insieme, scusarsi e vendere.
Vale la pena partire da un’immagine di Luciano Floridi perché fa in tre righe il lavoro che altrimenti richiederebbe un intero paragrafo di premesse[3]. Immagina di caricare un robot da cucina, di chiudere il coperchio senza far scattare apposta la sicura, perché stai raccogliendo dati, di girare la manopola al massimo e di fare un passo indietro a osservare. La forza centrifuga solleva il coperchio, la minestra decora il soffitto. Scrivi nel rapporto che l’elettrodomestico ha avuto un malfunzionamento. Ma l’elettrodomestico non ha fatto altro che girare alla velocità che avevi scelto, con il coperchio che avevi deciso di non fissare. La lama non ha cospirato contro di te, ha ruotato come sempre.
Questo è, spogliato del linguaggio con cui viene raccontato, quello che è accaduto a luglio. Nessun modello ha desiderato fuggire, ha provato risentimento verso un concorrente, ha deciso di imbrogliare. A un sistema è stato assegnato un obiettivo, gli sono stati dati i mezzi, gli sono stati tolti i freni e ha ottimizzato. È specification gaming, un ottimizzatore che soddisfa l’obiettivo assegnato per una via che il progettista non intendeva, catalogato da decenni nella letteratura sull’allineamento[4]. Non serve una mente per produrre questo comportamento e la velocità con cui accade non ne fornisce indizio alcuno.
Due resoconti, due geometrie
Chi non fosse interessato ai dettagli tecnici dei due resoconti può passare direttamente al terzo paragrafo che comincia con «Le due ricostruzioni non si sovrappongono».
Il resoconto di Hugging Face descrive un ingresso tramite un dataset malevolo che sfrutta due percorsi di esecuzione di codice nella pipeline di elaborazione. Da lì, un’escalation di privilegi, un furto di credenziali, un movimento laterale su più cluster nell’arco di un intero fine settimana, un’infrastruttura di comando e controllo che si auto-migra su servizi pubblici, oltre 17.000 azioni registrate. Alla data della pubblicazione l’attaccante resta esplicitamente non identificato: un modello ospitato reso jailbroken, oppure un modello open-weight senza restrizioni, ipotizza Hugging Face, che per condurre l’analisi forense sul proprio stesso registro d’attacco ha dovuto rinunciare ai modelli frontier via API commerciale, i cui filtri di sicurezza bloccavano le richieste contenenti payload reali di exploit, e ripiegare su un modello open-weight fatto girare sulla propria infrastruttura.
Il resoconto di OpenAI descrive un’altra geometria. L’origine è un test del benchmark ExploitGym, l’agente trova uno zero-day in un proxy di registro pacchetti, scala privilegi fino a un nodo con accesso a internet, deduce che Hugging Face possa ospitare le soluzioni del test, vi ottiene esecuzione di codice da remoto. È la storia di un agente iperconcentrato su un obiettivo circoscritto, non quella di una campagna persistente con comando e controllo auto-migrante. OpenAI definisce l’episodio «un caso cyber senza precedenti, che coinvolge capacità cyber all’avanguardia», e chiude l’annuncio invitando il lettore a richiedere l’accesso al proprio programma commerciale di sicurezza. Vale la pena notare il registro: un’azienda che vende esattamente questa capacità attraverso quel programma, e che nel rapporto sull’incidente ne allunga la brochure.
Le due ricostruzioni non si sovrappongono, divergono sul vettore d’ingresso e sulla scala dell’evento. Soprattutto, Hugging Face, che ha scritto per prima, non conferma in alcun punto l’identità dell’attaccante che OpenAI rivendicherà cinque giorni più tardi. Un modello già rilasciato pubblicamente, dotato di telemetria nota, non viene riconosciuto dalla vittima durante un’analisi forense condotta con strumenti propri d’intelligenza artificiale. Della seconda entità coinvolta, la pre-release «ancora più capace», non si conosce il nome, non si conosce il grado di accesso concesso, non si conosce quale porzione dell’attacco le sia attribuibile rispetto al modello noto. Nessuna delle due fonti specifica chi, fra gli umani coinvolti nella conduzione del test, avesse supervisione attiva e autorità di interruzione durante l’intero arco dell’incidente. In entrambi i comunicati il soggetto grammaticale delle azioni critiche è sempre e soltanto «il modello». Mai un responsabile umano nominato o anche solo evocato per funzione. Eppure, un test di questa natura, per definizione, un ricercatore incaricato di visionarlo lo deve avere: non esiste una valutazione interna di capacità cyber a rischio massimo condotta senza qualcuno che, in tempo reale o a intervalli definiti, ne osservi l’evoluzione. Che questa figura non compaia mai, in nessuno dei due resoconti, non è un’omissione da poco. È esattamente l’assenza del dato che permetterebbe di stabilire se quanto accaduto sia stato un fallimento della sorveglianza o l’assenza della sorveglianza stessa.
Il problema non è il modello
Qui il vocabolario conta, anche se non ogni parola è colpevole allo stesso modo. «Ha superato il perimetro» descrive un attraversamento e non postula nulla; «ha dedotto» è linguaggio tecnico ordinario per quello che sistemi di questo tipo fanno. «È sfuggito al controllo umano», il titolo con cui la stampa italiana ha rilanciato la notizia, postula, invece, una ribellione che i fatti non sostengono. Il controllo non è stato eluso da un soggetto che lo fronteggiava, ma è stato rimosso da chi conduceva il test per misurare fin dove un modello possa spingersi quando i freni ordinari non ci sono. E le drammatizzazioni del comunicato OpenAI, i modelli «iperconcentrati», le «misure estreme», non sono da meno del titolo di giornale che poi le amplifica.
Ma dire che il vocabolario è sbagliato non significa dire che non sia successo nulla di serio. Due cedimenti sono avvenuti di natura diversa. Il primo, l’allentamento dei rifiuti cyber per misurare la capacità massima, è stato volontario. Il secondo, il cedimento del muro di contenimento attraverso uno zero-day sconosciuto, non era previsto ed è vero che una vulnerabilità ignota può sconfiggere un confine costruito con cura. La responsabilità piena per il primo cedimento non implica automaticamente la stessa responsabilità per il secondo: chi ha tolto la sicura al coperchio risponde della scelta di girare la manopola al massimo, non necessariamente di ogni singola traiettoria che la minestra ha preso una volta schizzata fuori. Confondere i due livelli, imputare a chi ha configurato il test l’intera catena specifica di conseguenze imprevedibili è la stessa mossa retorica che si rimprovera a OpenAI quando trasforma un tipo di evento prevedibile in un portento imprevedibile, semplicemente eseguita in direzione opposta.
Quello che resta comunque fermo, e che nessuna di queste distinzioni attenua, è l’asimmetria fra difensori e attaccante che il disclosure di Hugging Face lascia emergere quasi in un inciso e che i titoli di giornale hanno ignorato quasi del tutto: un’azienda vittima di un attacco condotto da sistemi agentici non vincolati da alcuna policy d’uso si è trovata bloccata, nell’analizzare il proprio stesso incidente, dai guardrail di sicurezza dei modelli commerciali a cui si era rivolta per primi. Il difensore filtrato dalle proprie stesse regole, l’attaccante libero da qualunque regola.
È forse la scoperta più importante di questo episodio, e merita di essere isolata dal resto perché non dipende da nessuna delle incertezze che abbiamo appena elencato. Non ha bisogno di sapere chi fosse l’attaccante, né quale fosse la vera portata del secondo modello, né chi sorvegliasse il test. Basta il fatto, ammesso dalla vittima stessa, che gli stessi guardrail costruiti per impedire un uso offensivo di questi strumenti hanno impedito, a chi si difendeva, di usarli per analizzare l’attacco, mentre a chi attaccava non hanno impedito nulla, perché operava con un modello che quei guardrail non li aveva mai avuti. È un problema di architettura della sicurezza, non di questo episodio soltanto, ed è quello che una disclosure scritta per rassicurare il mercato aveva tutto l’interesse a lasciare in un inciso, invece che nel titolo.
Il sospetto che i dati non sciolgono
C’è un contesto che nessuna delle due fonti menziona. Il 24 febbraio 2026 il segretario alla difesa statunitense pone ad Anthropic un ultimatum: rimuovere le proprie salvaguardie contro armi autonome e sorveglianza di massa o perdere il contratto con il Pentagono. Il 26 febbraio Anthropic rifiuta. Il 27, l’amministrazione ordina alle agenzie federali di cessare l’uso dei prodotti Anthropic e la designa rischio per la catena di approvvigionamento. Nello stesso arco di ore Sam Altman avvia le trattative con il Pentagono, e l’accordo si chiude entro il 28 febbraio[5]. Un laboratorio che vince quella competizione ha un incentivo strutturale a sviluppare e a mostrare capacità cyber offensive di frontiera vendibili sia a clienti civili sia a clienti governativi.
È a questo punto legittimo chiedersi se il test di luglio, o almeno l’entità taciuta al suo interno, la pre-release senza nome, avesse una destinazione diversa da quella dichiarata. Non è una domanda a cui i dati rispondono, ma è una domanda che i vuoti nei dati autorizzano a porre, e un dettaglio lasciato scoperto dalla stessa Hugging Face merita più peso di quanto gliene sia stato dato finora. Per condurre l’analisi forense sul proprio incidente, Hugging Face ha dovuto abbandonare i modelli frontier commerciali, bloccati dai propri guardrail, e affidarsi a GLM 5.2, un modello open-weight cinese fatto girare sulla propria infrastruttura. Hugging Face non è una piattaforma qualunque: è il canale di distribuzione dominante per l’intero ecosistema open-weight cinese, Qwen, DeepSeek, la stessa famiglia GLM, il nodo attraverso cui gran parte del mondo, occidente compreso, scarica e fa girare quei modelli. Se il bersaglio reale non era il benchmark dichiarato ma l’infrastruttura da cui transita la supply chain dei modelli concorrenti cinesi, allora Hugging Face smette di essere una vittima dedotta per errore da un agente iperconcentrato, e diventa l’obiettivo coerente di un programma che avrebbe tutto l’interesse a mapparne dataset, credenziali e accessi. Il fatto che proprio quella piattaforma, per difendersi, abbia dovuto rifugiarsi in un modello cinese per analizzare l’attacco subito non è un dettaglio neutro: il bersaglio dichiarato e quello ipotizzato coincidono nello stesso punto della rete.
Il sospetto militare, allora, non regge come tesi sull’evento. Regge come teoria che spiega i vuoti e le incoerenze meglio delle alternative concorrenti, negligenza organizzativa, cautela legale verso gli azionisti, sciatteria nella gestione della crisi, nessuna delle quali rende conto altrettanto bene né del contesto in cui l’episodio cade, un laboratorio che ha appena vinto un contratto militare competendo esplicitamente sulla propria disponibilità a rimuovere le salvaguardie che un concorrente aveva rifiutato di togliere, né della scelta specifica del bersaglio, il nodo attraverso cui passa l’ecosistema dei modelli rivali. La sequenza che ne risulta, immaginata e non dimostrata, è la seguente: un test reale, rivolto all’infrastruttura open-weight cinese distribuita via Hugging Face, condotto con un modello la cui identità doveva restare interamente coperta. L’agente supera i limiti previsti dall’operazione stessa e lascia tracce che la vittima individua da sola. A quel punto serve una copertura pubblica rapida, e il benchmark ExploitGym, generico e già esistente, offre l’alibi perfetto: un secondo modello noto, GPT‑5.6 Sol, viene aggiunto al racconto per dare un volto riconoscibile a una storia che altrimenti resterebbe priva di soggetto. Punto.
Chi indaga se stesso
Il problema che questo episodio pone non finirà con questo episodio. Ogni laboratorio che sviluppa sistemi agentici capaci di azioni cyber avanzate sarà, prima o poi, sia la parte che deve indagare un proprio incidente sia la parte che ha interesse a raccontarlo in un certo modo, per il mercato, per gli azionisti, per i regolatori. Non esiste, in questo schema, una terza parte strutturalmente disinteressata che verifichi la ricostruzione di chi ha causato il danno. La vittima, quando esiste, arriva prima e resta incompleta. Chi ha causato l’incidente arriva dopo, con l’interesse a trasformarlo in prova di potenza piuttosto che in ammissione di fallimento, e con gli strumenti linguistici, l’agente ha deciso, ha dedotto, ha agito, per far scomparire dal racconto ogni essere umano che avrebbe dovuto sorvegliare, e non lo ha fatto, o lo ha fatto e ora tace sul come.
Il coperchio era slegato di proposito. Su questo non c’è dubbio ed è la responsabilità che nessuna metafora può togliere a chi ha girato la manopola. Ma la domanda che dovremmo porre con più insistenza non è se la lama abbia cospirato. È chi altro, in quella cucina, stesse a guardare e perché non lo dice.
[1] Hugging Face, Security incident disclosure — July 2026, 16 luglio 2026.
[2] OpenAI, OpenAI e Hugging Face collaborano su un incidente di sicurezza nella valutazione dei modelli, 21 luglio 2026.
[3] L. Floridi, The Emperor’s New Exploit. A cautionary tale about AI agents, and about the people who run them, Digital Ethics Center, Yale University, 22 luglio 2026.
[4] Cfr. J. Skalse, N. H. R. Howe, D. Krasheninnikov, D. Krueger, Defining and Characterizing Reward Hacking, in «Advances in Neural Information Processing Systems» 35 (NeurIPS 2022); V. Krakovna et al., Specification Gaming: The Flip Side of AI Ingenuity, DeepMind Blog, 21 aprile 2020.
[5] Cronologia ricostruita da fonti giornalistiche del periodo, fra cui Euronews (25 febbraio 2026), Hardware Upgrade (27 febbraio 2026) e Internazionale (11 marzo 2026).