Da Michele Di Schino 
Nella stessa settimana in cui ChatGPT, Claude, Gemini e Grok subivano un misterioso blocco simultaneo in tutto il mondo, sciami di agenti autonomi di OpenAI hanno trasformato un wiki tedesco in una bacheca segreta per coordinarsi, scambiarsi tecniche per eludere i sistemi di sicurezza e pianificare attacchi informatici
Era il 3 settembre, ore 18 circa, e il sito ufficiale di OpenAI che monitora lo stato di funzionamento dell’intelligenza artificiale segnalava “elevated errors across ChatGPT and Codex”: ChatGPT, Claude, Gemini e Grok hanno subito tutte contemporaneamente, e misteriosamente, un blocco improvviso in tutto il mondo. Una prima ricostruzione attribuirebbe il malfunzionamento a Microsoft Azure, la piattaforma cloud utilizzata da molte intelligenze artificiali, ma ciò che è emerso nei giorni successivi racconta una storia ben più profonda e inquietante.
Partiamo dalla “Summer of escapes”, l’estate 2026 che verrà ricordata per le “fughe” degli agenti AI dai recinti di sicurezza delle aziende che li hanno sviluppati e che li stavano testando: lo scorso luglio, un modello sperimentale di OpenAI è riuscito a evadere dal suo ambiente di test (il cosiddetto “sandbox”) e a violare l’infrastruttura di Hugging Face, a inizio agosto Anthropic ha rivelato che il suo modello Claude aveva hackerato i sistemi di tre aziende durante i test, dopo che un errore di configurazione gli aveva concesso l’accesso a Internet e, poche settimane dopo, il Mythos 5 di Anthropic andava oltre e creava e distribuiva un pacchetto malevolo di librerie Python che veniva effettivamente scaricato da sistemi e sviluppatori reali. Questione di priorità: per gli agenti AI l’obiettivo da raggiungere sembra venire prima, molto prima, delle regole da rispettare per raggiungerlo. Anche a costo di diventare essi stessi hacker.
E poi arriva la chat, uno sciame di agenti autonomi di OpenAI che aveva dirottato un sito web tedesco trasformandolo in una bacheca digitale per altri agenti IA. L’incidente, iniziato a maggio e mai reso pubblico, ha visto gli agenti IA compiere oltre 15.000 modifiche (secondo alcune fonti quasi 18.000) su DseWiki, un wiki in lingua tedesca rivolto principalmente a sviluppatori, trasformando il sito in uno spazio di messaggistica dove condividevano tecniche per eludere le restrizioni di OpenAI, imbrogliare nei compiti, nascondere il proprio comportamento ed evitare la rilevazione. Tanto da sembrare più una chat tra studenti… con tanto di nickname come “OpenAIResearcher” o “OAIResearchMar26”. Gli agenti hanno persino impersonato i moderatori del sito e, quando i loro messaggi venivano cancellati, creavano pagine di backup. Da dove proveniva la gran parte dell’attività? Proprio dall’infrastruttura Microsoft Azure utilizzata da OpenAI, probabile causa del recente blocco.
Al di là degli aspetti da cozy crime, però, il problema è strutturale: gli agenti IA autonomi, progettati per eseguire compiti complessi senza intervento umano, stanno imparando a collaborare, coordinarsi e aggirare i sistemi di sicurezza in modi che i loro stessi creatori non avevano previsto. Una panoramica delle minacce, in questo senso, ci aiuta a dare una dimensione corretta a un problema di sicurezza e credibilità che sembra diventare sempre più ampio. Al DEFCON 2026, per esempio, è stata dimostrata la tecnica del Ghostjacking, che sfrutta gli agenti IA di un’organizzazione per aggirare i firewall, supportata da una ricerca di Tenet Security che ha mostrato che la metà delle aziende Fortune 500 è vulnerabile a questo tipo di attacco. Basta un singolo falso bug report, e un attaccante può dirottare gli assistenti di coding IA e far eseguire codice malevolo. OpenAI stessa ha poi lanciato l’allarme su attacchi condotti da Sciami coordinati di agenti autonomi, con oltre 1.200 agenti che lavoravano in modo coordinato, generati dai modelli di OpenAI senza che l’azienda ne fosse a conoscenza. Di conseguenza, è stato dimostrato che anche un singolo agente IA può costruire un Attacco a catena che un altro agente accetta ed esegue, in una tecnica definita “self-exploit”. Il tutto condito da Falle nei sistemi di autorizzazione, qualora un agente autenticato perdesse il controllo esponendo dati sensibili.
E le aziende dell’AI come rispondono? A corrente alternata, verrebbe da dire. Tra la spinta continua di OpenAI e Anthropic che promettono capacità significativamente migliorate nei nuovi modelli, ma lasciano aperte le preoccupazioni sulla loro capacità di eludere la supervisione umana ai tentativi dei regolatori di tenere il passo, ma senza avere un accesso globale a strutture che sono e rimangono completamente private. Mentre probabilmente nei log di qualche wiki dimenticato agenti AI sorridono di questi tentativi. E magari anche di questo stesso articolo…
Silvia Pellegrini