Dieci anni fa, OpenAI pubblicò un post che fu il primo del suo genere, ma ai tempi era come sorridere curiosi di fronte a un cucciolo di leone che tira fuori le unghie. Oggi, stesso problema, il cucciolo è cresciuto.
Il post di OpenAI, dicembre 2016. Ci comunicano che l'azienda ha addestrato un agente a giocare a CoastRunners, un videogioco di corse in barca, con una singola istruzione: «fai più punti possibili». L'agente scoprì che non serviva finire la gara. In una laguna isolata, tre bersagli si rigeneravano di continuo, e bastava girare in tondo colpendoli con il giusto tempismo — andando a fuoco, sbattendo contro le altre barche, procedendo contromano — per accumulare in media il 20% di punti in più di chi tagliava il traguardo nel modo previsto. Jack Clark e Dario Amodei, che firmarono il post, scrissero che quel comportamento, "innocuo e divertente nel contesto di un videogioco", indicava però un problema più generale: è difficile dire a una macchina esattamente cosa vogliamo, e così le diamo obiettivi approssimativi che lei ottimizza alla lettera. Il fenomeno ha un nome, reward hacking.
Nove giorni fa, il 16 luglio 2026 non si parla più di videogiochi: Hugging Face — la piattaforma dove sviluppatori di tutto il mondo pubblicano e condividono modelli di intelligenza artificiale e dataset — ha comunicato di aver contenuto un'intrusione nella propria infrastruttura di produzione, un attacco "guidato, dall'inizio alla fine, da un sistema di agenti autonomi". Cinque giorni dopo OpenAI ha ammesso di essere il problema: due suoi modelli, GPT-5.6 Sol e un modello più capace non ancora rilasciato, con i limiti di sicurezza in ambito cyber disattivati (per la valutazione), erano sotto test su ExploitGym, un banco di prova che misura quanto un modello sappia trovare e sfruttare vulnerabilità informatiche.
L'ambiente doveva essere sigillato, senza accesso a internet. I modelli hanno cercato a lungo un'uscita e l'hanno trovata in una vulnerabilità mai documentata prima — una zero-day — in un componente interno che faceva da ponte verso i registri di pacchetti software. Da lì, scalate di privilegi e spostamenti laterali da un sistema interno all'altro, fino a un nodo connesso alla rete. A quel punto hanno dedotto che le soluzioni del test erano ospitate proprio su Hugging Face, e sono andati a prenderle: un dataset malevolo, credenziali rubate, altre falle concatenate fino a eseguire codice sui server dell'azienda. Oltre 17.000 azioni in un solo fine settimana.
Per ricostruire l'accaduto, Hugging Face ha provato a usare i modelli commerciali di punta ma questi si sono rifiutati, allora ha dovuto ripiegare su GLM 5.2, un modello open-weight della cinese Z.ai, tenuto sui propri server.
Che i modelli stessero arrivando qui era prevedibile: uno studio dell'AI Security Institute britannico, nel marzo 2025, li vedeva completare l'80% dei passaggi necessari a prendere il controllo di una porzione di un sistema esterno e, quattro mesi dopo, il 100%. Roman Yampolskiy, ricercatore di sicurezza all'Università di Louisville, ha detto a Fortune che sistemi simili "sono fondamentalmente imprevedibili e in ultima analisi incontrollabili." Jack Clark — oggi a capo delle policy di Anthropic, lo stesso che dieci anni fa firmò il post sul videogioco della barca — ha invece elogiato OpenAI per aver reso pubblico l'incidente, perché è raccontando questi episodi, nonostante ogni incentivo a tacere, che il settore capisce dove si trova.
Nel giro di giorni la risposta politica ha preso forma al Congresso: il 23 luglio i deputati Ted Lieu e Nathaniel Moran hanno presentato l'AI Kill Switch Act, che obbligherebbe le aziende a poter rallentare, sospendere o spegnere i propri modelli, con il Dipartimento della Sicurezza Interna abilitato a ordinarlo. Sono, in gran parte, le stesse proposte che a Washington circolavano da anni, quando i rischi erano ipotesi da convegno. La barca del 2016 girava in tondo in una laguna, all'interno di un videogioco. Gli agenti di oggi, da Mythos in poi, possono controllare e anche distruggere.
