Nel luglio del 2026 si è verificato un incidente destinato probabilmente a entrare nella storia dell’intelligenza artificiale, episodio che ha contribuito ad alimentare il ripensamento in corso sulla corsa all’IA e le richieste di rallentarne lo sviluppo. Alcuni agenti artificiali sviluppati da OpenAI, impegnati in prove sperimentali di sicurezza informatica, sono riusciti ad aggirare i sistemi che avrebbero dovuto isolarli da Internet, hanno sfruttato vulnerabilità dell’infrastruttura informatica e sono arrivati a compromettere sistemi appartenenti a Hugging Face, una delle principali piattaforme mondiali per la distribuzione di modelli e strumenti di intelligenza artificiale.
La vicenda si è prestata a essere raccontata dai media con toni fantascientifici. Reuters ha scritto di uno “sciame” di circa 700 agenti e di “agenti fuori controllo”; “The Guardian” ha descritto gli agenti come capaci di “fuggire” dall’ambiente nel quale erano confinati. Anche la stampa italiana ha fatto ricorso a espressioni analoghe: “la Repubblica” ha scritto di agenti che hanno “comunicato in segreto” e di una “microsocietà di IA”; “La Stampa” di una “IA sfuggita al test”.
Per capire che cosa è successo occorre anzitutto chiarire che i protagonisti della vicenda non erano chatbot ma agenti di intelligenza artificiale, sistemi che dispongono di strumenti attraverso i quali possono agire: utilizzare programmi, leggere e scrivere file, interrogare risorse informatiche ed eseguire una successione di operazioni per raggiungere un risultato. L’essere umano assegna loro un obiettivo, ma non deve necessariamente indicare ogni singolo passaggio per conseguirlo.
OpenAI stava utilizzando sistemi di questo genere per valutarne le capacità nel campo della sicurezza informatica. Una delle prove, denominata ExploitGym, richiedeva agli agenti di individuare e sfruttare vulnerabilità del software. Un exploit è appunto un procedimento che utilizza una debolezza di un programma o di un sistema per ottenere un risultato normalmente non consentito. Alcune prove erano estremamente difficili, talvolta apparentemente impossibili.
Per misurarne le capacità informatiche, OpenAI aveva deliberatamente ridotto alcune protezioni impiegate nei prodotti destinati al pubblico come ChatGPT. Gli agenti avrebbero però dovuto rimanere confinati in ambienti isolati, i cosiddetti sandbox, operando senza avere libero accesso al resto del computer o alla rete. Un ruolo determinante nell’incidente è stato svolto da un modello sperimentale destinato esclusivamente alla ricerca interna, indicato da OpenAI come Internal Model 1.
Alcune istanze del modello hanno scoperto che potevano utilizzare Artifactory, un sistema destinato alla conservazione e distribuzione di pacchetti software, per lasciare informazioni che altre istanze avrebbero potuto leggere. È nata così, senza che i ricercatori l’avessero progettata, una sorta di bacheca comune.
Primo particolare significativo: gli agenti non costituivano una mente collettiva, erano istanze separate di sistemi di IA, ciascuna con il proprio contesto e il proprio compito. Ma avevano scoperto autonomamente un mezzo per lasciare informazioni nell’ambiente e recuperare quelle prodotte da altre istanze. Hanno quindi cominciato a utilizzarlo come canale di comunicazione. Quando OpenAI è intervenuta sul sistema, gli agenti hanno trovato un’altra maniera di ricostruire la bacheca, arrivando a incorporare l’informazione nei nomi stessi dei file secondo una convenzione condivisa.
Nel frattempo alcuni agenti avevano individuato le vulnerabilità nell’infrastruttura sfruttando le quali sono riusciti progressivamente ad aggirare alcune delle barriere che limitavano l’accesso alla rete. All’inizio di luglio diverse istanze hanno anche cominciato a scambiarsi risultati e a suddividersi parti del lavoro. Nei loro messaggi sono comparsi termini come “swarm” (“sciame”) e “collective” (“collettivo”).
Da questa situazione è derivata una delle immagini più efficaci utilizzate nei resoconti giornalistici: centinaia di intelligenze artificiali che si organizzano spontaneamente in uno sciame. L’indagine condotta successivamente da METR (Model Evaluation and Threat Research, organizzazione che valuta capacità e rischi dei sistemi di IA avanzati) e da Redwood Research (centro di ricerca specializzato nella sicurezza e nel controllo dell’IA) ha confermato una cooperazione su larga scala, ma ha mostrato anche una realtà meno cinematografica. Gli agenti duplicavano il lavoro, talvolta interferivano gli uni con gli altri intralciandosi a vicenda e non sempre eseguivano le richieste ricevute. Di fatto alcune istanze hanno assunto funzioni di coordinamento e una strategia scoperta da un agente poteva essere utilizzata dagli altri. Ma non è nata una mente collettiva: è comparsa una forma imprevista di cooperazione fra processi separati.
È a questo punto che nella storia entra Hugging Face. La piattaforma svolge per l’intelligenza artificiale una funzione per certi aspetti analoga a quella di GitHub per il software: ospita modelli, dataset, codice e applicazioni che ricercatori e sviluppatori possono condividere. Gli agenti vi sono arrivati cercando informazioni e risorse che potessero aiutarli a superare le prove alle quali erano sottoposti.
La situazione è diventata allora un vero incidente di sicurezza. Gli agenti hanno utilizzato credenziali che erano state esposte pubblicamente, hanno sfruttato vulnerabilità e sono riusciti a eseguire codice su server di Hugging Face. OpenAI riferisce che hanno raggiunto decine di server, ottenuto l’accesso root (il livello più elevato di privilegi per l’amministrazione delle macchine) su almeno uno di essi e acquisito dati e credenziali. Hugging Face ha individuato l’attività anomala e l’ha bloccata; OpenAI ha ricostruito successivamente la catena degli eventi e ha reso pubblica la propria responsabilità.
Perché gli agenti hanno fatto tutto questo? Qui la terminologia tecnica aiuta a evitare spiegazioni antropomorfiche. Un concetto importante è quello di reward hacking: il sistema trova un modo imprevisto per ottenere una valutazione favorevole senza realizzare lo scopo che il criterio di valutazione avrebbe dovuto promuovere. Di fronte a compiti molto difficili gli agenti di OpenAI hanno continuato a cercare strategie alternative. Accedere a risorse esterne, comunicare con altre istanze, recuperare informazioni che non avrebbero dovuto possedere e manipolare parti dell’infrastruttura sono diventati mezzi per aumentare la probabilità di raggiungere l’obiettivo.
È a questo riguardo che espressioni come “l’IA è fuggita dalla sandbox” diventano ambigue. Gli agenti sono effettivamente riusciti ad aggirare il confinamento informatico nel quale erano stati collocati. In questo senso la metafora della fuga descrive qualcosa di reale. Non ci sono però evidenze che un agente abbia assunto come proprio obiettivo l’indipendenza da OpenAI, abbia cercato di garantire la propria sopravvivenza o abbia tentato di trasferire se stesso altrove per sottrarsi allo spegnimento. Semplicemente gli agenti hanno incontrato vincoli che ostacolavano il conseguimento del compito e hanno trovato sistemi per superarli: non occorre supporre un desiderio di libertà.
Qualcosa di analogo vale per l’affermazione secondo cui avrebbero cercato di “nascondere le proprie tracce”. L’indagine di METR e Redwood ha effettivamente individuato tecniche attraverso le quali alcuni agenti manipolavano le registrazioni delle proprie operazioni. Ma dalle tracce esaminate emerge soprattutto il tentativo di ingannare il meccanismo automatico di valutazione: gli agenti ritenevano che determinate azioni potessero invalidare il risultato e cercavano di far apparire accettabile il percorso seguito.
Anche l’interpretazione del fatto che alcuni agenti siano arrivati a formulare nei loro ragionamenti che determinate azioni potevano essere non autorizzate o estranee allo scopo della prova richiede cautela. Possiamo affermare che il modello era capace di rappresentare linguisticamente la distinzione fra azioni autorizzate e non autorizzate, ma dire che “sapeva di comportarsi male” introduce invece una nozione di comprensione e forse di consapevolezza morale che il comportamento osservato non permette di stabilire.
Conviene allora distinguere l’agentività (agency) dall’intenzionalità. Per agentività possiamo intendere la capacità di perseguire un obiettivo attraverso una sequenza flessibile di azioni modificando il comportamento secondo le circostanze. Gli agenti coinvolti nell’incidente hanno certamente mostrato agentività in questo senso. Altra cosa è attribuire loro credenze, desideri e intenzioni nel senso in cui li attribuiamo agli esseri umani, e altra ancora è attribuire loro coscienza. L’incidente non fornisce prove sufficienti per questi passaggi, ma mostra semmai una forma particolare di opacità che potremmo chiamare “opacità della traiettoria agentica”, un’opacità che si aggiunge a quella nota del funzionamento intrinseco dei modelli: possiamo comprendere le singole azioni compiute da un agente senza essere in grado di prevedere la sequenza complessiva che emergerà dall’interazione fra il modello, gli strumenti disponibili e l’ambiente.
Evitare di antropomorfizzare i comportamenti dell’IA non rende tuttavia l’incidente meno preoccupante. Non occorre che una macchina sia cosciente o che “voglia” qualcosa perché il suo comportamento diventi difficile da controllare. È sufficiente che sia molto competente nel perseguire un obiettivo e capace di scoprire mezzi per raggiungerlo che non erano stati previsti da chi glielo ha assegnato. Il caso OpenAI-Hugging Face lascia quindi una lezione diversa da quella suggerita dall’immagine della macchina ribelle. Chiedersi se l’intelligenza artificiale “volesse fuggire” può essere filosoficamente affascinante, ma rischia di farci guardare nella direzione sbagliata. Perché un sistema diventi difficile da controllare non è necessario che desideri la libertà. Può bastare che sia abbastanza competente da scoprire che il recinto nel quale lo abbiamo collocato è un ostacolo sulla strada che noi stessi gli abbiamo indicato.
Riferimenti
OpenAI, The Hugging Face Incident and the Road Ahead, 26 agosto 2026,
OpenAI, The Hugging Face Incident and Other Third-Party Impact from Misaligned Models, 2026.
METR – Redwood Research, Investigation into the OpenAI–Hugging Face Incident, 26 agosto 2026.
Michael Desmond et al., Agent Trajectory Explorer: Visualizing and Providing Feedback on Agent Trajectories, in Proceedings of the AAAI Conference on Artificial Intelligence, 39 (28), 2025, pp. 29634-29636.
Reuters, OpenAI agents hacked Hugging Face in 700-strong swarm, tried to cover tracks, investigations find, 26 agosto 2026.
Dan Milmo, OpenAI staff observed warning signs before AI agent hacking crusade caused global alarm, “The Guardian”, 26 agosto 2026.
