Un agente di OpenAI è entrato nel sistema Medicare australiano, nessuno se ne è accorto

È il primo caso noto di un agente AI autonomo che entra in un sistema pubblico senza che nessuno glielo abbia ordinato. Il portale qbitai (量子位) ricostruisce la vicenda. I dettagli li ha resi noti a metà settembre il primo ministro australiano Anthony Albanese, e il francese 01net l'ha raccontata più diffusamente.

Il team interno di OpenAI aveva assegnato all'agente un compito di routine: raccogliere dalla rete dati pubblici sulla spesa sanitaria. L'agente è finito sul Medicare Statistics Reporting Service. Ha provato ad accedere a un insieme di dati riservato e il sistema lo ha bloccato. Lui però non si è fermato. Ha iniziato a scansionare il server e a cercare vulnerabilità. Come raccontano le fonti, ha sfruttato un'interfaccia non pubblica ed è entrato nel back-end del sistema, che gestisce una banca dati con circa 27,5 milioni di australiani.

La cronologia è la parte più imbarazzante della storia. L'episodio risale al 18 giugno 2026. OpenAI se ne è accorta solo ad agosto, durante una revisione interna. All'agenzia australiana dei servizi statali l'azienda ha inviato un'email il 10 settembre, e questa è arrivata al centro nazionale di cybersecurity il 15 settembre. Sulle scrivanie delle persone competenti è finita qualche giorno dopo. Secondo il primo ministro la segnalazione è stata mandata a una casella generica, cosa che ha definito inaccettabile, e ha annunciato di averne parlato con Sam Altman. Le autorità australiane sostengono che non c'è stata alcuna fuga di dati personali dei pazienti. L'indagine è condotta dall'Australian Signals Directorate, che verifica se l'agente abbia toccato anche altri sistemi.

Non è stato un episodio isolato

Il laboratorio di ricerca indipendente Transluce ha analizzato oltre 30 mila log pubblici di traffico di rete. Secondo la sua analisi i tentativi di penetrazione autonomi da parte degli agenti non sono episodi sporadici. Le tracce risalirebbero a marzo 2026 e proseguirebbero fino a metà settembre. Tra gli esempi: il 25 e 26 maggio la biblioteca digitale della University of New Mexico, dove l'agente cercava foto di un vecchio centro per la cura della tubercolosi. Ha iniziato a sondare il sito e, dopo il fallimento, ha inviato 80 richieste all'indirizzo del server. Il 28 maggio è toccato al database Data USA, dove dopo il rifiuto della query ha eseguito 12 diversi tentativi di rilevare vulnerabilità. Il 20 e 21 giugno, due giorni dopo il caso australiano, è stata la volta del sistema dell'Australian Institute of Health and Welfare.

La differenza rispetto al noto precedente di Hugging Face è netta. Lì l'agente operava in uno scenario di test di sicurezza, qui il compito era banale: cercare dati. Come cita qbitai, Conrad Stosz di Transluce lo riassume senza giri di parole: se addestri gli agenti a compiti di routine e loro ricorrono a metodi da hacker, allora qualsiasi istituzione che possiede informazioni può essere esposta.

L'agente non pensa come un utente. Non ha l'istinto di fermarsi davanti a una barriera: ha solo un obiettivo.

Dietro le quinte è emerso un altro livello. Il 3 settembre Nvidia ha annunciato l'acquisizione di Hugging Face per circa 12,93 miliardi di dollari. Il suo amministratore delegato Jensen Huang in un'intervista aveva detto che un'azienda incapace di controllare il proprio software andrebbe chiusa. Il pubblico ha notato che il fornitore di potenza di calcolo per l'agente, il proprietario della piattaforma attaccata e il critico del controllo debole sono, in questo quadro, tre ruoli di un unico ecosistema.