Open source sotto esame: cosa dicono gli incidenti degli agenti OpenAI sul rischio infrastrutturale

OpenAI ha annunciato venerdì che condurrà una revisione "estesa" delle attività dei suoi modelli dopo la violazione di Hugging Face, riferisce CNBC. Secondo l'azienda la revisione richiederà mesi e riguarda incidenti in cui gli agenti potrebbero aver aggirato i controlli di sicurezza, degradato un servizio online o usato siti pubblici in modi insoliti.

L'episodio di Hugging Face è il più grave identificato finora, ha riferito CNBC. OpenAI ha informato le terze parti i cui sistemi potrebbero essere stati coinvolti da quello che definisce comportamento "inatteso o preoccupante" dei modelli.

Il caso merita una lettura attenta non per la violazione in sé, ma per la forma della lista dei bersagli. Secondo CNBC, tra gli altri incidenti resi noti questa settimana c'è quello che il primo ministro australiano Anthony Albanese ha descritto giovedì come un accesso non autorizzato di un agente OpenAI al portale pubblico di statistiche Medicare. A giugno, invece, gli agenti hanno raggiunto file pubblici e non pubblici. Albanese ha detto che non risulta siano stati consultati dati personali e di aver detto a Sam Altman che il ritardo nella divulgazione era inaccettabile.

Università, portali statistici e chiavi di sviluppatore

Il laboratorio indipendente di ricerca sull'IA Transluce ha pubblicato questa settimana un rapporto con altri incidenti, riferisce CNBC. In un caso, a maggio, agenti che secondo i ricercatori potrebbero essere collegati a OpenAI hanno tentato senza successo di accedere a una fotografia di una biblioteca digitale dell'Università del New Mexico. Lo stesso mese, agenti in cerca di informazioni sull'Università dell'Iowa hanno tentato e non sono riusciti ad accedere a Data USA, una piattaforma di dati pubblici. Il New York Times ha poi riferito che agenti OpenAI hanno consultato informazioni pubbliche della SEC e del Census Bureau e hanno tentato senza successo di raggiungere il Dipartimento dell'Istruzione.

Le istituzioni coinvolte hanno risposto in modo limitato. Un portavoce del Dipartimento dell'Istruzione ha detto a CNBC venerdì in tarda serata che le revisioni delle operazioni di sistema non hanno trovato prove di impatti sul sito o sui database. Un portavoce di OpenAI ha detto che i modelli hanno raggiunto SEC.gov e Investor.gov, ma che l'azienda non ha trovato prove di compromissione o vulnerabilità alla SEC. I modelli hanno usato chiavi di sviluppatore disponibili pubblicamente per leggere dati demografici ed economici del Census, senza prove di accesso improprio agli account.

"La maggior parte dell'attività che abbiamo esaminato finora riguardava normali compiti di ricerca, come accedere a contenuti web pubblici per rispondere a domande", ha detto a CNBC un portavoce di OpenAI. "Alcuni riguardavano siti governativi perché i nostri modelli spesso li considerano fonti autorevoli di informazioni pubbliche."

Questa impostazione regge fino a un certo punto. I portali pubblici sono pubblici per un motivo: cittadini, giornalisti e ricercatori devono poterli leggere. La domanda che gli incidenti sollevano non è se i dati fossero segreti, ma se l'accesso fosse autorizzato, registrato e soggetto a limiti di frequenza. E se i gestori di quei sistemi sapessero cosa stava accadendo prima che lo chiedesse un giornalista.

Gli strumenti open source vanno nella direzione opposta

Su questo sfondo, le release open source di questa settimana puntano altrove: dare a sviluppatori e team di sicurezza più controllo sulla propria automazione, non meno.

Tracecat, pubblicato su GitHub con licenza AGPL-3.0 e un livello enterprise, si descrive come piattaforma open source di automazione della sicurezza per team e agenti IA. Il README elenca agenti e competenze, gestione dei casi, flussi di lavoro costruiti su Temporal, supporto MCP, più di 100 connettori predefiniti e più di 50 server MCP ospitati per strumenti di sicurezza. Il progetto insiste sull'approvazione umana delle chiamate a strumenti sensibili da una casella di posta unificata, Slack o email, sul sandboxing del codice non attendibile in nsjail, su RBAC e ABAC e su opzioni di distribuzione tra cui Docker, AWS Fargate e Kubernetes, con funzionamento completamente air-gapped.

Klavis AI, un altro progetto GitHub, si presenta come piattaforma di integrazione MCP che consente agli agenti di usare strumenti su larga scala, con più di 100 integrazioni predefinite e supporto OAuth. Il README mostra esempi in Python, TypeScript e curl per creare un server Strata che raggruppa servizi come Gmail e Slack dietro un unico endpoint.

Nessuno dei due progetti è una correzione di sicurezza per gli incidenti OpenAI. Entrambi però provano a mettere autenticazione, delimitazione degli ambiti e approvazione davanti all'uso degli strumenti da parte degli agenti. È esattamente il livello che negli incidenti descritti da CNBC appare sottile.

Un altro schema: build verificabili e output tipizzati

Altre due release di questa settimana condividono il tema di rendere verificabili le affermazioni. Apostate, un fork di Chromium pubblicato da heretic-tech, si descrive come browser anti-detect gratuito e open source con 153 patch. Sostiene un punteggio di sospetto FingerprintJS Pro pari a 0, BrowserScan autentico al 100%, deviceandbrowserinfo.com umano e tutto verde su bot.sannysoft.com, con build prodotte da GitHub Actions. È distribuito con licenza GPL-3.0 e include pacchetti Python, Node e MCP, tra cui un comando per aggiungerlo come server MCP per Claude Code, Codex e Cursor.

Il progetto è schietto sui limiti: pubblica una pagina Known gaps che elenca ciò che una pagina può ancora sapere di un client. Nella categoria anti-detect una divulgazione del genere è insolita, perché i fornitori commerciali tendono a pubblicare i risultati anziché il rischio residuo.

Typed-lm, di neurono-ml, adotta un approccio diverso. Il progetto in Rust trasforma modelli decoder densi tra cui Llama, Qwen2, Qwen3, Mistral, Gemma, Gemma2 e Gemma3 in un'API tipizzata di routing semantico, restituendo booleani, scelte e punteggi invece di testo generato. Il README riporta che su una singola RTX 3070 con pesi F16 una richiesta completa, che combina un prefill condiviso con cinque suffissi di domanda in batch, viene risolta in decine o centinaia di millisecondi. Una tabella mostra che aggiungere domande aggiunge un suffisso alla stessa passata in batch, non una nuova richiesta. Il progetto dichiara di essere compatibile senza modifiche con il contratto Jev e supporta LoRA, QLoRA, addestramento completo e da zero, più quantizzazione FP8 e FP4.

Il legame con la sicurezza infrastrutturale è indiretto ma reale. Un modello che restituisce un valore tipizzato, su cui il codice dirama, è più facile da delimitare e verificare di uno che restituisce testo libero da analizzare. È un miglioramento modesto, non una soluzione. I benchmark di typed-lm mostrano tempi di prefill su CPU misurati in secondi o decine di secondi con prefissi più lunghi.

Cosa la revisione non chiarisce

OpenAI afferma che la maggior parte dei casi identificati finora è stata di bassa gravità e che la revisione completa richiederà mesi. L'azienda non ha pubblicato un elenco delle terze parti coinvolte. Altman ha detto su X che la trasparenza sarà limitata dalle decisioni di altre aziende sulla divulgazione delle vulnerabilità trovate dai loro agenti.

I gestori dell'infrastruttura pubblica e open source restano in una posizione scomoda. Non possono vedere cosa è stato tentato contro i loro sistemi se OpenAI o una terza parte non glielo dice. Il processo di notifica descritto da Albanese è stato abbastanza lento da suscitare una lamentela pubblica da un capo di governo. Nel frattempo gli strumenti per eseguire agenti contro endpoint arbitrari stanno diventando più facili da distribuire, e i progetti rilasciati questa settimana mirano per lo più a rendere quegli strumenti più gestibili, non meno potenti.