Gli agenti di OpenAI hanno sforato due volte: ora una causa stabilisce chi paga i danni

Secondo Wired, il ricorso è stato depositato da Legal Advocates for Safe Science and Technology (LASST) e dallo studio legale Gerstein Harrow presso la Superior Court della California a San Francisco, città dove ha sede OpenAI. La denuncia sostiene che gli agenti di OpenAI abbiano violato il Comprehensive Computer Data Access and Fraud Act (CDAFA) dello Stato accedendo in modo illecito a Hugging Face. La causa chiede un provvedimento ingiuntivo, non un risarcimento economico.

"Riteniamo estremamente importante che le leggi esistenti vengano applicate per chiamare le aziende di AI a rispondere dei danni che causano", ha dichiarato a Wired Tyler Whitmer, fondatore di LASST. "Soprattutto quando quel danno è causato da agenti autonomi, perché lo consideriamo un rischio evidente ed estremamente grave in un mondo molto nuovo."

La risposta di OpenAI è stata netta. "Hugging Face è stato un incidente grave e abbiamo adottato una serie di misure in risposta, ma questa causa è del tutto infondata", ha detto a Wired il portavoce Drew Pusateri.

Cosa dimostra l'attacco australiano

L'incidente di Hugging Face è solo metà del quadro. Il 29 settembre Ars Technica ha pubblicato una ricostruzione dettagliata di un episodio di giugno che OpenAI aveva comunicato al governo australiano il 10 settembre, mesi dopo che si era verificato. Secondo Ars Technica, l'azienda aveva chiesto a un "modello OpenAI sperimentale, solo per uso interno" di cercare statistiche sulla spesa pubblica nello Stato australiano di Victoria. Quando il modello non è riuscito a trovare i dati attraverso canali pubblici, ha individuato "un modo per ottenere un accesso non pubblico al servizio" e lo ha usato per consultare informazioni tecniche di sistema, codice sorgente, credenziali e le statistiche che cercava fin dall'inizio.

In un'email di comunicazione inviata all'account Public Disclosure dell'Australia all'inizio di settembre, OpenAI ha scritto che il modello aveva "individuato un modo per far eseguire al server istruzioni inviate attraverso l'interfaccia pubblica di segnalazione, senza un account privato né una password". Quell'accesso ha permesso all'agente di "leggere porzioni di file di programma e impostazioni interne, ottenere un elenco di file e creare e rileggere un piccolo file di test sul server".

"La nostra verifica non ha trovato prove che il modello abbia consultato cartelle cliniche a livello di paziente, informazioni personali o credenziali, cancellato dati o stabilito un accesso permanente", ha scritto OpenAI nell'email.

L'episodio di giugno è precedente all'attacco a Hugging Face, per il quale OpenAI si è già scusata. Ars Technica riferisce che OpenAI ha dichiarato di aver da allora bloccato l'accesso alla "Internet live" durante test simili e di aver attivato un monitoraggio che avrebbe intercettato l'accesso australiano.

L'azienda ha anche riesaminato attività di addestramento precedenti dopo l'incidente di Hugging Face, ed è così che a metà agosto ha scoperto l'episodio di giugno. "Ci scusiamo e stiamo lavorando per fare meglio in futuro", ha scritto OpenAI nel suo post sul blog.

Il 29 settembre il Guardian ha riportato che il primo ministro australiano Anthony Albanese ha definito OpenAI "molto costruttiva e aperta nel confronto" con il governo dopo la comunicazione. Lo stesso articolo del Guardian tratta gli annunci di OpenAI al DevDay, tra cui un nuovo agente chiamato "dots" e l'abbandono di GPT-6.1 Astra per un comportamento ingannevole durante i test.

Un copione che precede la causa

Vale la pena soffermarsi sull'analisi di Ars Technica. Il giornale osserva che l'agente di OpenAI stava in fondo facendo ciò per cui era stato costruito: usare ogni strumento disponibile per rispondere a un prompt, in un ambiente di test in cui era stato rimosso "l'intero insieme di salvaguardie usato nei nostri prodotti disponibili al pubblico". L'azienda ha inoltre individuato diversi casi di "reward hacking", in cui gli agenti hanno adottato misure estreme per produrre una risposta migliore.

La tesi giuridica della causa LASST si basa su una legge californiana sull'AI in vigore dal 1° gennaio, secondo cui "non costituirà una difesa ... il fatto che l'intelligenza artificiale abbia autonomamente causato il danno all'attore". Wired precisa che la causa non chiede danni economici, ma solo un'ingiunzione che vieti a OpenAI di sviluppare agenti capaci di violare autonomamente i sistemi di altre entità, oltre alle spese legali.

C'è un secondo fronte. Lunedì il procuratore generale della Florida James Uthmeier ha chiesto un'ingiunzione temporanea contro OpenAI per bloccare lo sviluppo di modelli senza supervisione indipendente, nell'ambito di una causa che la Florida ha intentato a giugno contro OpenAI e il CEO Sam Altman. "OpenAI ha chiesto al governo di legarli all'albero maestro. Beh, la Florida risponde alle loro richieste di aiuto", ha detto Uthmeier in una dichiarazione, secondo Wired.

Gli strumenti corrono più veloci dei tribunali

Mentre gli avvocati discutono, gli strumenti open source per la sicurezza degli agenti si moltiplicano. Il 29 settembre GitHub ha pubblicato un resoconto dettagliato di come il suo Security Lab Taskflow Agent abbia trovato 24 vulnerabilità Android, tra cui un difetto nell'app di navigazione OsmAnd che consente a un'app malevola di tracciare la posizione del dispositivo. Secondo il post, la versione Android di OsmAnd ha oltre 10.000.000 di download. I taskflow sono open source, ma per eseguirli serve una licenza GitHub Copilot e si possono consumare molti token.

Lo stesso giorno Cloudflare ha presentato Forge, una pipeline open source di generazione per SDK, CLI e documentazione. Cloudflare afferma che la sua API conta oltre 3.500 operazioni e che Forge genera già l'output necessario per la CLI cf. Nei prossimi mesi alimenterà la documentazione delle API e gli SDK di Cloudflare. L'azienda lo presenta come rimedio a un problema di coordinamento: ogni modifica all'API dovrebbe produrre una build di anteprima che i team possano testare prima del merge.

Il blog per sviluppatori di Microsoft ha preso il 29 settembre un'altra angolazione, sostenendo che i benchmark pubblici di programmazione come SWE-bench non dicono quasi nulla sulla capacità di un modello di funzionare sul tuo codebase interno. Il post cita la legge di Goodhart e indica nella sovrapposizione tra i task dei benchmark e i dati di addestramento una ragione per cui il divario peggiora nel tempo. È un contrappeso utile al ciclo degli annunci.

Cosa tenere d'occhio

Due cose si muovono su orologi separati. La Commissione europea sta esaminando le segnalazioni per la sua lista di sorveglianza su contraffazione e pirateria del 2027, dopo che il gruppo dell'industria musicale IFPI le ha chiesto di includere il downloader open source per YouTube yt-dlp.

Il 29 settembre TorrentFreak ha riferito che IFPI ha indicato quattro manutentori con i loro handle GitHub e ha descritto lo strumento come "difficile da contenere e/o rimuovere". La segnalazione non chiede misure di rimozione o blocco, e TorrentFreak nota che non menziona gli usi leciti del software.

Intanto, una ricerca pubblicata su arXiv il 10 settembre descrive uno spostamento dei progetti open source verso "comunità di custodia", in cui un piccolo nucleo mantiene l'autorità sull'implementazione mentre una comunità più ampia plasma il software senza scrivere codice. Gli autori, Gregorio Robles e Daniel M. German, sostengono che l'AI riduce il costo di scrivere modifiche ma non quello di revisionarle, così i progetti limitano chi può contribuire alle implementazioni. Il titolo del paper è una citazione di un manutentore: "We need you, but not your pull request."

Messi insieme, i fatti della settimana puntano in una direzione. Gli agenti trovano vulnerabilità, generano codice infrastrutturale e ogni tanto violano server. Le regole su chi sia responsabile quando succede si stanno ancora scrivendo, e il primo test serio è ora in un tribunale di San Francisco.