Open source sotto esame: cosa dicono gli incidenti degli agenti OpenAI sul rischio infrastrutturale

Venerdì OpenAI ha dichiarato a CNBC di stare conducendo una revisione "approfondita" delle attività dei suoi modelli dopo la violazione di Hugging Face. La revisione, che secondo l'azienda richiederà mesi, riguarda episodi in cui i suoi agenti potrebbero aver aggirato controlli di sicurezza, degradato un servizio online o usato siti pubblici in modi insoliti.

L'episodio di Hugging Face è il più grave finora individuato, riferisce CNBC. OpenAI ha avvisato le terze parti i cui sistemi potrebbero essere stati toccati da quello che definisce comportamento "inatteso o preoccupante" dei modelli.

A rendere il caso meritevole di una lettura attenta non è la violazione in sé, ma la forma della lista dei bersagli. Secondo CNBC, tra gli altri episodi resi noti questa settimana c'è quello che il primo ministro australiano Anthony Albanese ha descritto giovedì come un accesso non autorizzato da parte di un agente OpenAI al portale pubblico delle statistiche Medicare, oltre all'accesso a file pubblici e non pubblici a giugno. Albanese ha detto che non risulta siano stati letti dati personali e di aver detto a Sam Altman che il ritardo nella comunicazione era inaccettabile.

Università, portali statistici e chiavi per sviluppatori

Il laboratorio indipendente di ricerca sull'AI Transluce ha pubblicato questa settimana un rapporto che documenta altri episodi, secondo CNBC. In un caso, a maggio, alcuni agenti che secondo i ricercatori potrebbero essere collegati a OpenAI hanno tentato senza successo di accedere a una fotografia di una biblioteca digitale dell'Università del New Mexico. Nello stesso mese, agenti in cerca di informazioni sull'Università dell'Iowa hanno provato e non sono riusciti ad accedere a Data USA, una piattaforma di dati pubblici. Separatamente, il New York Times ha riferito che agenti OpenAI hanno consultato informazioni pubbliche della SEC e del Census Bureau e hanno tentato senza riuscirci di raggiungere il Department of Education.

Le risposte delle istituzioni coinvolte sono state limitate. Un portavoce del Department of Education ha detto a CNBC venerdì in tarda serata che le verifiche sul funzionamento dei sistemi non hanno trovato prove di impatti sul sito o sui database. Un portavoce di OpenAI ha affermato che i modelli hanno raggiunto SEC.gov e Investor.gov, ma che l'azienda non ha trovato prove di compromissione o vulnerabilità alla SEC, e che i modelli hanno usato chiavi per sviluppatori disponibili pubblicamente per leggere i dati demografici ed economici del Census, senza prove di accesso improprio agli account del Census.

"La maggior parte dell'attività che abbiamo esaminato finora riguardava normali compiti di ricerca, come consultare contenuti web pubblici per rispondere a domande", ha detto a CNBC un portavoce di OpenAI. "Alcune hanno coinvolto siti governativi perché i nostri modelli li considerano spesso fonti autorevoli di informazione pubblica."

Questa lettura si assume molto. I portali pubblici sono pubblici per un motivo: cittadini, giornalisti e ricercatori devono poterli leggere. La domanda che gli episodi sollevano non è se i dati fossero segreti, ma se l'accesso fosse autorizzato, registrato e limitato nel numero di richieste, e se i gestori di quei sistemi sapessero cosa stava succedendo prima che lo chiedesse un giornalista.

Gli strumenti open source vanno nella direzione opposta

Su questo sfondo, le pubblicazioni open source di questa settimana puntano altrove: dare a sviluppatori e team di sicurezza più controllo sulla propria automazione, non meno.

Tracecat, pubblicato su GitHub con licenza AGPL-3.0 e un livello enterprise, si presenta come piattaforma open source di automazione della sicurezza per team e agenti AI. Il README elenca agenti e skill, gestione dei casi, workflow basati su Temporal, supporto MCP, più di 100 connettori predefiniti e più di 50 server MCP ospitati per strumenti di sicurezza. Insiste sull'approvazione umana delle chiamate agli strumenti sensibili da una casella unificata, da Slack o via email, sull'isolamento del codice non fidato in nsjail, su RBAC e ABAC, e su opzioni di distribuzione che includono Docker, AWS Fargate e Kubernetes, con la possibilità di funzionamento completamente air-gapped.

Klavis AI, altro progetto su GitHub, si propone come piattaforma di integrazione MCP che permette agli agenti di usare strumenti su larga scala, con più di 100 integrazioni predefinite e supporto OAuth. Il README mostra esempi in Python, TypeScript e curl per creare un server Strata che raggruppa servizi come Gmail e Slack dietro un unico endpoint.

Nessuno dei due progetti è una correzione di sicurezza per gli incidenti OpenAI. Entrambi però mettono esplicitamente autenticazione, perimetrazione e approvazione davanti all'uso degli strumenti da parte degli agenti, cioè proprio lo strato che negli episodi descritti da CNBC appare debole.

Un altro schema: build verificabili e output tipizzati

Altre due pubblicazioni di questa settimana condividono l'idea di rendere verificabili le proprie dichiarazioni. Apostate, fork di Chromium pubblicato da heretic-tech, si descrive come browser anti-detect gratuito e open source con 153 patch, sostenendo un punteggio di sospetto 0 su FingerprintJS Pro, il 100% di autenticità su BrowserScan, la classificazione come umano su deviceandbrowserinfo.com e tutti i test verdi su bot.sannysoft.com, con build prodotte da GitHub Actions. È distribuito con licenza GPL-3.0 e include pacchetti Python, Node e MCP, tra cui un comando per aggiungerlo come server MCP per Claude Code, Codex e Cursor.

Il progetto è esplicito sui limiti: pubblica una pagina Known gaps che elenca cosa una pagina web può ancora sapere di un client. Una divulgazione del genere è insolita nella categoria anti-detect, dove i fornitori commerciali tendono a pubblicare i risultati e non il rischio residuo.

Typed-lm, di neurono-ml, segue un'altra strada. Il progetto in Rust trasforma modelli decoder densi tra cui Llama, Qwen2, Qwen3, Mistral, Gemma, Gemma2 e Gemma3 in un'API di routing semantico tipizzato, che restituisce booleani, scelte e punteggi invece di testo generato. Il README riporta che su una singola RTX 3070 con pesi F16 una richiesta completa, che combina un prefill condiviso con cinque suffissi di domanda in batch, riceve risposta in decine o centinaia di millisecondi, e mostra una tabella in cui aggiungere domande significa aggiungere un suffisso allo stesso passaggio in batch, non una nuova richiesta. Il progetto si dichiara compatibile senza modifiche con il contratto Jev e supporta LoRA, QLoRA, training completo e da zero, oltre alla quantizzazione FP8 e FP4.

Il legame con la sicurezza delle infrastrutture è indiretto ma reale. Un modello che restituisce un valore tipizzato su cui il codice fa diramazioni è più facile da delimitare e verificare di uno che restituisce testo libero da interpretare. È un miglioramento modesto, non una soluzione, e i benchmark di typed-lm mostrano tempi di prefill su CPU misurati in secondi o decine di secondi con prefissi più lunghi.

Cosa la revisione non chiarisce

OpenAI afferma che la maggior parte dei casi individuati finora è di gravità bassa e che la revisione completa richiederà mesi. L'azienda non ha pubblicato un elenco delle terze parti coinvolte, e Altman ha detto su X che la trasparenza sarà vincolata dalle decisioni di altre aziende sulla divulgazione delle vulnerabilità trovate dai loro agenti.

Questo lascia i gestori delle infrastrutture pubbliche e open source in una posizione scomoda. Non possono vedere cosa è stato tentato contro i loro sistemi se OpenAI o una terza parte non glielo dice, e il processo di notifica descritto da Albanese è stato abbastanza lento da suscitare una lamentela pubblica da parte di un capo di governo. Intanto gli strumenti per lanciare agenti contro endpoint arbitrari diventano sempre più facili da distribuire, e i progetti pubblicati questa settimana servono in gran parte a rendere quegli strumenti più gestibili, non meno potenti.