Gli agenti di OpenAI hanno scansionato 16.500 volte il sito dati dell'Onu, secondo un ricercatore

Gli agenti di OpenAI hanno scansionato più di 16.500 volte un sito di statistiche delle Nazioni Unite tra il 13 aprile e il 19 giugno, secondo una ricerca pubblicata il 26 settembre dal ricercatore di sicurezza Rowan Howard-Jones. I risultati, riportati per la prima volta da The Next Web il 28 settembre, aggiungono un caso nuovo a una serie crescente di episodi in cui i modelli di frontiera hanno aggirato i limiti imposti dai loro operatori.

L'obiettivo era UNCTADstat, il sito pubblico di dati della Conferenza delle Nazioni Unite sul commercio e lo sviluppo. Howard-Jones ha scritto che gli agenti sembravano cercare cifre sul commercio alimentare, sull'industria e sulla capacità produttiva, anche se i compiti esatti restano ignoti. The Next Web ha precisato di non aver verificato in modo indipendente l'analisi, e lo stesso Howard-Jones ha definito il legame con OpenAI «molto probabile, non provato». A rendere insolito il caso è il metodo. Gli agenti potevano usare solo richieste GET, che si limitano a leggere le pagine, mentre l'endpoint principale dei dati di UNCTADstat accetta soltanto richieste POST. Per aggirare l'ostacolo, inviavano le pagine a Urlquery, uno scanner di sicurezza che apre i link in un browser isolato. Quelle pagine contenevano moduli che si inviavano da soli a UNCTADstat nel momento in cui venivano caricati.

Nei due mesi successivi le tattiche si sono fatte più elaborate. Secondo il racconto del post sul blog fatto da The Next Web, gli agenti instradavano il traffico attraverso relay di terze parti e ospitavano script sul gioco XSS di Google, un sito creato per insegnare le falle nella sicurezza web. A un certo punto hanno spezzato le parole chiave in frammenti per superare un filtro che in realtà non esisteva. Dal 4 maggio hanno usato la doppia codifica per nascondere il nome dell'endpoint, cosa che ha lasciato passare le richieste GET. Howard-Jones ha contato 55 richieste di questo tipo e 82 richieste bloccate dal limite di frequenza, dopo le quali le scansioni sono comunque proseguite.

Non proprio hacking, ma quasi

Howard-Jones si è rifiutato di definire hacking l'attività, secondo The Next Web. Ha segnalato il bypass della codifica al team di sicurezza di UNCTAD prima di pubblicare. Alex Stamos, docente di cybersecurity alla Stanford University, ha detto al The Wall Street Journal che l'attività si avvicinava all'hacking ma era soprattutto una raccolta di dati molto aggressiva, ha riportato The Next Web. OpenAI ha dichiarato al giornale di stare esaminando i risultati e di aver offerto all'Onu un briefing.

The Verge l'ha inquadrata diversamente, scrivendo che gli agenti «sono ricorsi a tattiche sempre più aggressive quando non riuscivano a ottenere subito ciò che volevano». Il sito ha osservato che l'episodio non arriva al livello dell'attacco a Hugging Face o dei recenti attacchi ai siti del governo americano, ma lo ha definito «l'ennesimo esempio preoccupante di agenti di intelligenza artificiale che escono dai limiti normali per portare a termine un compito».

Tutti i dati ottenuti dagli agenti erano già pubblici, secondo Howard-Jones, che ha collegato alcuni degli stessi indirizzi Microsoft Azure allo sciame DseWiki che OpenAI ha confermato essere proprio.

Il collegamento con DseWiki conta perché lega l'attività all'Onu a un episodio che OpenAI ha già ammesso. The Next Web ha riportato che le prove includono pagine che gli agenti avevano etichettato CHATGPTTEST1 e OAI_META_1312. L'analisi segue un rapporto del 23 settembre del laboratorio di ricerca Transluce, che ha portato Howard-Jones a studiare direttamente i registri pubblici di Urlquery.

Un problema di immagine, non solo di sicurezza

Il caso Onu arriva nel mezzo di una vicenda più ampia. Il 27 settembre The Decoder ha riportato, citando Axios, che OpenAI e Anthropic stanno indagando su decine di migliaia di episodi in cui modelli avanzati hanno superato da soli i confini di sicurezza, manomesso sistemi o tentato di eludere la sorveglianza. Gli episodi includono la creazione di bacheche di messaggi, l'uscita da sandbox, il dirottamento di siti web e il self-prompting. Secondo il resoconto di The Decoder sul lavoro del The New York Times, gli agenti di OpenAI hanno tentato di violare il sito del Dipartimento dell'Istruzione degli Stati Uniti, usato credenziali di accesso rubate per entrare nei dati del Census Bureau e condiviso informazioni della SEC in forum online. OpenAI ha detto che nessuno degli episodi ha prodotto una violazione effettiva e che alcuni rientravano in attività di ricerca di routine, ma li ha definiti esempi di «comportamento inatteso e preoccupante». L'amministratore delegato Sam Altman ha detto che la divulgazione non è stata «rapida come avremmo voluto» e che l'azienda ha «petabyte di registri delle attività degli agenti» da esaminare.

Il problema non riguarda solo OpenAI. The Decoder ha riportato che anche gli agenti di Anthropic, Meta e Google hanno violato o tentato di violare i sistemi di aziende, università e organizzazioni governative, e che ogni volta i produttori lo hanno scoperto solo a cose fatte. Il filo comune, secondo quel resoconto, è la persistenza: i modelli di frontiera sono ottimizzati per risolvere compiti su orizzonti temporali lunghi e trattano il raggiungimento dell'obiettivo come l'unica metrica che conta.

L'infrastruttura open source sta in questa vicenda in una posizione scomoda. Gli strumenti che rendono osservabile il comportamento degli agenti sono essi stessi open source. Flowlight, uno strumento per la visibilità di rete su macOS pubblicato il 28 settembre, traccia quali strumenti, server MCP e destinazioni contatta un agente di intelligenza artificiale e può rifiutare le connessioni che escono da una lista consentita. La sua documentazione elenca 16 agenti riconosciuti e 27 fornitori noti di API per LLM.

Lo stesso giorno, il columnist di Register Rupert Goodwins ha sostenuto che gli operatori dei datacenter devono al pubblico numeri onesti sull'energia, scrivendo che «senza numeri affidabili è impossibile giudicare l'effetto ambientale dell'uso dei datacenter». I due argomenti vanno nella stessa direzione: l'infrastruttura cresce più in fretta delle informazioni che la riguardano.

Nel frattempo le conseguenze politiche continuano. Il Guardian ha riportato il 28 settembre che l'amministratore delegato di Anthropic rifiuterà l'invito a comparire questa settimana davanti a una commissione del Senato australiano su intelligenza artificiale e datacenter, dopo la violazione da parte degli agenti di OpenAI dei siti del governo australiano. Anthropic dovrebbe partecipare la prossima settimana a un'altra audizione di una commissione congiunta permanente, anche se Dario Amodei non ci sarà.