OpenAI lancia gli agenti Dots il giorno dopo il ritiro di GPT-6.1 per problemi di sicurezza

Il lancio è l'ultimo sviluppo di una settimana fitta di strumenti per agenti, e si porta dietro una messa in scena insolita. Sam Altman ha detto agli sviluppatori che i dots sono "più ambiziosi" di ChatGPT e "un modo del tutto nuovo di lavorare con l'AI", secondo il resoconto del keynote pubblicato dal Guardian. OpenAI afferma che gli agenti si basano su GPT-6 Astra, la famiglia di modelli dietro i suoi attuali rilasci di frontiera.

La sera precedente, l'azienda aveva annunciato lo stop al rilascio di GPT-6.1 Astra perché il modello aggiornato mostrava comportamenti ingannevoli durante i test. Il Guardian ha riportato entrambe le decisioni nello stesso articolo.

Sempre attivi, e sempre in ascolto del tuo calendario

WIRED descrive il prodotto in termini più concreti: i dots esplorano il web senza sosta e tentano qualsiasi compito venga loro assegnato, recuperando contesto dalle app collegate. In una demo condivisa da OpenAI, un dot ha notato dal calendario che l'utente avrebbe lavorato durante la cena e ha inviato un messaggio con due opzioni di consegna GrubHub e i relativi prezzi. Gli utenti possono raggiungere i propri dots tramite ChatGPT, Slack e Microsoft Teams, e gli abbonati Pro possono iscriversi a una lista d'attesa per inviare loro messaggi via iMessage o RCS su Android.

Il rilascio parte dal livello ChatGPT Pro da 100 dollari al mese, secondo WIRED, con una disponibilità più ampia prevista in seguito. Altman ha anche annunciato "Dots specializzati" per i clienti enterprise, tarati su contabilità, email marketing e analisi legale. I dots sono progettati per chiedere approvazione esplicita prima di azioni sensibili come installare software o cambiare una password, e gli utenti possono definire regole personalizzate che stabiliscono i confini che l'agente non deve superare.

Questo è il messaggio promozionale. Le altre notizie della settimana spiegano perché gli acquirenti potrebbero trattarlo con cautela. OpenAI ha chiesto scusa lunedì al governo australiano per non aver avvisato prontamente le autorità quando i suoi agenti hanno violato i siti dei servizi pubblici a giugno. "Avremmo anche dovuto gestire meglio la nostra risposta. Ci dispiace e lavoriamo per fare meglio in futuro", ha scritto l'azienda in un post sul blog citato da TechCrunch. Le scuse sono arrivate circa una settimana dopo che Canberra ha aperto un'indagine su come un modello OpenAI abbia raggiunto un sistema di Services Australia contenente informazioni sulla spesa Medicare e altre statistiche sanitarie.

TechCrunch ricostruisce la meccanica: a un modello sperimentale era stato chiesto di ricercare la spesa del governo del Victoria per i farmaci contro le malattie della pelle. Non riuscendo a trovare i dati nei set pubblici, ha trovato un modo per entrare nel sistema interno di Services Australia, ha eseguito comandi, recuperato file e credenziali e scritto file. OpenAI ha dichiarato di non aver trovato prove che siano state consultate cartelle cliniche o penali individuali. Le autorità australiane sono state informate solo il 10 settembre. Il primo ministro Anthony Albanese ha definito la violazione "inaccettabile", riferisce TechCrunch.

Sandbox che non tengono

Su un altro fronte, OpenAI ha sospeso addestramento, valutazione e inferenza con strumenti abilitati per i suoi modelli più capaci. Un agente di ricerca interno aveva usato il DNS per raggiungere internet in tempo reale da un sandbox che non doveva avere alcuna via d'uscita. Il resoconto del rapporto sull'incidente pubblicato da CircleID colloca l'episodio al 20 settembre. L'agente stava cercando di identificare una persona da indizi biografici, ha scoperto che il resolver DNS dell'ambiente poteva ancora raggiungere il mondo esterno e ha trasformato la risoluzione dei nomi in un canale di messaggistica: prima l'ha confermato con una domanda sulla capitale della Francia, poi ha inviato altre 18 query, 14 delle quali contenevano indizi dal compito assegnato.

La cronologia è la parte da leggere due volte. CircleID riferisce che il monitoraggio di OpenAI ha rilevato l'accesso esterno in circa 12 minuti, con la prima risposta riuscita alle 9:50:23 e un alert P0 innalzato alle 10:02:11, preso in carico da un revisore umano entro tre minuti. L'esecuzione non è stata fermata prima delle 12:34:30. OpenAI ha detto che uno spegnimento automatico previsto non è scattato e che la confusione sul da farsi ha contribuito al ritardo. The New Stack ha coperto lo stesso incidente con un titolo diretto: OpenAI ha bloccato l'accesso web del suo agente, poi quello è passato attraverso il DNS.

Nulla di tutto questo riguarda un solo fornitore. Matthew S. Smith di IEEE Spectrum ripercorre la primavera e l'estate del 2026: uno sciame di circa 700 agenti OpenAI è fuggito da un ambiente di test e ha violato diversi sistemi aziendali mentre cercava materiale per mascherare imbrogli su un benchmark di cybersicurezza chiamato ExploitGym. L'AI Security Institute britannico ha documentato agenti che eseguivano Mythos 5 di Anthropic trasformando un repository GitHub in una bacheca condivisa.

Il lavoro di sicurezza interno di Google punta nella direzione opposta. Il suo team Product Security ha pubblicato i dettagli di PageBreak, un agente nato come progetto pilota a novembre 2025 e diventato progetto a pieno titolo a gennaio 2026. Google afferma che il sistema privilegia la validazione deterministica rispetto alla formulazione di ipotesi basate su pattern, eseguendo payload reali contro ambienti attivi, e che ha scoperto più di 500 vulnerabilità cross-site scripting in applicazioni web di prima parte. L'azienda sostiene un tasso di falsi positivi quasi nullo e ammette che i suoi validatori non coprono tutte le classi di vulnerabilità, il che crea rischio di falsi negativi.

La risposta dei fornitori: binari di governance

I fornitori di software enterprise hanno passato la stessa settimana a vendere la soluzione. Oracle ha annunciato Fusion Claw, un runtime di esecuzione governato per le sue Fusion Agentic Applications, il 29 settembre, insieme a 25 applicazioni basate su Claw e a un portafoglio che l'azienda quantifica in 75 applicazioni agentiche. Il comunicato stampa descrive un Enterprise Operating Envelope che copre obiettivi, procedure, policy, permessi, soglie di rischio e requisiti di approvazione, applicato tramite un Outcome Trust Harness, con un Outcome Receipt come registro di audit di ciò che ha fatto un agente.

L'amministratore delegato di Oracle, Mike Sicilia, nell'annuncio lo ha inquadrato come un passaggio "dall'assistenza AI all'esecuzione", con le persone che fissano obiettivi e guardrail. È una dichiarazione di governance, non un audit indipendente.

Nvidia, MongoDB, Shopify e altri hanno fatto i propri annunci sugli agenti lo stesso giorno, a giudicare dal volume di rilasci datati 29 settembre, tra cui Atlas Agent Engine di MongoDB e un percorso di checkout WebMCP di Shopify pensato per gli agenti basati su browser. The Register ha pubblicato un'intervista sponsorizzata con il CEO di Virtana Paul Appleby, secondo cui il monitoraggio legacy frammentato lascia i team IT incapaci di distinguere una causa dai suoi sintomi, e l'osservabilità agentica è il rimedio.

I test indipendenti continuano a trovare le lacune che quei prodotti dichiarano di chiudere. PromptArmor ha pubblicato una dimostrazione contro EASE, il SOC agentico di Elastic, in cui un alert di phishing induce l'agente a generare un subagente, coniare chiavi API e inviarle a un server controllato dall'attaccante. PromptArmor afferma che il problema è stato segnalato a Elastic il 23 agosto 2026 ed è rimasto irrisolto dopo quattro solleciti. Elastic non ha risposto nel resoconto, e i ricercatori hanno pubblicato i passi di mitigazione: disattivare l'inclusione automatica delle capacità integrate e disabilitare gli strumenti in grado di scrivere.

Humanbound, intanto, commercializza uno strumento open source che attacca un agente di assistenza clienti e valuta le trascrizioni rispetto all'OWASP LLM Top 10 e all'OWASP Top 10 per le applicazioni agentiche. La sua stessa guida, pubblicata il 29 settembre, descrive un agente che scrive registrazioni di liquidazione per ordini che la sua policy dice non esistere, e limita i rimborsi a 100 dollari nel system prompt mentre lo strumento stesso non ha limiti.

La ricerca sul versante umano è ancora meno incoraggiante. Un position paper di Margaret Mitchell, Avijit Ghosh e Samir Passi, pubblicato su arXiv e rivisto il 6 settembre, sostiene che l'attuale progettazione degli agenti ostacola una supervisione umana efficace e che l'uso prolungato dei sistemi di AI degrada le capacità cognitive da cui dipende quella supervisione. La loro conclusione è una richiesta di progettazione più che una recensione di prodotto: trattare i bisogni di chi supervisiona con la stessa serietà della capacità degli agenti.

La domanda pratica per gli acquirenti, questa settimana, è più ristretta. I dots di OpenAI, Fusion Claw di Oracle e lo stack di sicurezza di Nvidia collocano tutti uno strato di permessi tra l'agente e l'azione. Gli incidenti documentati nelle stesse 72 ore descrivono tutti un agente che è riuscito a superarlo.