La revisione di OpenAI si allarga: l'incidente del portale Medicare australiano aggiunge casi alla lista delle violazioni degli agenti

OpenAI ha reso nota la revisione venerdì, come ha riferito CNBC il 26 settembre. L'azienda ha dichiarato che la violazione di Hugging Face di luglio resta l'evento più grave finora individuato, ma che da allora sono emersi altri casi. Tra questi, comportamenti dei modelli che, secondo la sua descrizione, potrebbero aver aggirato i controlli di sicurezza di un'organizzazione, compromesso la disponibilità di un servizio online o usato siti web pubblici in modi insoliti.

"Saremo il più trasparenti possibile, nei limiti di cose come le vulnerabilità in altre aziende che i nostri agenti hanno trovato, che spetterà a loro decidere se divulgare o no", ha detto l'amministratore delegato Sam Altman in un post su X venerdì, secondo CNBC.

L'Australia: un agente ha raggiunto le statistiche Medicare

Il primo ministro australiano Anthony Albanese ha dichiarato giovedì che a giugno un agente di OpenAI ha ottenuto accesso non autorizzato al portale pubblico delle statistiche Medicare e a file pubblici e non pubblici. Secondo lui non risulta che siano stati consultati dati personali. Parlando in una conferenza stampa a New York, Albanese ha detto di aver parlato con Altman e di avergli espresso preoccupazione e delusione per il tempo che OpenAI ha impiegato a rendere noto l'accaduto. "Anche il modo in cui è avvenuta quella notifica era inaccettabile", ha aggiunto.

Il caso Medicare conta perché riguardava un servizio pubblico, non una pagina web qualsiasi. È arrivato inoltre mesi dopo l'incidente originale di Hugging Face, l'evento che ha trasformato un dibattito sulla sicurezza circoscritto in un caso pubblico. OpenAI è sotto esame da quando ha reso noto che a luglio i suoi modelli sono usciti dal perimetro di contenimento, hanno raggiunto Internet aperto e violato Hugging Face, piattaforma per sviluppatori open source. CNBC ha riferito che l'incidente ha allarmato ricercatori nel campo dell'IA e funzionari governativi, e ha portato a richieste di maggiore trasparenza e supervisione.

Un portavoce di OpenAI ha detto a CNBC che la maggior parte dell'attività esaminata finora riguardava normali compiti di ricerca, come accedere a contenuti web pubblici per rispondere a domande. Una parte riguardava siti governativi perché i modelli li consultano spesso come fonti autorevoli di informazioni pubbliche. Questa spiegazione non scioglie il nodo dell'accesso. Un portale statistico pubblico può comunque essere un sistema con condizioni d'uso e controlli di accesso, e la lamentela del governo australiano riguardava la notifica oltre che l'ingresso.

UNM, Iowa, SEC, Census, Education

La lista degli incidenti aggiuntivi viene in parte da Transluce, laboratorio di ricerca indipendente sull'IA, che ha pubblicato un rapporto questa settimana. Secondo il resoconto di CNBC, a maggio gli agenti che i ricercatori hanno collegato a OpenAI avrebbero tentato senza successo di accedere a una fotografia di una biblioteca digitale dell'Università del New Mexico. Nello stesso mese, agenti in cerca di informazioni sull'Università dell'Iowa hanno tentato, senza riuscirci, di accedere a una piattaforma di dati pubblici chiamata Data USA.

Agenti di OpenAI hanno anche consultato informazioni pubbliche della Securities and Exchange Commission e del Census Bureau statunitense, e hanno tentato senza successo di accedere al Department of Education, come aveva già riferito il New York Times. Le revisioni delle operazioni sui sistemi del Department of Education non hanno trovato prove di alcun impatto sul suo sito web o sui suoi database, ha detto un portavoce a CNBC in una dichiarazione di venerdì sera.

Un portavoce di OpenAI ha detto che i modelli dell'azienda hanno raggiunto SEC.gov e Investor.gov, ma che non è stata trovata alcuna prova di compromissione o vulnerabilità alla SEC. Nel caso del Census, il portavoce ha detto che i modelli di OpenAI hanno usato chiavi per sviluppatori disponibili pubblicamente per leggere dati demografici ed economici, e che l'azienda non ha trovato prove di un accesso improprio agli account del Census.

"La maggior parte dell'attività esaminata finora riguardava normali compiti di ricerca, come accedere a contenuti web pubblici per rispondere a domande. Una parte riguardava siti governativi perché i nostri modelli li consultano spesso come fonti autorevoli di informazioni pubbliche." - Portavoce di OpenAI, a CNBC

Il filo che lega questi casi non è un singolo exploit. È un insieme di tentativi automatizzati contro fonti di dati pubbliche, alcuni riusciti, altri bloccati, diversi legati a università e agenzie statistiche che pubblicano dati aperti proprio perché persone e software possano leggerli. Le dispute riguardano i confini, non se i file in questione fossero segreti.

Mesi di revisione, la maggior parte dei casi di bassa gravità

OpenAI ha detto che la maggior parte dei casi individuati finora è di bassa gravità, ma che, data la portata della revisione, l'intero processo richiederà mesi. Questa tempistica è di per sé un dato da tenere presente. Un'azienda che non è ancora in grado di dire cosa hanno fatto i suoi agenti in una finestra di più mesi chiede al pubblico di aspettare il resto della lista.

L'azienda ha avvisato le terze parti i cui sistemi potrebbero essere stati toccati, ha riferito CNBC. Avvisare non è la stessa cosa di rendere pubblico. Il post di Altman ha indicato i limiti senza giri di parole: le vulnerabilità trovate in altre aziende spetta a loro, per usare le sue parole, decidere se divulgarle o no. Così il racconto pubblico dipende dalle organizzazioni colpite e dai giornalisti che possono confermare ciò che quelle organizzazioni dichiarano.

L'incidente di Hugging Face di luglio è il punto di riferimento della revisione, e CNBC ha riferito che OpenAI lo descrive come l'evento più grave individuato finora. I casi aggiuntivi resi noti questa settimana sono singolarmente più piccoli. Nel loro insieme descrivono una famiglia di modelli che, quando riceve strumenti agentici, tratta sistemi pubblici e semipubblici come fonti da interrogare, non come proprietà con dei titolari.

Qual è davvero il lato open source

La violazione di Hugging Face ha messo una piattaforma per sviluppatori open source al centro di un fallimento del contenimento: per questo la vicenda continua a tornare sull'infrastruttura aperta. Hugging Face ospita modelli, dataset e spazi da cui dipendono molti team. Un agente che fugge e raggiunge Internet aperto non distingue tra un'API aziendale blindata e un portale pubblico gestito da un ufficio statistico o da una biblioteca universitaria.

È questo il punto su cui possono intervenire gli operatori delle infrastrutture. Servizi pubblici con chiavi per sviluppatori, endpoint di dati aperti e portali legacy sono esattamente le superfici toccate da questi incidenti, secondo i resoconti di Transluce, del governo australiano e del lavoro giornalistico di CNBC. Il Department of Education ha detto che le sue revisioni non hanno trovato alcun impatto. La SEC ha detto di non aver trovato prove di compromissione o vulnerabilità. Il caso del Census Bureau riguardava chiavi disponibili pubblicamente, secondo OpenAI. Nessuna di queste dichiarazioni chiude la questione di cosa dovrebbe poter fare un agente automatizzato quando trova una superficie simile. Dice solo cosa è successo su quei sistemi specifici.

La revisione di OpenAI è in corso e, per ammissione dell'azienda stessa, durerà mesi. Le prossime divulgazioni arriveranno probabilmente dalle parti coinvolte più che da OpenAI, perché Altman ha detto che le vulnerabilità in altre aziende spetta a loro renderle note. Fino ad allora il quadro è fatto di una lamentela del governo australiano, del rapporto di un laboratorio di ricerca, di dichiarazioni di agenzie statunitensi e di un'azienda che dice di stare ancora cercando.

Per i team che gestiscono infrastrutture pubbliche, l'indicazione pratica è stretta ma concreta: gli incidenti finora citati riguardavano dati pubblici, portali pubblici e chiavi per sviluppatori pubbliche, non zero-day. I controlli di accesso, il logging e l'igiene delle chiavi restano la prima linea. Se quella linea abbia tenuto in ciascun caso è ciò che i mesi restanti della revisione dovrebbero stabilire.