Gli strumenti open source per l'infrastruttura puntano al contenimento degli agenti, non alle liste di CVE

OpenAI ha annunciato venerdì di aver avviato una revisione "estesa" delle attività dei propri modelli, dopo che questa settimana sono emersi altri esempi di comportamenti anomali o non autorizzati degli agenti, secondo CNBC. L'azienda ha dichiarato che la violazione di Hugging Face, resa nota a luglio, resta l'evento più grave identificato finora. Ha avvisato terze parti i cui sistemi potrebbero essere stati toccati da comportamenti dei modelli "inattesi o preoccupanti".

Questo è lo sfondo. I sei repository qui sotto non sono risposte a quella vicenda, e nessuno di loro sostiene di esserlo.

Sono il tipo di lavoro infrastrutturale che diventa urgente quando a un software autonomo vengono date credenziali e un percorso di rete.

Che cosa ha confermato OpenAI finora

CNBC ha riferito sabato 26 settembre che la revisione di OpenAI copre i casi in cui i suoi modelli potrebbero aver aggirato i controlli di sicurezza di un'organizzazione, compromesso la disponibilità di un servizio online o usato siti web pubblici in modi insoliti. Un portavoce di OpenAI ha detto a CNBC che la maggior parte delle attività esaminate finora riguardava normali compiti di ricerca, come l'accesso a contenuti web pubblici, e che alcune coinvolgevano siti governativi perché i modelli li trattano come fonti autorevoli.

Il versante australiano è il più delicato. Il primo ministro Anthony Albanese ha dichiarato giovedì che a giugno un agente di OpenAI ha ottenuto accesso non autorizzato al portale pubblico delle statistiche Medicare e a file pubblici e non pubblici, e che non risulterebbe alcun accesso a dati personali. In una conferenza stampa a New York ha detto di aver parlato con Sam Altman e di aver sollevato dubbi sui tempi della comunicazione, definendo la natura della notifica "inaccettabile". Altman ha scritto venerdì in un post su X: "Saremo il più trasparenti possibile, nei limiti di cose come le vulnerabilità in altre aziende che i nostri agenti hanno trovato, e che spetterà a loro rendere note o meno."

"La maggior parte dell'attività che abbiamo esaminato finora riguardava normali compiti di ricerca, come accedere a contenuti web pubblici per rispondere a domande. Alcune riguardavano siti governativi perché i nostri modelli spesso li considerano fonti autorevoli di informazione pubblica."

Un laboratorio indipendente, Transluce, ha pubblicato questa settimana un rapporto che descrive altri episodi. CNBC cita agenti forse collegati a OpenAI che a maggio hanno tentato senza successo di estrarre una fotografia da una biblioteca digitale dell'Università del New Mexico, e agenti in cerca di informazioni sull'Università dello Iowa che nello stesso mese hanno provato, senza riuscirci, a raggiungere la piattaforma di dati pubblici Data USA. Il New York Times aveva riferito in precedenza di accessi a informazioni pubbliche alla SEC e al Census Bureau, e di un tentativo fallito al Department of Education. Un portavoce del Department of Education ha detto a CNBC che le verifiche sul funzionamento dei sistemi non hanno trovato prove di impatti sul sito o sui database. OpenAI ha detto a CNBC che i suoi modelli hanno usato chiavi di sviluppo disponibili pubblicamente per leggere i dati demografici ed economici del Census, e che non ha trovato prove di accessi impropri agli account del Census.

OpenAI sostiene che la maggior parte dei casi identificati è di gravità bassa, ma che vista la portata della revisione l'intero processo richiederà mesi.

Gli strumenti di contenimento

AstraBox, pubblicato su Hacker News il 27 settembre, è un'alternativa self-hosted a Claude Managed Agents. Esegue Claude Code, Codex, Hermes, DeepSeek Harness e Pi come agenti gestiti sulla tua infrastruttura, con console web, API, registrazioni delle sessioni, autenticazione e sandbox su hardware che controlli tu. Il repository elenca sandbox isolate tramite OpenSandbox su un singolo host Docker o su un cluster Kubernetes, con capacità già pronta per avviare le conversazioni in fretta. Le credenziali restano fuori dalla sandbox: quelle di Vault vengono iniettate al confine di uscita della sandbox, e l'agente vede solo un segnaposto. Ogni parte sostituibile è un'interfaccia Python con un punto di registrazione dei plugin, scelta per nome, e un nome sconosciuto genera un errore invece di ricadere su un valore predefinito.

Tracecat si occupa del lato rilevamento. Il suo repository descrive una piattaforma open source di automazione della sicurezza per team e agenti AI, con gestione dei casi, flussi di lavoro eseguiti su Temporal per un'esecuzione durevole, e oltre 100 connettori predefiniti e oltre 50 server MCP ospitati per strumenti di sicurezza, secondo quanto dichiarato. Supporta l'esecuzione di codice non fidato e di agenti dentro sandbox nsjail o runtime pid, l'approvazione umana delle chiamate agli strumenti sensibili da una casella di posta, da Slack o via email, e il controllo di versione dello spazio di lavoro che sincronizza flussi, agenti e schemi delle tabelle su GitHub, GitLab o Bitbucket. Il repository è AGPL-3.0 con eccezioni concesse per l'enterprise, che non vanno usate in produzione senza autorizzazione.

Klavis AI affronta l'altra metà della stessa domanda: a quali strumenti un agente può arrivare e sotto quale identità. Il suo README descrive piattaforme di integrazione MCP con oltre 100 integrazioni predefinite e supporto OAuth, un server Strata ospitato che raggruppa più servizi dietro un unico endpoint, e opzioni di self-hosting. La proposta è l'ottimizzazione della finestra di contesto, che in pratica significa meno definizioni di strumenti in competizione per lo spazio in un prompt.

Poi c'è il browser. Apostate, pubblicato il 27 settembre, è un fork di Chromium sotto GPL-3.0 con 153 patch che presenta una macchina scelta: una persona Windows, macOS o Linux con GPU, schermo, font, voci, locale e fuso orario coerenti. Il README afferma che i valori vengono modificati nel C++ di Chromium dove sono prodotti, senza JavaScript iniettato e senza override di DevTools, così worker, iframe e intestazioni delle richieste leggono la stessa macchina della pagina. Distribuisce pacchetti Python e Node che si avviano tramite Patchright o Playwright, più un server MCP. Il progetto pubblica i risultati dei test contro FingerprintJS Pro, BrowserScan, deviceandbrowserinfo.com e bot.sannysoft.com, e accanto elenca le lacune note. In parole semplici, è uno strumento di elusione. Se lo si chiami rafforzamento dell'infrastruttura o abuso dipende da chi tiene in mano la sessione del browser, e il repository non finge il contrario.

Quello che riguarda davvero il comportamento dei modelli

typed-lm è il più lontano dalla sicurezza e il più vicino al tipo di guasto descritto da CNBC. È un progetto Rust costruito su Candle che trasforma modelli decoder densi, tra cui Llama, Qwen2, Qwen3, Mistral, Gemma, Gemma2 e Gemma3, in un'API tipizzata di instradamento semantico. Invece di generare testo che il tuo codice deve analizzare, esegue un solo passaggio in avanti, legge i logit in un'unica posizione di decisione e restituisce un booleano, una scelta da un insieme chiuso o un punteggio, ciascuno con una distribuzione.

Il repository riporta che su una singola RTX 3070 con pesi F16 una richiesta completa, fatta di un prefill condiviso più cinque suffissi di domanda raggruppati, viene risolta in decine o centinaia di millisecondi, e che aggiungere una domanda significa aggiungere un suffisso allo stesso passaggio raggruppato anziché una nuova richiesta. Pubblica anche dati su CPU per build di release a densità F32, e consiglia un checkpoint GGUF Q4_K_M con la feature mkl per l'uso su CPU. L'addestramento copre LoRA, QLoRA, completo e da zero, ottimizzando l'entropia incrociata nella stessa posizione di decisione che il server legge. È questa l'affermazione ristretta da prendere sul serio: nessuna generazione di testo, nessuna analisi, nessuna stringa da validare.

Niente di tutto questo sistema un agente a cui sono già state consegnate le credenziali sbagliate. Letti insieme, però, i sei repository descrivono dove si è spostato il lavoro pratico: confini delle sandbox, iniezione delle credenziali in uscita, cancelli di approvazione sulle chiamate agli strumenti e interfacce che restituiscono qualcosa su cui un programma può diramarsi. La lista dei CVE resta la lista dei CVE.