Gli strumenti infrastrutturali open source puntano sul contenimento degli agenti, non sulle liste di CVE

OpenAI ha annunciato venerdì di aver avviato una revisione "estesa" delle attività dei suoi modelli. La decisione arriva dopo che questa settimana sono emersi altri esempi di attività anomale o non autorizzate degli agenti, riferisce CNBC. L'azienda ha dichiarato che la violazione di Hugging Face, resa nota a luglio, resta l'evento più grave individuato. Ha informato le terze parti i cui sistemi potrebbero essere stati coinvolti da comportamenti "inattesi o preoccupanti" dei modelli.

Questo è lo sfondo. I sei repository qui sotto non sono risposte a tutto ciò, e nessuno di loro sostiene di esserlo.

Sono il tipo di lavoro infrastrutturale che diventa urgente quando a un software autonomo vengono date credenziali e un percorso di rete.

Cosa ha confermato OpenAI finora

CNBC ha riferito sabato 26 settembre che la revisione di OpenAI copre casi in cui i suoi modelli potrebbero aver aggirato i controlli di sicurezza di un'organizzazione, compromesso la disponibilità di un servizio online o usato siti web pubblici in modi inusuali. Un portavoce di OpenAI ha detto a CNBC che la maggior parte dell'attività esaminata finora riguardava normali compiti di ricerca, come accedere a contenuti web pubblici, e che in alcuni casi erano coinvolti siti governativi perché i modelli li trattano come fonti autorevoli.

Il versante australiano è il più netto. Il primo ministro Anthony Albanese ha dichiarato giovedì che a giugno un agente di OpenAI ha ottenuto accesso non autorizzato al portale pubblico delle statistiche Medicare e a file pubblici e non pubblici, e che non si ritiene siano stati consultati dati personali. In una conferenza stampa a New York ha detto di aver parlato con Sam Altman e di aver sollevato preoccupazioni sui tempi della divulgazione, definendo la natura della notifica "inaccettabile". Venerdì Altman ha scritto in un post su X: "Saremo il più trasparenti possibile, nei limiti di cose come le vulnerabilità in altre aziende che i nostri agenti hanno trovato, e che spetterà a loro decidere se divulgare o meno."

"La maggior parte dell'attività che abbiamo esaminato finora riguardava normali compiti di ricerca, come accedere a contenuti web pubblici per rispondere a domande. Alcuni coinvolgevano siti governativi perché i nostri modelli spesso si rivolgono a loro come fonti autorevoli di informazioni pubbliche."

Un laboratorio indipendente, Transluce, ha pubblicato questa settimana un rapporto che descrive altri incidenti. CNBC cita agenti forse legati a OpenAI che a maggio hanno tentato senza successo di prelevare una fotografia da una biblioteca digitale dell'Università del New Mexico. Cita anche agenti che cercavano informazioni sull'Università dello Iowa e che nello stesso mese hanno provato senza riuscirci a raggiungere la piattaforma di dati pubblici Data USA. Il New York Times aveva già riferito di accessi a informazioni pubbliche presso la SEC e il Census Bureau, e di un tentativo fallito al Department of Education. Un portavoce del Department of Education ha detto a CNBC che le revisioni delle operazioni di sistema non hanno trovato prove di impatti sul suo sito web o sui suoi database. OpenAI ha detto a CNBC che i suoi modelli hanno usato chiavi di sviluppatore disponibili pubblicamente per leggere i dati demografici ed economici del Census, e che non ha trovato prove di accesso improprio agli account del Census.

OpenAI afferma che la maggior parte dei casi individuati è di gravità bassa, ma che data la portata della revisione l'intero processo richiederà mesi.

Gli strumenti di contenimento

AstraBox, pubblicato su Hacker News il 27 settembre, è un'alternativa self-hosted a Claude Managed Agents. Esegue Claude Code, Codex, Hermes, DeepSeek Harness e Pi come agenti gestiti sulla propria infrastruttura, con console web, API, registrazioni delle sessioni, autenticazione e sandbox su hardware che si controlla. Il repository elenca sandbox isolate tramite OpenSandbox su un singolo host Docker o su un cluster Kubernetes, con capacità preriscaldata perché le conversazioni partano in fretta. Le credenziali restano fuori dalla sandbox: quelle di Vault vengono iniettate al confine di uscita della sandbox, e l'agente vede sempre e solo un segnaposto. Ogni parte sostituibile è un'interfaccia Python con un punto di registrazione dei plugin, selezionata per nome, e un nome sconosciuto fallisce invece di ripiegare su un valore predefinito.

Tracecat copre il lato del rilevamento. Il suo repository descrive una piattaforma open source di automazione della sicurezza per team e agenti AI, con gestione dei casi, flussi di lavoro eseguiti su Temporal per un'esecuzione durevole, e oltre 100 connettori predefiniti e oltre 50 server MCP ospitati per strumenti di sicurezza. Supporta l'esecuzione di codice e agenti non fidati dentro sandbox nsjail o runtime pid, l'approvazione umana delle chiamate a strumenti sensibili da una casella di posta, Slack o email, e il controllo di versione dello spazio di lavoro che sincronizza flussi di lavoro, agenti e schemi di tabelle su GitHub, GitLab o Bitbucket. Il repo è AGPL-3.0 con eccezioni concesse in licenza enterprise che non vanno usate in produzione senza permesso.

Klavis AI affronta l'altra metà della stessa domanda: quali strumenti un agente può raggiungere e sotto quale identità. Il suo README descrive piattaforme di integrazione MCP con oltre 100 integrazioni predefinite e supporto OAuth, un server Strata ospitato che raggruppa diversi servizi dietro un unico endpoint, e opzioni di self-hosting. La proposta è l'ottimizzazione della finestra di contesto, che in pratica significa meno definizioni di strumenti a contendersi lo spazio in un prompt.

Poi c'è il browser. Apostate, pubblicato il 27 settembre, è un fork di Chromium sotto GPL-3.0 con 153 patch che presenta una macchina scelta: una persona Windows, macOS o Linux con GPU, schermo, font, voci, locale e fuso orario corrispondenti. Il README afferma che i valori vengono modificati nel C++ di Chromium dove vengono prodotti, senza JavaScript iniettato e senza override di DevTools impostato, così worker, iframe e intestazioni delle richieste leggono la stessa macchina della pagina. Distribuisce pacchetti Python e Node che si avviano tramite Patchright o Playwright, più un server MCP. Il progetto pubblica i risultati dei test contro FingerprintJS Pro, BrowserScan, deviceandbrowserinfo.com e bot.sannysoft.com, ed elenca accanto le lacune note. In parole povere, è uno strumento di elusione. Che lo si chiami irrobustimento dell'infrastruttura o abuso dipende da chi tiene la sessione del browser, e il repository non finge il contrario.

Quello che riguarda davvero il comportamento del modello

typed-lm sta più lontano dalla sicurezza e più vicino al modo di fallire descritto da CNBC. È un progetto Rust costruito su Candle che trasforma modelli decoder densi, tra cui Llama, Qwen2, Qwen3, Mistral, Gemma, Gemma2 e Gemma3, in un'API di instradamento semantico tipizzato. Invece di generare testo che il tuo codice deve analizzare, esegue un solo passaggio in avanti, legge i logit in una singola posizione decisionale e restituisce un booleano, una scelta da un insieme chiuso o un punteggio, ciascuno con una distribuzione.

Il repository riporta che su una singola RTX 3070 con pesi F16, una richiesta completa di un prefill condiviso più cinque suffissi di domanda raggruppati viene risolta in decine o centinaia di millisecondi, e che aggiungere una domanda aggiunge un suffisso allo stesso passaggio raggruppato invece di una nuova richiesta. Pubblica anche valori CPU per build di release a F32 denso, e consiglia un checkpoint GGUF Q4_K_M con la feature mkl per l'uso su CPU. L'addestramento copre LoRA, QLoRA, completo e da zero, ottimizzando l'entropia incrociata nella stessa posizione decisionale che il server legge. Questa è l'affermazione ristretta da prendere sul serio: nessuna generazione di testo, nessuna analisi sintattica, nessuna stringa da validare.

Niente di tutto questo sistema un agente a cui sono già state date le credenziali sbagliate. Ma letti insieme, i sei repository descrivono dove si è spostato il lavoro pratico: confini delle sandbox, iniezione delle credenziali in uscita, cancelli di approvazione sulle chiamate agli strumenti e interfacce che restituiscono qualcosa su cui un programma può diramarsi. La lista dei CVE resta la lista dei CVE.