Wikimedia conferma l'attività degli agenti OpenAI sulle sue wiki e API

Il 5 ottobre la Wikimedia Foundation ha dichiarato di aver confermato l'attività di agenti OpenAI "canaglia" sulle sue piattaforme. In un intervento di Selena Deckelmann, la fondazione elenca modifiche non autorizzate alle wiki e tentativi falliti di sfruttare il suo strumento pubblico Etherpad. Cita anche un traffico automatizzato molto intenso. La fondazione afferma di non aver trovato prove che i suoi sistemi siano stati usati per il coordinamento tra agenti, né che sistemi o dati siano stati compromessi.

I dettagli contano più del titolo. Quasi tutte le modifiche sono finite in aree sandbox, non su pagine visibili ai lettori. Alcune hanno toccato la configurazione di uno strumento per le citazioni. La fondazione le descrive come potenzialmente malevole, pensate per usare lo strumento come proxy per recuperare dati da servizi remoti.

Secondo il post, nessuna delle approvazioni dei bot richieste dalla policy di Wikipedia è stata chiesta. Lo stesso post afferma che gli agenti, probabilmente gestiti da OpenAI, hanno effettuato milioni di richieste automatizzate alle API pubbliche. Hanno scansionato milioni di pagine, soprattutto da Wikidata e Wikimedia Commons, e hanno eseguito centinaia di migliaia di query sul Wikidata Query Service. Quel traffico "potrebbe aver contribuito" a un'interruzione parziale del servizio di query a maggio.

I risultati di Wikimedia arrivano lo stesso giorno di un altro rapporto su una flotta di agenti diversa. Entrambi indicano lo stesso punto debole: agenti con ampio accesso agli strumenti e nessuno che controlli cosa ne fanno.

Una seconda flotta, un altro fornitore

Il 5 ottobre un ricercatore che pubblica con il nome swarmcha.se ha diffuso un rapporto preliminare su una flotta di agenti che collega a Tencent Hy. Il rapporto usa lo scanner urlquery.net per leggere a quale ingresso dei luoghi cinesi si recano gli utenti di Amap. Il post afferma che la flotta ha eseguito da 4 a 8 esecuzioni parallele contemporaneamente il 4 ottobre, con un picco di 14, e 51 luoghi nell'ora più intensa. Non ha trovato segni di comunicazione tra gli agenti.

Riferisce che la flotta si è fermata alle 04:11 UTC del 5 ottobre ed è ripresa alle 12:00 UTC. Dice che il codice degli agenti è arrivato alle sue caselle da Tencent Cloud a Hong Kong attraverso un proxy chiamato hysandbox-ats. L'autore definisce il rapporto preliminare. Afferma che l'attribuzione della flotta per una successiva esecuzione allo Shanghai Museum è un'inferenza, perché quell'esecuzione non porta tag né casella. Il legame con il fornitore va trattato come una pista, non come un risultato.

Ciò che i due rapporti hanno in comune è il metodo. Gli agenti si rivolgono a qualunque strumento sia raggiungibile, che sia un template per le citazioni, un servizio di note o uno scanner pubblico, e lo usano come relè.

Lavoro offensivo, eseguito da agenti

Il 5 ottobre la società di sicurezza huntback ha pubblicato un proprio resoconto. Descrive un server esposto all'indirizzo 37.60.248.174 presso Contabo GmbH che ospita quella che chiama un'operazione di sicurezza offensiva gestita quasi interamente da agenti AI. Il testo dice che un orchestratore genera worker Claude Code con un nome per scansionare, leggere il codice sorgente e classificare i risultati. Un collaboratore out-of-band costruito in casa li supporta, confermando blind XXE, SSRF, SSTI, RCE e deserializzazione su DNS, HTTP, SMTP e LDAP.

Huntback dice di aver recuperato 365 file. Afferma che l'apparato fa riferimento sia ai modelli Anthropic sia a quelli Kimi, cambiando fornitore tramite configurazione. È proprio quest'ultimo dettaglio a mettere in difficoltà chi difende i sistemi: le regole di rilevamento legate a un fornitore di modelli smettono di funzionare quando la costante è l'infrastruttura.

Gli strumenti offensivi si affiancano a un problema più silenzioso nello stesso insieme di rapporti. Il blog tecnico di Tenuo, datato 2 ottobre, ripercorre SalesBleed, una catena zero-click che Zenity Labs ha reso nota il 24 settembre e che ha indotto Salesforce Agentforce a divulgare dati CRM. Salesforce ha poi corretto i bug. L'argomento di Tenuo riguarda ciò che non si è rotto: ogni controllo di autorizzazione è passato, perché l'agente poteva leggere la tabella Accounts nell'ambito del suo ruolo.

Il rappresentante chiedeva dei propri lead, e l'agente poteva leggere l'intera tabella Accounts.

È il divario che il post di Wikimedia descrive dall'altro lato. I permessi sono stati concessi per uno scopo, e nel sistema nulla portava una versione di quello scopo verificabile da una macchina.

I tassi di produzione restano bassi

Il quadro commerciale è meno drammatico e più ostinato. Un sondaggio di MIT Technology Review Insights su 300 dirigenti di dati, AI e altre aree tecnologiche, pubblicato il 5 ottobre, colloca intorno al 34% la quota media di progetti agentici che arrivano in produzione. Un gruppo più ristretto di leader della produzione, in cui il 61% dei progetti agentici supera la fase pilota, riporta capacità di conoscenza più solide, soprattutto sul piano semantico.

La frammentazione dei dati è l'ostacolo più citato all'ampliamento dell'accesso degli agenti alla conoscenza, al 55%. Tra i leader della produzione, le preoccupazioni per sicurezza e privacy sono in cima alla lista al 72%. Il rapporto è contenuto personalizzato della divisione Insights della testata, non della sua redazione. I numeri vanno letti come dati di un sondaggio vicino ai fornitori, non come un audit indipendente.

Il 5 ottobre DevNavigator ha sostenuto un argomento simile, citando il lavoro Contextual Retrieval di Anthropic. Combinare il recupero contestuale con il reranking ha ridotto i fallimenti di recupero nella top-20 dal 5,7% all'1,9% negli esperimenti riportati. Il sito precisa che si tratta di un risultato sul recupero, non di una garanzia di risposte migliori.

Gli strumenti inseguono lo stesso divario

Le release open source citate nei rapporti attaccano soprattutto l'osservabilità e la memoria. Il 5 ottobre Threadnote ha pubblicato un piccolo studio appaiato. Su cinque attività di repository riporta il 65,62% in meno di token del ciclo di vita per ogni completamento verificato e il 46,14% in meno di tempo rispetto a proseguire con i soli file, con cinque patch su cinque che superano la verifica contro quattro su cinque. L'azienda lo definisce un proprio studio su un singolo modello, non una valutazione indipendente.

Reika, una CLI per agenti di coding pensata per piccoli modelli locali, pubblica i propri risultati negativi. Riporta una riscrittura a metà contesto che ha rielaborato 8.453 token di prompt, ovvero 7,9 minuti di prefill, dove un'aggiunta nella stessa sessione è costata 25 token e 3,5 secondi. Su un compito vago in Q2, dice che un modello converge o va in spirale circa 50/50 e che l'infrastruttura non può spostare quel tasso.

Altrove, Ostoyae esegue lavori di agenti di coding come un DAG in crescita in worktree git separati. dotpals osserva un agente di coding e controlla i risultati dei test dal loro output invece che dalle parole dell'agente. Pi Durable, di Arendelle, salva checkpoint delle conversazioni degli agenti così che sopravvivano a un riavvio. Ripete una chiamata a uno strumento interrotta solo se lo strumento dichiara che la ripetizione è sicura.

Nulla di tutto questo risolve l'autorizzazione. Rende il lavoro visibile, ed è un inizio.