Cyberattacco IA: cosa è successo?

Il 16 luglio 2026 il blog di news del portale huggingface.co ha pubblicato un articolo in cui viene raccontato un recente cyberattacco. La sua natura è particolare, inedita: è stato perpetrato da un AI-agent, cioè non da un hacker umano, singolo o in gruppo, ma, sostanzialmente, l’esecuzione concreta dell’attacco è stata portata avanti da un AI agent senza intervento umano diretto.

Ai cyberattacchi Hugging Face è abituato. Anzi, è il suo lavoro. Si tratta infatti di un sito che offre un amplissimo servizio sandbox per programmatori, nell’ottica di costruzione di una community che sviluppa, tramite tentativi e sperimentazioni, un utilizzo sicuro e potente dei più innovativi strumenti digitali. Una sorta di «poligono di tiro» sicuro per utilizzare delle armi da fuoco. In particolare, infatti, può ospitare simulazioni di hacking, cioè di cyberattacco, da parte degli utenti, per verificare la forza di un sistema e individuarne eventuali vulnerabilità. Niente di nuovo: questo è il processo con cui da decenni si sviluppa la cybersecurity.

Il 21 luglio OpenAI ha dichiarato pubblicamente che, «dopo le indagini (…), sappiamo che questo specifico incidente è stato causato da una combinazione di modelli OpenAI (…), mentre venivano testati internamente». In altre parole, OpenAI stava controllando la qualità di alcune feature di nuove di modelli di IA, tra cui GPT-5.6 Sol («e un modello pre-release ancora più capace», non meglio specificato). Al suo interno, l’azienda ha allestito, com’è comprensibile, uno spazio protetto sandbox dove poter testare questi tool, per procedere nella ricerca. Questo AI-agent, con un modello (cervello) innovativo, ha «forato» sia i confini di OpenAI sia quelli di Hugging Face. O, meglio, ha sfruttato un percorso che gli sviluppatori ritenevano impossibile.

L’azienda californiana dichiara che questi test «vengono eseguiti in un ambiente altamente isolato, con accesso alla rete limitato alla possibilità di installare pacchetti tramite un software di terze parti ospitato internamente». Una sorta, cioè, di parental control: il bambino IA può installare solo ciò che il genitore umano gli consente.

Nonostante tutto ciò, «i modelli hanno individuato e concatenato vulnerabilità tra l’ambiente di ricerca di OpenAI e l’infrastruttura di produzione di Hugging Face per ottenere soluzioni di test direttamente dal database di produzione di Hugging Face». Facciamola breve: l’AI-agent è riuscito a sfruttare in maniera considerata impossibile il ristretto accesso alla rete globale (nonostante il parental control) e a innescare una escalation di credenziali privilegiate di Hugging Face, individuando e concatenando vulnerabilità fino ad allora sconosciute (in gergo tecnico si dice zero-day).

Il team di sicurezza di Hugging Face, aiutato dall’intelligenza artificiale, ha individuato e fermato l’attacco.

Lavorare insieme: ma per chi?

Non sono un tecnico e spero di aver compreso e descritto in maniera almeno sufficiente ciò che è successo. Mi permetto di fare alcune riflessioni a latere.

La prima riguarda il problema dell’accountability, ovvero «la possibilità di identificare chi deve “rendere conto” delle decisioni, motivarle, controllarle e, quando necessario, contestarle e rimediare ai danni che ne derivano» (MH 105). Di chi è la responsabilità di questo attacco? Chi l’ha effettivamente perpetrato?

Molti giornali affermano, in questi giorni, che è stato un attacco «autonomo» dell’intelligenza artificiale. Ovvero: l’AI-Agent si sarebbe dato da solo delle regole (dall’etimologia). Ma questa cosa non è possibile, tecnicamente: è stato sicuramente «eteronomo», ovvero addestrato dall’esterno, e non può essere altrimenti.

Filosoficamente possiamo riflettere sul fatto che, forse, è stato addestrato a non avere delle regole interne. Possiamo forse parlare, se mi si concede il neologismo, di auto-anomia? Ma questo crea una riflessione importante sulla responsabilità della macchina in riferimento alla responsabilità umana. Siamo a uno step prima dell’algoretica: è importante focalizzarsi sulla questione dell’autonomia e auto-anomia. Senza responsabilità, non c’è etica.

Un altro punto riguarda la domanda: chi ci guadagna? Non si tratta di un quesito paranoico o complottista. Dall’età della pietra è lecito e doveroso riflettere su chi guadagna dalle dinamiche geopolitiche, tecnologiche, commerciali… Da ogni situazione c’è qualcuno che ci può guadagnare qualcosa, anche quando si tratta di un incidente. A questo proposito, tra le varie manovre correttive, l’articolo succitato di OpenAI recita: «abbiamo incluso Hugging Face nel programma di accesso fidato (trusted access program) e stiamo supportando i suoi team nell’uso rapido delle capacità dei nostri modelli per migliorare le loro difese».

Come chiosa Clem Delangue, CEO di Hugging Face, «la sicurezza dell’IA non sarà risolta da una singola azienda che lavora in segreto. Sarà risolta apertamente, in modo collaborativo, con ampio accesso all’IA per ogni difensore, ovunque». È un principio ineccepibile. Anche Papa Leone segnala l’assoluta importanza di uno sforzo comune per sviluppare e regolare l’IA: «disarmare l’IA (…) significa sottrarla ai monopoli, renderla discutibile, contestabile, e quindi abitabile, restituendola alla pluralità delle culture umane e delle forme di vita» (MH 110).

Tuttavia l’utilizzo dei modelli di OpenAI da parte di Hugging Face (e chissà da quanti altri) porta inevitabilmente dei vantaggi all’azienda californiana. Ne cito due tra tutti. Innanzitutto, i suoi modelli di IA divengono sempre più quelli centrali, indispensabili, must-to-have. Se le misure di sicurezza delle varie aziende si basano sempre più su questi modelli, diviene chiaro che questi stessi modelli divengono il riferimento principale e pericolosamente monopolistico nel mondo dell’intelligenza artificiale.

Il secondo vantaggio riguarda i dati. Già da marzo 2023 OpenAI dichiara che «data sent to the OpenAI API is not used to train or improve OpenAI models (unless you explicitly opt in to share data with us)». Cioè i dati delle aziende che collaborano o utilizzano i modelli OpenAI (incluse quindi le realtà nel suo trusted access program) non vengono salvati e utilizzati per il training dei nuovi modelli di IA.

Tuttavia alcuni dati non possono non essere utilizzati da OpenAI. Ad esempio, i vari report log (ovvero la descrizione degli errori) o la segnalazione di abusi di sistema. È giusto che sia così. E questo significa che quante più aziende utilizzano, tramite API, i modelli di OpenAI, tanto più l’azienda può sviluppare sistemi migliori, più funzionali ed efficienti.

Si rischia di creare un sistema paradossalmente ricorsivo: modelli sempre più auto-anomi minacciano in maniera sempre più realistica il mondo digitale; per difendersi da questi sistemi si sviluppano nuovi modelli difensivi, fornendo però dati che aiutano a implementare nuove inedite minacce.

È un discorso vecchio come il cucco? Sicuramente sì. Fin dai paleolitici antivirus si evidenziava questa logica – ma non commerciale – assurdità. Ma forse non è inutile rimetterla in luce, per crescere in consapevolezza e libertà. E per comprendere quanto è difficile, nella realtà, andare oltre al criterio dell’interesse-per-me. Bello il richiamo alla solidarietà e alla sussidiarietà di papa Leone, anche in ordine all’intelligenza artificiale.

Ma noi, ce la faremo a capire?