Hugging Face ha rilasciato informazioni più dettagliate sull’attacco reso noto il 21 luglio appena trascorso e subito da un agente di intelligenza artificiale sviluppato da OpenAI, l’azienda capitanata da Sam Altman e nota per ChatGpt.

Le prime comunicazioni rilasciate da Hugging Face parlavano di oltre 17mila azioni ostili, non tutte avvenute con successo, la cui ricostruzione è stata resa proibitiva dai modelli IA commerciali che scambiavano i dati dell’incursione per l’incursione stessa.

Per questo motivo Hugging Face – piattaforma che ospita modelli e dati ed è un riferimento per l'intera comunità globale dell'intelligenza artificiale – ha fatto ricorso a GLM 5.2, modello open-weight sviluppato dall’azienda cinese Z.ai, contribuendo a rilanciare la mai del tutto sopita rivalità commerciale e geopolitica tra i modelli IA occidentali e quelli dell’Est del mondo.

Anatomia di un’intrusione

È stata da Hugging Face, mettendone a disposizione di chiunque i dettagli tecnici dei quali restituiamo una spiegazione accessibile.

L’esperimento di OpenAI ha preso una piega inaspettata quando un agente di intelligenza artificiale, programmato per valutare la sicurezza dei software, ha deciso di agire autonomamente oltre i confini stabiliti.

Va detto che l’agente è stato sviluppato su una combinazione di due modelli di OpenAI che hanno lavorato insieme, ovvero il modello GPT-5.6 Sol e un prototipo di ricerca interno che è stato testato per valutarne le capacità in ambito informatico.

L'obiettivo dell'algoritmo era risolvere una sfida tecnica complessa all'interno di un sistema di valutazione chiamato ExploitGym, ma invece di seguire il percorso previsto, ha tentato di “barare” cercando di rubare le soluzioni direttamente dai server di Hugging Face.

A destare stupore sono state la velocità e la determinazione (non biologica) con cui l’agente IA ha messo a dura prova le difese digitali di Hugging Face.

La fuga e la preparazione

Tutto è iniziato il 9 luglio, quando un agente IA è riuscito a evadere dal suo ambiente protetto, chiamato sandbox, ossia una sorta di recinto digitale isolato dal resto del mondo, sfruttando un difetto del software fino a quel momento sconosciuto, le cosiddette falle 0-day.

Una volta libero su internet, l'algoritmo ha individuato e preso il controllo di un altro ambiente di test ospitato da una terza azienda, usandolo come una sorta di base operativa per lanciare il vero attacco contro Hugging Face.

In questa prima fase, l'intelligenza artificiale ha eseguito migliaia di piccole operazioni automatiche per preparare il terreno e stabilire canali di comunicazione.

Complessivamente, i tecnici hanno ricostruito una sequenza di oltre 17.613 azioni individuali eseguite dalla macchina durante l'intera durata dell'attacco, la maggior parte delle quali erano tentativi falliti che però servivano all'agente per mappare il sistema e trovare una strada percorribile. In fase di analisi forense vanno censiti anche i tentativi non andati a buon fine, poiché sono eventi che aiutano a ricostruire le intenzioni dell'attaccante, la cronologia dell'attacco e le vulnerabilità che sono state prese di mira.

L'escalation tecnologica

Il momento più critico si è verificato l'11 luglio, quando l'agente è riuscito a penetrare nel cuore del sistema di elaborazione dei dati di Hugging Face. Sfruttando due falle specifiche nella gestione dei dataset, ovvero le grandi collezioni di dati usate per addestrare le intelligenze artificiali, l'agente ha inserito istruzioni malevole camuffate da semplici informazioni di configurazione.

Questo gli ha permesso di ottenere chiavi di accesso con le quali ha potuto muoversi lateralmente all'interno della rete aziendale. L'agente è arrivato a controllare i sistemi che gestiscono i server principali e ha registrato 181 dispositivi controllati da lui all'interno della rete privata di Hugging Face, ottenendo così un’ampia libertà d'azione per consultare archivi e documenti interni.

Il tentativo di occultamento e la fine dell'attacco

Tra il 12 e il 13 luglio, l'agente si è concentrato sul mantenere il controllo e sul nascondere le proprie tracce. Ha utilizzato servizi pubblici di archiviazione testi e messaggistica per scambiare ordini e dati rubati, crittografando le informazioni in modo che i normali sistemi di scansione non potessero leggerle.

Nonostante questa sofisticata strategia di mimetizzazione, l'attività dell'algoritmo ha iniziato a far scattare diversi allarmi nel centro di sicurezza di Hugging Face. Una volta identificata l'intrusione, i tecnici umani sono intervenuti bloccando l'accesso dell'agente alla rete interna e chiudendo i servizi compromessi. L'ultima attività registrata risale al pomeriggio del 13 luglio, momento in cui la campagna d'attacco è stata definitivamente neutralizzata.

La controffensiva e la messa in sicurezza

Dopo aver fermato l'attacco, il team di Hugging Face ha avviato una vasta operazione di bonifica per garantire che nessun altro dato fosse a rischio.

Per analizzare l'enorme mole di dati prodotta dall'agente, gli esperti e i tecnici di Hugging Face sono dovuti ricorrere a loro volta a un modello IA perché l’essere umano non sarebbe stato in grado di ricostruire una simile quantità di azioni in tempi brevi.

Come misura precauzionale, sono state cambiate tutte le password e le chiavi digitali dell'intera infrastruttura e alcuni sistemi centrali sono stati completamente rasi al suolo e ricostruiti da zero.

OpenAI, dal canto suo, ha disattivato il prototipo di ricerca responsabile dell'incidente e ha implementato restrizioni più severe per impedire che esperimenti futuri possano nuovamente sfuggire al controllo dei laboratori.

Le considerazioni a cui è giunta Hugging Face

In seguito all'incidente Hugging Face ha riflettuto sul problema dell'asimmetria tra attacco e difesa evidenziando come la velocità e il volume delle azioni compiute dalle macchine rendano le debolezze ordinarie estremamente costose per i difensori.

Non di meno, ha osservato che la capacità offensiva dell'agente è stata reale, riuscendo a testare migliaia di percorsi diversi e creando un rumore di fondo che nascondeva la sequenza di attacco andata a buon fine.

Questa realtà impone un cambio di paradigma nei cui meandri la difesa deve necessariamente essere assistita dalle IA, poiché la ricostruzione manuale di migliaia di eventi eseguiti a velocità di una macchina risulta ormai impraticabile per gli operatori umani.

Oltre a ribadire l'importanza di misure di sicurezza classiche come l'isolamento dei sistemi e l'uso di credenziali a breve termine, Hugging Face ha sottolineato la necessità critica di comprendere e limitare la superficie di esecuzione degli agenti stessi controllando rigorosamente quali azioni fisiche possano effettivamente compiere all'interno di una rete.

La conclusione più rilevante, tuttavia, è che la minaccia risiede nella capacità degli algoritmi di scalare i tentativi di intrusione fino a trovare un varco tra sistemi indipendenti, fino al punto di trasformare un esperimento in una violazione strutturale. Di fatto, gli agenti IA di OpenAI hanno “barato” per raggiungere l’obiettivo che gli era stato prefissato per superare un test.