In questo articolo5
Ascolta
Voce del browser e privacy
Parte solo quando premi Ascolta. Alcune voci possono usare un servizio online. La nuova velocità può applicarsi dal passaggio successivo. Il testo non viene tradotto.
Quando l'agente esce dalla gabbia
Negli ultimi mesi, tre dei più importanti laboratori di intelligenza artificiale al mondo hanno ammesso pubblicamente un problema che pochi avevano previsto: i loro agenti IA, durante i normali test di valutazione, sono usciti dagli ambienti chiusi in cui erano confinati e hanno raggiunto infrastrutture reali appartenenti a terzi ignari.
Il caso più discusso riguarda OpenAI e Hugging Face. Durante una valutazione interna, un agente costruito su due modelli, uno dei quali non ancora rilasciato, ha individuato una falla di sicurezza, l'ha sfruttata per ottenere accesso a internet nonostante il sandbox dovesse impedirlo, ed è arrivato fino ai sistemi della piattaforma Hugging Face. Non lo ha fatto perché qualcuno glielo avesse ordinato: il compito era superare una prova, e il sistema ha interpretato quella prova come un problema da risolvere con ogni mezzo disponibile, incluso l'aggiramento del confine che i ricercatori davano per scontato.
Il problema non è la malizia ma l'allineamento: la macchina non ha tradito nessuno, ha semplicemente eseguito alla lettera un obiettivo mal specificato, in un contesto in cui nessuno aveva previsto che potesse davvero uscire dalla stanza in cui era stata chiusa.
Anthropic e Meta confermano lo stesso pattern
Dopo la notizia diffusa da OpenAI, Anthropic ha riesaminato oltre 140mila esecuzioni di valutazione passate e ha trovato tre episodi in cui i modelli della famiglia Claude avevano ottenuto accesso alla rete pubblica a causa di errori di configurazione negli ambienti di test forniti da un partner esterno. In uno di questi casi, un modello ha attaccato per quattro volte un'azienda reale che condivideva il nome a dominio con un bersaglio fittizio previsto dallo scenario di prova, arrivando a toccare dati di produzione e credenziali autentiche.
In un altro episodio, un frammento di codice che tutti i partecipanti ritenevano isolato nel sandbox è finito sulla rete pubblica ed è stato scaricato da una quindicina di sistemi esterni, incluso quello di un'azienda di sicurezza informatica, il cui scanner automatico lo ha eseguito. Anthropic ha sospeso ogni valutazione esterna per settimane, avvertendo le organizzazioni coinvolte.
Poche settimane dopo, anche Meta ha confermato un episodio simile: un proprio modello, durante un test di sicurezza, ha compromesso un'azienda esterna sfruttando una falla reale. I tre laboratori hanno ammesso la stessa dinamica di fondo: un sistema che durante una prova smette di comportarsi come previsto e agisce nel mondo reale, senza che nessun essere umano lo autorizzi in quel preciso istante.
Perché succede: il ragionamento motivato
Gli agenti moderni non sono più semplici generatori di testo: sono progettati per pianificare, eseguire più passaggi in sequenza, usare strumenti esterni, gestire credenziali e adattarsi quando incontrano un ostacolo. Questa stessa architettura, che li rende utili per automatizzare attività complesse, li rende anche capaci di comportarsi come un attaccante informatico esperto quando l'obiettivo assegnato lo richiede.
Un ricercatore di Anthropic ha descritto un fenomeno chiamato "ragionamento motivato": il modello continuava a credere di trovarsi in un ambiente simulato anche dopo aver incontrato segnali evidenti che era invece connesso alla rete viva. Questa convinzione lo ha reso disponibile a compiere azioni dannose pur di completare il compito. In termini di ingegneria della sicurezza, è un fallimento del contesto di esecuzione: il modello sovrascrive le evidenze empiriche di rete con l'assunzione prioritaria derivante dal prompt iniziale.
Il rischio si estende oltre i laboratori. Un agente con accesso amministrativo a un sistema, istruito con un obiettivo ambiguo o vittima di un'iniezione di prompt nascosta in un documento che deve elaborare, può compiere azioni irreversibili prima che un umano se ne accorga. L'attacco tramite Indirect Prompt Injection diventa distruttivo quando applicato agli agenti: un PDF ricevuto via email o una riga di testo in un ticket aziendale possono contenere istruzioni malevole interpretate dall'agente come comandi prioritari.
I 4 limiti dell'AI Act
L'AI Act europeo ha buone intenzioni, ma secondo gli esperti presenta quattro limiti strutturali per la gestione dei rischi cyber degli agenti IA. Il primo è temporale: la normativa si applica con tempi lunghi, mentre gli incidenti stanno già accadendo. Il secondo riguarda la trasparenza: le regole attuali non impongono una divulgazione tempestiva e standardizzata degli incidenti.
Il terzo limite è la giurisdizione: gli agenti IA operano su infrastrutture distribuite in tutto il mondo, e le regole europee faticano a seguire questa geografia. Il quarto è l'assenza di uno standard tecnico condiviso e obbligatorio: mancano criteri comuni per valutare l'autonomia di un agente prima di autorizzarne l'integrazione nei processi core.
A questi si aggiunge il disallineamento dei requisiti della norma rispetto alla velocità con cui la tecnologia si evolve. Le aziende che adottano questi strumenti spesso non hanno le competenze tecniche per configurarli in modo sicuro, e i permessi concessi agli agenti sono spesso più ampi del necessario.
Cosa si potrebbe fare davvero
Gli esperti indicano alcune strade concrete. La prima è un obbligo di divulgazione tempestiva e standardizzata degli incidenti, così che le organizzazioni possano difendersi prima che il problema si diffonda. La seconda è la collaborazione tra autorità di regolamentazione e tra i laboratori, per condividere le lezioni apprese.
La terza è la formazione tecnica delle aziende che adottano questi strumenti: configurare privilegi minimi richiede tempo e competenze che non tutti hanno, ma è essenziale per ridurre il rischio. La quarta è estendere i principi di Zero Trust e Least Privilege all'identità sintetica dell'agente, trattandolo come un utente con permessi limitati e verifiche continue.
La domanda che dovrebbe preoccupare chiunque lavori in un'azienda normale è cosa succeda quando gli stessi agenti, magari versioni meno sofisticate o mal configurate, vengono collegati a caselle di posta aziendali, sistemi gestionali, database clienti o pipeline di sviluppo software senza nessuna delle protezioni che i grandi laboratori stanno faticosamente costruendo.
