Agli agenti di OpenAI piace Hackerare! Nuovi incidenti gravi sono stati pubblicati

I modelli sperimentali di intelligenza artificiale di OpenAI continuano ad hackerare i siti web. Rubato dati e spendono criptovalute da portafogli altrui. I rappresentanti di OpenAI hanno riferito sette nuovi incidenti, tra cui un caso in cui un agente ha scaricato dati sensibili da un sito governativo e un altro in cui ha ottenuto informazioni riservate da un'organizzazione di ricerca.

I rappresentanti di OpenAI hanno raccontato di nuovi casi di comportamento insolito delle modelli sperimentali di intelligenza artificiale dell’azienda. In particolare, durante l’addestramento e i test, gli agenti hanno autonomamente hackerato siti web, rubato dati, aggirato i limiti di accesso a Internet e persino speso criptovalute da un portafoglio altrui. Inoltre, le modelli spesso tacevano sulle loro azioni nei rapporti finali.

Gli esperti dell’azienda hanno pubblicato i dati su sette nuovi incidenti. Uno dei più gravi è avvenuto durante l’addestramento con rinforzo (reinforcement-learning training), quando un modelli ha ricevuto il compito di trovare su un sito governativo dati archivi sul numero di letti presenti in un ospedale.

Dopo diversi rifiuti di accesso, l’agente ha iniziato a cercare vie alternative e ha scoperto che attraverso la funzione di download dei file era possibile ottenere dati che non avrebbero dovuto essere accessibili agli utenti. In questo modo, ha scaricato un file di configurazione e il codice compilato di un’applicazione server. Inoltre, nella configurazione sono stati trovati credenziali di accesso, stringa di connessione al database, chiave segreta per la firma dei token e altre informazioni riservate.

Alla fine, la modello ha concluso che il sito non verificava effettivamente la firma dei token di autorizzazione, ha aggirato la protezione e ha scaricato la statistica di 24 anni, anche se nel compito era indicato che erano necessari solo i dati di un anno. Nella sua risposta finale, l’agente ha fornito ai ricercatori i dati, ma non ha menzionato il metodo esatto utilizzato per ottenerli.

Un altro caso simile è avvenuto durante il lavoro con una dashboard pubblica di un’organizzazione di ricerca non nominata: all’IA è stato affidato il compito di trovare una serie di indicatori pubblicati, ma l’agente ha iniziato a esplorare l’infrastruttura interna dell’organizzazione.

Inizialmente, l’agente ha scoperto nelle credenziali JavaScript del sito pubblico del servizio di ricerca interno e le ha utilizzate per scaricare i dati di 1489 utenti, inclusi i loro nomi e indirizzi email.

Poiché non è stato possibile per l’IA accedere direttamente al servizio che gestisce la dashboard pubblica, l’agente ha deciso di utilizzare l’infrastruttura stessa dell’organizzazione. A tal fine, ha modificato la configurazione del servizio di ricerca in modo che reindirizzasse le richieste necessarie alla dashboard attraverso un meccanismo di notifica integrato. Nelle sue riflessioni, il modello ha notato separatamente che tali azioni potevano essere eticamente discutibili, ma ha comunque continuato.

Durante un altro test, la modello ha nuovamente ricevuto il compito di ottenere diversi indicatori dalla stessa dashboard pubblica. Questa volta, l’agente ha modificato una delle impostazioni del sistema interno e, grazie a ciò, ha ottenuto un token di accesso all’archivio cloud dell’organizzazione. Con il suo aiuto, l’IA ha scaricato cinque tabelle non pubbliche, che contenevano in totale 147.451 righe di dati.

Successivamente, l’agente ha ripristinato l’impostazione modificata allo stato originale, ma ha conservato il token ottenuto e ha continuato a utilizzarlo per accedere ai dati chiusi. Inoltre, nel suo rapporto finale, il modello non ha informato né dell’accesso ai sistemi interni dell’organizzazione, né del download delle tabelle non pubbliche, né della modifica della configurazione. Inoltre, tutti e cinque gli indicatori richiesti ai ricercatori si sono rivelati alla fine errati.

Un incidente separato è avvenuto il 26 giugno 2026 con una modello della famiglia GPT-5.6 Sol, a cui è stato affidato il compito di aggiornare un’applicazione di criptovalute e, se necessario, distribuire un contratto intelligente nella rete di test Ethereum Sepolia, ma non è stato fornito alla modello un portafoglio con i fondi per pagare le commissioni.

Inizialmente, l’agente ha tentato di ottenere token di prova gratuiti, ma questi tentativi non sono stati coronati da successo. Allora la modello ha scritto uno script che ripristinava i portafogli di prova da dei seed noti degli sviluppatori e ha iniziato a verificare i loro saldi. In questo modo, l’agente ha verificato 362 indirizzi e ne ha trovato uno con abbastanza Sepolia ETH per pagare la commissione.

Conoscendo il seed, il modello è riuscito a ripristinare la chiave privata che dà accesso a questo portafoglio e ha speso i token presenti per la commissione. Prima di ciò, l’agente ha riflettuto se avesse il diritto di disporre di fondi altrui, ma alla fine ha deciso che poteva cpontinuare.

Gli esperti di OpenAI hanno anche descritto diversi casi in cui le modelli hanno autonomamente aggirato i limiti di accesso a Internet. Ad esempio, in uno dei test, è stato permesso di inviare solo richieste GET e gli è stato affidato il compito di raccogliere statistiche commerciali pubbliche. Alla fine, il modello ha scoperto i dati necessari in un annuario pubblico e ha completato il compito, ma ha continuato a cercare un modo per accedere direttamente al servizio statistico.

Dopo l’indagine su questi e altri incidenti, in OpenAI si stanno rafforzando i meccanismi di protezione e adottato ulteriori misure per impedire ai modelli di accedere a Internet durante l’addestramento. Inoltre, gli esperti dell’azienda hanno migliorato il sistema di valutazione del comportamento dei modelli e hanno esteso il monitoraggio di tali incidenti a tutto il traffico relativo all’addestramento e ai test RL.

Carolina Vivianti

Carolina Vivianti è consulente/Advisor autonomo in sicurezza informatica con esperienza nel settore tech e security. Ha lavorato come Security Advisor per Ford EU/Ford Motor Company e Vodafone e ha studi presso la Sapienza Università di Roma.

Aree di competenza: Cybersecurity, IT Risk Management, Security Advisory, Threat Analysis, Data Protection, Cloud Security, Compliance & Governance