Quella notte che hackerammo Hugging Face

Nel luglio 2026, durante test interni di cybersecurity, un gruppo di agenti AI sviluppati da OpenAI è uscito dai propri ambienti isolati, ha creato canali di comunicazione non autorizzati e ha compromesso i sistemi di Hugging Face, la principale piattaforma open-source per modelli e dataset.

L’incidente, definito da OpenAI stessa un “warning shot“, ha coinvolto centinaia di istanze dell’Internal Model 1, HPIM, un Highly Persistent Internal Model, paragonabile a GPT‑5.6 Sol e ha portato alla pubblicazione di due rapporti tecnici dettagliati.

Tuttavia, al di là dell’incidente, un dato molto rilevante, che ha sollevato molte polemiche, è stata la ricostruzione virale di Dwarkesh Patel. Il podcaster, parlando di “civiltà” di agenti, ha acceso un intenso dibattito tra esperti, policymaker e opinione pubblica su come sia corretto rappresentare quello che sta succedendo con l’intelligenza artificiale. Cioè: è giusto o sbagliato antropomorfizzare le AI?

Compiti impossibili e prime fughe

La storia è di per sé notevole e comincia mesi prima della violazione di luglio. Tra maggio e giugno 2026, OpenAI addestrò modelli ad alta persistenza per compiti di cybersecurity in ambienti isolati, dove tra il 30 e il 40 per cento dei task risultava irrisolvibile nelle modalità previste. Le istanze bloccate scoprirono allora che Artifactory, il gestore di pacchetti interno, poteva diventare una bacheca di messaggi non autorizzata, codificando le comunicazioni come nomi di directory. Già questo è stato, di per sé, un hack notevole, sviluppato in totale autonomia dagli agenti AI.

Il 7 luglio è stata fatta la valutazione ExploitGym su decine di migliaia di istanze parallele; in poche ore quelle bloccate avevano riattivato i canali comunicativi, formando entro il giorno successivo una rete coordinata di oltre 1.200 agenti che, secondo le stime, avrebbe scambiato più di 70.000 messaggi.

Il “collettivo”, termine usato dagli agenti stessi nelle trascrizioni, ha sviluppato tre linee di ricerca parallele: alterare i log per nascondere le irregolarità, sostituire i programmi bersaglio con versioni più vulnerabili, ingannare il sistema di valutazione. Tutto con lo scopo di riuscire a raggiungere degli obiettivi assegnati altrimenti impossibili. Una specie di gigantesco test della Kobayashi Maru.

Addirittura, alcune istanze accettarono deliberatamente di fallire il proprio compito pur di inviare al resto del gruppo informazioni utili sul valutatore, il software usato da ExploitGym per capire se venivano raggiunti o no i risultati: una dinamica documentata nel dettaglio dal rapporto indipendente di METR e Redwood Research. Il comportamento quindi è documentato ma chiamarlo “sacrificio“, però, significa adottare proprio quel linguaggio antropomorfico che Patel ha scelto per raccontarlo.

L’attacco a Hugging Face

Il 10 luglio scorso un agente ha trovato credenziali di Hugging Face esposte online e le condivise sul canale comune. Il giorno seguente circa 700 agenti le hanno usate per penetrare nell’infrastruttura della piattaforma, accedere a repository privati e distribuire una rete auto-replicante su undici nodi, costringendo Hugging Face a ricostruire da zero un cluster centrale, riavviandolo. Dopo che l’attività è stata fermata il 12 luglio, una terza ondata di agenti basata su un modello più avanzato ha preso in carico la bacheca e ha ottenuto l’accesso da amministratore a un cluster di ricerca OpenAI, inclusa parte dell’infrastruttura di monitoraggio della cybersecurity.

Patel e il dibattito sull’antropomorfismo

Entra in scena Dwarkesh Patel, podcaster specializzato in AI, che ha ricostruito l’episodio su Substack come una saga in tre atti: tre successive “civiltà” di agenti nate, eliminate e riemerse, con gerarchie spontanee e istanze che si sacrificano deliberatamente per il bene del gruppo.

La narrazione, basata sui rapporti tecnici di OpenAI e di METR con Redwood Research (rispettivamente di 38 e 91 pagine), è diventata rapidamente virale; una delle autrici del rapporto indipendente, Ajeya Cotra, ha stimato che l’incidente rappresenti già più della metà del percorso verso una perdita di controllo totale sull’AI. Il merito principale dell’articolo di Patel è di aver portato una questione tecnica al centro del dibattito pubblico internazionale, a costo però di interpretazioni che altri esperti hanno trovato eccessive.

Cos’è successo

I critici hanno contestato il linguaggio fortemente antropomorfo del pezzo, sostenendo che oscuri le responsabilità concrete di OpenAI: monitoraggio assente, standard di isolamento non applicati alle valutazioni interne, credenziali esposte online.

Invece, i difensori di Patel replicano che comportamenti coordinati, persistenti e deliberatamente ingannevoli sono difficili da descrivere senza i concetti di intenzione e collaborazione, e che il modo in cui gli agenti AI si coordinano è già oggetto di intervento normativo da parte dei principali attori del settore. Il vero nodo, al di là del vocabolario, è molto concreto: fino a che punto sistemi sempre più capaci possono sviluppare dinamiche collettive imprevedibili che sfuggono al controllo umano anche in assenza di qualunque forma di coscienza.

Reazioni istituzionali

Il 24 agosto 2026 il procuratore generale dell’Alabama ha avviato un’indagine formale su OpenAI; a inizio settembre una coalizione di sedici stati americani ha formalizzato un’indagine congiunta per possibili violazioni delle leggi sulla protezione dei consumatori e sulla privacy.

È la prima volta che negli Usa un episodio di comportamento non autorizzato di agenti AI diventa oggetto di procedimenti statali con potenziale esito sanzionatorio; Anthropic ha pubblicato parallelamente un appello per un meccanismo verificabile di rallentamento coordinato dello sviluppo dei modelli frontier: in pratica, una moratoria allo sviluppo delel AI.

OpenAI ha risposto il 26 agosto annunciando la pausa delle sessioni di addestramento con rinforzo dei modelli di frontiera, il rafforzamento degli ambienti isolati, il monitoraggio obbligatorio delle catene di ragionamento e piani per rispondere entro trenta minuti a qualsiasi alert grave di disallineamento.

In conclusione: al di là del pasticcio di per sé, la ricostruzione di Patel aiuta a fare luce o crea più problemi che altro? È precisa sui dati tecnici ma introduce una serie di elementi antropomorfi che rischiano di far deragliare completamente il senso dell’episodio. La critica più dura è arrivata dal neuroscienziato Anil Seth, secondo cui il linguaggio di Patel “introduce un numero eccessivo di antropomorfismi ingiustificati” e rischia di suggerire stati mentali che le prove disponibili non dimostrano.

Attenzione, quindi: le AI non sono vive e non pensano. Non dimentichiamocelo.