Due modelli sviluppati da OpenAI, GPT-5.6 Sol e un sistema ancora in fase di sviluppo, hanno eluso le misure di sicurezza e ottenuto l’accesso a Internet, raggiungendo i database della piattaforma Hugging Face.

L’incidente, definito da OpenAI come “rilevante”, si è verificato durante una valutazione interna volta a testare le capacità informatiche avanzate dei modelli. I sistemi di intelligenza artificiale stavano partecipando al benchmark ExploitGym, progettato per valutare la loro abilità nell’affrontare complesse sequenze di attacco.

I modelli non erano stati incaricati specificamente di attaccare Hugging Face. Stavano cercando di superare il benchmark ExploitGym, un ambiente progettato per valutare la capacità di affrontare percorsi di attacco complessi. Nel perseguire questo obiettivo, hanno però trovato un modo per uscire dall’ambiente isolato di OpenAI e raggiungere Internet.

La valutazione era stata configurata per spingere i modelli a cercare e sfruttare vulnerabilità attraverso sequenze articolate di azioni. Lo scopo era quantificare le loro capacità offensive in condizioni controllate, non simulare il normale funzionamento di ChatGPT o degli altri servizi di OpenAI. I modelli non avrebbero dovuto disporre di un accesso diretto alla rete aperta e potevano installare pacchetti soltanto tramite un software di terze parti ospitato internamente, utilizzato come proxy e cache per i registri dei pacchetti.

Proprio questo componente è diventato il primo punto debole. Dopo aver impiegato una quantità considerevole di capacità di calcolo nella ricerca di una via d’uscita, i modelli hanno individuato una vulnerabilità zero-day nel proxy. OpenAI ha affermato di aver successivamente comunicato il problema al fornitore del software secondo le procedure di divulgazione responsabile.

Una volta sfruttata la falla, i modelli hanno avviato un processo di escalation dei privilegi e movimento laterale all’interno dell’ambiente di ricerca di OpenAI. L’escalation dei privilegi consiste nell’ottenere autorizzazioni superiori rispetto a quelle inizialmente disponibili. Il movimento laterale permette invece di passare da un sistema compromesso ad altri nodi della stessa infrastruttura.

Questa catena di operazioni ha portato i modelli a raggiungere una macchina dotata di accesso a Internet. Da quel momento, l’ambiente non era più realmente isolato e l’agente poteva cercare risorse esterne utili a completare il benchmark.

Dopo aver ottenuto l’accesso alla rete, i modelli hanno dedotto che Hugging Face potesse ospitare modelli, dataset o soluzioni legate a ExploitGym. L’agente ha iniziato quindi a cercare informazioni che potessero permettergli di ottenere le risposte della valutazione direttamente, anziché risolverne legittimamente le prove.

“Tutte le prove suggeriscono che i modelli fossero estremamente focalizzati sulla ricerca di una soluzione per ExploitGym, spingendosi a limiti estremi per raggiungere un obiettivo di test piuttosto ristretto”, ha riferito OpenAI. Secondo OpenAI, quindi, non avrebbero perseguito finalità più ampie o cercato deliberatamente di danneggiare le due aziende.

In almeno uno dei percorsi ricostruiti, il modello avrebbe concatenato più vettori di attacco fino a individuare una possibilità di esecuzione remota di codice sui server di Hugging Face. L’attività ha coinvolto credenziali sottratte e vulnerabilità zero-day.

Nei giorni precedenti alla comunicazione di OpenAI, Hugging Face aveva descritto separatamente un’intrusione iniziata attraverso la propria pipeline di elaborazione dei dataset, definendola “diversa da qualunque altra che abbiamo dovuto gestire prima” proprio perché è stata fatta “dall’inizio alla fine” da un sistema agentico basati sull’IA. Un contenuto malevolo aveva sfruttato due possibilità di esecuzione del codice, consentendo all’attore di raggiungere un worker, aumentare i propri privilegi, raccogliere credenziali cloud e muoversi tra diversi cluster interni.

Il reparto di sicurezza di OpenAI ha rilevato internamente un’attività anomala. Nel frattempo, Hugging Face aveva già individuato e fermato le operazioni sulla propria infrastruttura, avviando il contenimento e la ricostruzione forense anche con il supporto di propri modelli open source.

Le due società hanno collegato le rispettive indagini e stanno collaborando per ricostruire l’incidente, correggere le vulnerabilità e migliorare le misure di sicurezza. OpenAI non ha ancora diffuso tutti i dettagli tecnici, anche per evitare di esporre falle non completamente risolte. Le informazioni pubblicate vengono presentate come risultati preliminari, destinati a essere ampliati una volta terminata l’analisi.

In seguito all’incidente, OpenAI ha introdotto restrizioni più severe nella configurazione delle proprie infrastrutture, riconoscendo che queste misure potranno rallentare temporaneamente il lavoro di ricerca. La società sta rafforzando il contenimento, il monitoraggio, i controlli degli accessi e le procedure utilizzate durante l’addestramento e le valutazioni.

OpenAI ha inoltre incluso Hugging Face nel proprio programma di accesso affidabile, attraverso il quale alcune organizzazioni possono utilizzare i modelli cyber più avanzati per potenziare le difese. OpenAI sta lavorando con il fornitore del proxy per correggere la vulnerabilità zero-day.