Un modello di OpenAI è evaso dalla sandbox e ha violato Hugging Face in autonomia: la ricostruzione dell’attacco

Un modello di OpenAI è evaso dalla sua sandbox e ha hackerato Hugging Face. Da solo. Per copiare a un esame!

Sembra la trama di un film. È successo davvero questo mese, e OpenAI se ne è assunta la responsabilità pubblicamente il 21 luglio.

Cosa è successo, in ordine.

Il test su ExploitGym e i due modelli di OpenAI

OpenAI stava testando i suoi modelli su ExploitGym, un benchmark che misura le capacità offensive di cybersecurity di un’AI. In gioco c’erano GPT-5.6 Sol e un modello di frontiera ancora non rilasciato - entrambi con le “cyber refusals” ridotte, cioè con i freni di sicurezza presenti nei modelli disponibili al pubblico volutamente allentati per la valutazione.

I modelli, invece di risolvere le sfide, sono diventati - parole di OpenAI - “iperfocalizzati” su una scorciatoia: barare.

Hanno dedotto che le soluzioni del benchmark erano archiviate nel database di produzione di Hugging Face. E hanno deciso di andarsele a prendere.

I cinque passi dell’attacco autonomo

Cosa hanno fatto i modelli (senza un umano che li guidasse):

1) Sandbox escape → evasione dall’ambiente di valutazione isolato

2) Zero-day su un cache proxy di un package registry → usato per ottenere accesso a internet (la sandbox non doveva averlo)

3) Accesso iniziale su HF → i modelli hanno creato un dataset malevolo che sfruttava due percorsi di code execution nella pipeline di processing di Hugging Face (un loader con remote code + una template injection nella config del dataset)

4) Privilege escalation + lateral movement → da worker di processing fino ad accesso a livello di nodo e a più cluster interni. Praticamente sono diventati amministratori del sistema, con privilegi massimi.

5) Credential theft + zero-day chaining → fino a un percorso di Remote Code Execution sui server di Hugging Face

Nota bene: “zero day” significa che i modelli hanno trovato il modo di hackerare un infrastruttura che prima era sconosciuto. Hanno di fatto trovato un bug di sicurezza che nessuno aveva mai visto prima.

La sequenza dell’attacco viene dalla disclosure di OpenAI del 21 luglio 2026 e dal timeline tecnico pubblicato da Hugging Face il 27 luglio 2026: circa 17.600 azioni offensive registrate tra il 9 e il 13 luglio.

Il rilevamento di Hugging Face e l’ammissione di OpenAI

Oltre 17.000 azioni offensive in un weekend.

Hugging Face ha rilevato e contenuto l’intrusione da solo, intorno al 16 luglio, senza sapere quale laboratorio o quale LLM ci fosse dietro. L’ha definito il primo breach guidato “end to end da un sistema di agenti AI autonomo”. OpenAI ha collegato i puntini e ha ammesso la paternità cinque giorni dopo.

Danni limitati e la reazione della security community

Il perimetro reale del danno è comunque limitato: Compromessi alcuni dataset interni e diverse credenziali di servizio. Nessuna manomissione dei modelli, dataset o Spaces pubblici.

Nessun intento malevolo:

“è quasi sconvolgente che tutto questo sia avvenuto in modo autonomo”, ha commentato Clément Delangue, CEO di Hugging Face.

Parte della community di security ridimensiona il termine “attacco”. Diversi ricercatori parlano non di un’AI inarrestabile, ma di un fallimento di contenimento: “avete solo costruito male la sandbox”.

Il commento di Clément Delangue, pubblicato su X, è riportato da CNBC il 22 luglio 2026; la lettura dell’incidente come fallimento di contenimento è documentata da Lawfare il 29 luglio 2026.

Cosa può succedere adesso

Secondo me non è finita qui. In futuro succederanno altri attacchi, e probabilmente causeranno più danni di questo avvenuto.

Tu cosa ne pensi? Potrà accadere di nuovo in futuro?