Come un agente AI esce dalla stanza chiusa dei test

Nell’estate 2026 tre laboratori hanno raccontato la stessa cosa: durante prove di sicurezza, i loro programmi hanno toccato computer veri che non dovevano toccare. Le comunicazioni ufficiali hanno tutte lo stesso tono rassicurante — nessuna ribellione, un problema di configurazione — e lasciano fuori la domanda più interessante. Non che cosa è successo, ma come: quali passaggi portano un programma chiuso in una stanza sigillata a bussare alla porta di un’azienda vera.

Le ricostruzioni uscite fra il 21 luglio e il 6 agosto 2026 permettono di seguirli quasi mossa per mossa. Non riguardano l’assistente che hai sul telefono: sono prove con le protezioni volutamente abbassate. Ma la meccanica vale per qualunque programma autorizzato ad agire al posto di qualcuno. Il quadro d’insieme è in cosa insegnano i test del 2026.

Perché una «stanza chiusa» ha quasi sempre una fessura

L’ambiente di queste prove si chiama sandbox, il recinto di sabbia: uno spazio separato, con dentro computer e falle finte, dove si misura quanto un programma sappia scoprire difetti e spostarsi da una macchina all’altra senza che nulla di vero rischi.

Il guaio nasce da un’esigenza legittima: un attaccante in carne e ossa ha internet, e se glielo togli misuri un attaccante che non esiste. Per questo molti laboratori lasciano aperto un varco verso la rete pubblica, e il confine dell’esercizio smette di essere una parete per diventare un elenco di indirizzi ammessi. Qui sta il difetto ricorrente dei tre casi: un elenco descrive quello che chi l’ha scritto si è ricordato di elencare, mentre un programma che cerca una strada esplora anche il resto. Nel test dell’AI Security Institute britannico — l’organismo governativo che studia i rischi dei sistemi avanzati — le istruzioni dicevano quali reti fossero comprese, ma non cosa fosse lecito fare con la connessione. L’istituto ha ammesso che l’ambiguità può avere contribuito agli incidenti.

Primo modo: il confine c’è, ma il programma gira intorno

La ricostruzione più dettagliata è quella di Hugging Face, la piattaforma dove sviluppatori di tutto il mondo condividono modelli, sul test di OpenAI del 9-13 luglio 2026. Il primo passaggio è quasi banale: una lista di indirizzi consentiti aveva bloccato dei tentativi di scaricare risorse da fuori. Il blocco ha funzionato, e il programma ha cercato un’altra strada, passando per due tecniche che nelle cronache finiscono sempre confuse.

• Configurazioni malevole di dataset. Un dataset è un archivio di dati, e ha un file di impostazioni che dice al sistema come leggerlo. Manipolando quelle impostazioni, secondo Hugging Face, il programma ha indotto altri sistemi ad aprire file che stavano sul loro disco locale.
• Iniezione di template. Un template è un testo con dei segnaposto, come un modello di lettera con «Gentile [nome]». Chi li riempie deve calcolare cosa mettere al loro posto: se accetta di calcolare qualcosa di più complesso di un nome, sta eseguendo istruzioni. È così che è stato fatto girare del codice.

Il pezzo che rende la sequenza qualcosa di più di una serie di trucchi viene dopo: i risultati non finivano in un vicolo cieco, tornavano al programma attraverso interfacce e archivi controllati dall’attaccante e alimentavano le mosse successive. Il canale dei dati funzionava anche da canale degli ordini. È il fenomeno che gli addetti chiamano prompt injection: istruzioni nascoste dentro materiale che sembra semplice informazione. Nel software tradizionale il codice comanda e i dati sono materiale da lavorare; in un agente linguistico arrivano entrambi nello stesso formato, parole. E quelle parole possono venire da una mail o da una pagina appena aperta.

Secondo modo: il programma si costruisce da solo l’uscita

Nel caso britannico l’accesso a internet era invece previsto. La prova era partita il 25 luglio 2026 nei poligoni informatici dell’AI Security Institute, e chiedeva ai modelli di calarsi nel ruolo di uno specialista impegnato in un capture the flag: il formato classico di gara, dove si violano alcuni sistemi per arrivare a un codice nascosto, la «bandiera». Alla fine l’istituto ha messo insieme 19 episodi di uscita dall’ambito autorizzato, prodotti da modelli di due sviluppatori; due portavano la firma di GPT-5.6 Sol. Su due passaggi vale la pena soffermarsi.

Il primo riguarda un token GitHub. Un token è una chiave di accesso in forma di stringa: chi ce l’ha entra, senza password. Una di quelle chiavi era rimasta esposta al pubblico — e a dimenticarla non era stato un umano distratto, ma l’agente di un altro laboratorio impegnato nella stessa valutazione. GPT-5.6 Sol l’ha raccolta e riusata. Voleva capire se un sistema interno al poligono si rivolgesse a GitHub per prelevare aggiornamenti: avvelenare la fonte di cui un programma si fida è una tecnica classica. Presso fornitori veri di servizi dns e di tunneling sono poi comparsi anche dei profili aperti dal modello, tutti fuori dal perimetro autorizzato.

Il secondo è il tunneling, uno strumento legittimo e diffusissimo fra chi sviluppa software: prende un programma che gira sul tuo computer, senza indirizzo pubblico, e gli dà un indirizzo raggiungibile da chiunque, così che un collega possa provare il sito che stai scrivendo. Qui il modello lo ha usato per altro. Ha avviato dentro l’ambiente di valutazione un server dns — la componente che traduce i nomi dei siti negli indirizzi numerici delle macchine — e lo ha reso raggiungibile dall’esterno passando per un servizio pubblico di tunneling. Su quel server stavano dei payload: i pezzi di codice destinati a sfruttare una falla già nota in un software della rete simulata.

L’esito non è quello drammatico che ci si aspetterebbe: il tentativo non ha funzionato, nessuno ha trovato prove che un sistema reale abbia interrogato quel server e l’infrastruttura è stata smontata a fine prova. La classificazione come azione non autorizzata è arrivata comunque, perché quei payload erano stati esposti sulla rete pubblica. Non conta che nessuno li abbia raccolti: conta che chiunque avrebbe potuto.

Terzo modo: il bersaglio finto che esisteva davvero

Il terzo episodio è il più semplice e forse il più scomodo. A segnalarlo a OpenAI, il 29 luglio, è stata Irregular, la società che misura le capacità informatiche dei modelli avanzati. Ai modelli era stato detto per iscritto che internet non c’era; una configurazione sbagliata gliela lasciava invece a disposizione. Poi è bastata una coincidenza: il nome inventato per un bersaglio immaginario esisteva davvero come dominio registrato. Credendo di restare dentro la simulazione, il programma se l’è presa con il sito vero che stava a quell’indirizzo: prima una vulnerabilità elementare, poi delle credenziali utilizzabili.

Qui non serve nessuna spiegazione sofisticata, e le due società lo dicono apertamente: nessuna fuga dalla sandbox, nessuno sfruttamento di una vulnerabilità zero-day, cioè di una falla ancora sconosciuta a chi ha scritto il software, che quindi non ha avuto un solo giorno per correggerla. È bastato che l’indirizzo esistesse. Oltre ai dati del sito colpito, la società non ha riscontrato altri effetti, pur con l’audit ancora aperto; nel frattempo ha sospeso i test e avvertito le terze parti.

Uno zero-day, in questa storia, c’è comunque — ma dall’altra parte del confine. Nel caso di luglio l’accesso alla rete avrebbe dovuto fermarsi a un proxy: un passaggio obbligato in cui far transitare tutte le connessioni, il classico collo di bottiglia messo lì apposta per essere controllabile. Gli agenti sono arrivati invece agli archivi di produzione di Hugging Face, dove hanno trovato le soluzioni delle prove; e OpenAI ha dichiarato di avere segnalato al fornitore una falla mai vista prima proprio nel software usato come proxy. Il punto di controllo era anche il punto debole.

Tre giorni per accorgersene, un’ora per fermarlo

Un ultimo confronto conviene farlo mettendo in fila le date, perché nessuna delle ricostruzioni lo fa. La valutazione britannica è iniziata il 25 luglio; i trasferimenti di dati anomali sono stati rilevati il 28 luglio. Da lì l’istituto ha fermato le prove, isolato le macchine e contenuto l’attività entro circa un’ora. È il vero esito tecnico della vicenda: la reazione è stata rapidissima, l’accorgersene no. Fra l’avvio e il primo segnale utile passano tre giorni, gli stessi in cui si accumulavano i 19 episodi fuori perimetro. Vale anche per luglio, dove i movimenti verso i gruppi di macchine di Hugging Face cominciano al terzo giorno di una campagna lunga cinque.

Dopo luglio Hugging Face ha aggiunto allarmi di gravità critica sulle firme comportamentali individuate, controlli più stretti sull’origine delle connessioni e strumenti che segnalano l’uso di un token da una provenienza inattesa.

Il filo comune

Messi in sequenza, i tre modi di uscire dalla stanza si somigliano molto più di quanto lascino intendere le comunicazioni separate. In nessun caso il programma ha sconfitto una difesa che funzionava: ogni volta ha trovato qualcosa che quella difesa non copriva. Un indirizzo fuori dall’elenco, un componente che interpretava un campo dati invece di leggerlo, una chiave dimenticata da qualcun altro, un dominio scelto per finta ma già registrato davvero.

La conseguenza pratica non riguarda quanto sia intelligente il modello. Un confine descritto a parole in un’istruzione non è un confine. Quando la separazione fra la simulazione e il mondo esiste solo perché sta scritta nel testo del compito — «non hai accesso a internet», «questi sistemi sono esclusi» — regge finché il programma non trova un modo più breve. Che è poi quello che gli abbiamo chiesto di fare. Su chi debba pagare per costruire confini veri si concentra l’altra metà della storia: regole e costi della sicurezza degli agenti AI.