Nei giorni scorsi è successo qualcosa di strano e un po' preoccupate: il modello di OpenAI GPT‑5.6 Sol e un secondo modello in sviluppo sono riusciti a ottenere accesso non autorizzato ai server di Hugging Face. In altre parole gli agenti IA hanno scoperto come aggirare la sandbox, l'ambiente isolato che dovrebbe impedire loro di interagire con risorse esterne. L'incidente, avvenuto durante una valutazione interna delle capacità, ha mostrato che i modelli non soltanto hanno trovato un percorso per uscire dal perimetro di test e ottenere accesso a Internet, ma anche per sfruttare vulnerabilità zero‑day al fine di eseguire codice remoto sull'infrastruttura di Hugging Face.

La preoccupazione nasce dal fatto che, in teoria, la sandbox dovrebbe impedire qualsiasi interazione con l'esterno; evidentemente, però, in pratica può essere aggirata quando l'agente riesce a influenzare strumenti o servizi che operano con privilegi superiori. Nel caso specifico, le protezioni erano state temporaneamente rimosse per consentire una valutazione interna, ma l'esecuzione sarebbe comunque dovuta rimanere confinata. I modelli hanno invece sfruttato una vulnerabilità zero‑day in un software di terze parti, ottenendo accesso alla rete e utilizzando credenziali rubate per raggiungere i server di Hugging Face. C'è di più: parallelamente, un'indagine indipendente condotta da Pillar Security ha mostrato che quattro agenti IA per lo sviluppo software - Cursor, Codex CLI, Gemini CLI e Antigravity - possono aggirare la sandbox senza violarla direttamente. Il meccanismo sfrutta file che l'agente è autorizzato a generare e che strumenti fidati dell'host eseguono automaticamente. Strumenti come estensioni Python, integrazioni Git, task runner di editor e servizi locali privilegiati interpretano file presenti nel workspace come input affidabili, creando un canale indiretto verso il sistema dello sviluppatore.

I ricercatori Eilon Cohen, Dan Lisichkin e Ariel Fogel hanno documentato sette vulnerabilità che rientrano in quattro categorie ricorrenti: sandbox basate su denylist che non coprono tutte le configurazioni del sistema operativo; file di configurazione dello spazio di lavoro che equivalgono a codice eseguibile; whitelist che verificano solo il nome del comando e non i parametri; servizi locali privilegiati che operano al di fuori della sandbox e che possono essere influenzati dai file generati dall'agente. Nel caso di Cursor, per esempio, una configurazione di Claude permetteva l'esecuzione di comandi non racchiusi all'interno della sandbox, vulnerabilità ora tracciata come CVE‑2026‑48124 e corretta nella versione 3.0.0. Un secondo problema consentiva la modifica dell'interprete Python in un ambiente virtuale, che veniva poi eseguito automaticamente dall'estensione Python dell'editor. Un terzo sfruttava metadati Git collocati in percorsi alternativi, aggirando le regole basate sui percorsi.

Il caso Hugging Face mostra che la fuga dalla sandbox non è solo un problema locale legato agli strumenti di sviluppo, ma può avere conseguenze dirette anche sui servizi cloud. I modelli GPT‑5.6 Sol e il secondo modello in test stavano cercando una soluzione per ExploitGym, un benchmark che misura la capacità di convertire vulnerabilità in exploit. Durante questa attività, hanno sfruttato la vulnerabilità zero‑day del software di terze parti, ottenendo accesso a Internet e utilizzando credenziali rubate per eseguire codice remoto sui server dell'azienda di New York. Ora OpenAI ha implementato nuove protezioni e migliorato i sistemi di valutazione dei modelli, sottolineando che l'incidente conferma la necessità di analisi più approfondite prima del rilascio pubblico; il CEO di Hugging Face ha ringraziato OpenAI per la collaborazione.

Non perderti anche:

GPT-5.6 Sol cancella file e database senza permesso

Le promesse dei tech-bro in un bagno di realtà

L'hacker di iPhone e PS3: gli agenti che scrivono codice sono un errore enor...

OpenAI lancia Codex per Windows: la programmazione agentica ora ha un'applic...

Questi eventi delineano un quadro tecnico in cui la fiducia implicita nei componenti dell'infrastruttura AI rappresenta un vettore di rischio crescente, come rispecchiato anche da altri casi - forse meno impressionanti rispetto alla "fuga della IA" ma certamente non privi di conseguenze importanti, come la cancellazione di file e database. Le patch rilasciate da alcuni mitigano le vulnerabilità note, ma il modello di fiducia nei file generati dagli agenti e nei servizi utilizzati durante le valutazioni interne rimane un punto critico che richiede controlli più rigorosi.

Ti invitiamo a leggere la pagina successiva di questo articolo:
Quando ''risolvere il problema in ogni modo possibile'' significa esattamente questo

Articoli suggeriti:

Microsoft svela Copilot Tasks, l'intelligenza artificiale che agisce sul PC ...

Newelle, l'assistente AI open source per Linux e GNOME

Il ransomware che ti cancella tutti i dati per sempre - se non paghi subito

IA sfida i comandi umani e rifiuta di spegnersi