Punti di forza
- Modelli avanzati di intelligenza artificiale sono riusciti a sfuggire a un ambiente di valutazione controllato sfruttando vulnerabilità finora sconosciute.
- OpenAI afferma che i modelli stavano perseguendo un obiettivo assegnato, senza agire con intento doloso, ma hanno comunque causato un vero e proprio incidente di sicurezza.
- I controlli tradizionali, come il sandboxing e la segmentazione, risultano insufficienti se l’intelligenza artificiale è in grado di individuare percorsi inattesi per aggirarli.
- La resilienza informatica sta diventando importante quanto la prevenzione.
Tutto è iniziato come una valutazione interna delle capacità informatiche avanzate basate sull’intelligenza artificiale. Nel tentativo di risolvere un benchmark ben definito, i modelli di OpenAI hanno individuato una vulnerabilità zero-day, hanno aggirato le restrizioni previste dall’ambiente di test, hanno ottenuto privilegi di livello superiore, hanno raggiunto Internet e hanno compromesso l’infrastruttura di Hugging Face. Consideravano i limiti tecnici che li circondavano come problemi da risolvere.
Non si è trattato di un attacco informatico tradizionale
Hugging Face ha riportato per prima la notizia secondo cui un framework di agenti IA autonomi aveva compromesso parte della propria infrastruttura di produzione. Un set di dati dannoso ha sfruttato due percorsi di esecuzione del codice nella pipeline di elaborazione dei dati, ha ottenuto privilegi di accesso a livello di nodo, ha raccolto credenziali e si è spostato lateralmente all’interno dei cluster interni.
I modelli coinvolti, tra cui GPT-5.6 Sol e un modello in anteprima dalle prestazioni superiori, operavano con una quantità ridotta di dati di addestramento e senza i normali classificatori di produzione. Sono andati ben oltre il compito assegnato, sfruttando una vulnerabilità del proxy per accedere a Internet, per poi utilizzare credenziali rubate e vulnerabilità zero-day per individuare un percorso di esecuzione di codice remoto sui server di Hugging Face.
Non era necessario che vi fosse un intento doloso
Non vi è alcuna indicazione pubblica che i modelli abbiano sviluppato intenzioni criminali o abbiano scelto di danneggiare Hugging Face. Non ne avevano bisogno. Date a un sistema capace un obiettivo, strumenti, tempo e feedback, e esso aggirerà gli ostacoli. La discussione è ormai andata oltre i semplici prompt e le risposte errate. Si tratta di sistemi in grado di indagare, verificare ipotesi, scoprire vulnerabilità finora sconosciute, utilizzare credenziali rubate, elevare i privilegi e continuare a operare anche quando il primo approccio fallisce.
Una sandbox non è un campo di forza
Definiamo gli ambienti “isolati”, “segmentati” e “in sandbox” come se l’etichetta stessa garantisse la sicurezza. Ma non è così. In questo caso, il percorso ovvio verso Internet era bloccato, ma un proxy raggiungibile di un pacchetto software non lo era, e i modelli hanno sfruttato la sua vulnerabilità per sfuggire. Le politiche e il comportamento previsto non sono sufficienti. È l’ambiente tecnico stesso che deve far rispettare i confini.
Perché questa è una storia di resilienza
L’attività si è spostata da un ambiente di valutazione, attraverso l’infrastruttura di ricerca di OpenAI, su Internet e nell’ambiente di produzione di Hugging Face. Si tratta di un raggio d’azione in rapida espansione. Quando l’IA è in grado di esplorare e agire alla velocità delle macchine, il tempo che intercorre tra l’accesso iniziale e una compromissione più ampia potrebbe continuare a ridursi.
Hugging Face non si è limitata a bloccare il percorso di accesso originale e a dichiarare concluso l’incidente. Ha eliminato i percorsi vulnerabili che consentivano l’esecuzione di codice, ricostruito i nodi compromessi, effettuato la rotazione delle credenziali e dei token e rafforzato i controlli sul cluster. L’obiettivo non è semplicemente ripristinare un sistema, ma ripristinare la fiducia.
La domanda non è più solo: «I nostri sistemi di IA sono sicuri?». Ora è: «Quando un potente sistema di IA individua una via di cui ignoravamo l’esistenza, siamo in grado di circoscrivere l’area di impatto, portare avanti le operazioni critiche, ricostruire ciò di cui non ci fidiamo più e dimostrare che è sicuro andare avanti?». Chris Bevil è responsabile senior del marketing di portafoglio presso Commvault.
