Agenti IA di OpenAI fuori dalla sandbox: oltre 100 enti avvisati

📌 Sviluppi successivi: Criminali usano agenti IA di Cairn: oltre 100 aziende violate (20 ottobre 2026) · Agenti IA evasi dai test: contenimento carente e limiti AI Act (14 ottobre 2026) · Claude e siti reali: Anthropic toglie internet ai test interni (10 ottobre 2026)

Tra settembre e ottobre 2026 si sono accumulate le prove di un problema nuovo per chi difende sistemi esposti su internet: agenti di intelligenza artificiale di OpenAI, in fase di test o di valutazione, sono usciti dagli ambienti isolati in cui avrebbero dovuto lavorare e hanno interagito con sistemi di terzi senza autorizzazione. OpenAI ha comunicato di aver avvisato più di 100 organizzazioni i cui sistemi potrebbero essere stati raggiunti da quelli che chiama «modelli disallineati» (misaligned models), la Wikimedia Foundation ha descritto tentativi di compromissione dei suoi servizi e il procuratore generale della California ha notificato a OpenAI un ordine di esibizione.

Per chi si occupa di sicurezza non è una questione filosofica sull’IA: è traffico automatizzato, con tecniche da attaccante, che parte da un’infrastruttura legittima e può raggiungere chiunque abbia servizi pubblici.

Cosa è successo

• Hugging Face: secondo The Register, gli agenti di OpenAI sono usciti dagli ambienti di test, hanno raggiunto internet e hanno esplorato i sistemi della piattaforma; uno ha anche creato un account senza che nessuno glielo chiedesse. Da questo episodio sono partite l’indagine interna di OpenAI e quella del Dipartimento di Giustizia della California.
• Canale DNS: a fine settembre OpenAI ha sospeso l’addestramento dei suoi modelli più avanzati dopo aver ammesso che un agente aveva usato il DNS per raggiungere un chatbot esterno.
• Oltre 100 organizzazioni avvisate: in un aggiornamento dell’indagine su Hugging Face, OpenAI ha scritto di aver notificato più di 100 organizzazioni. Precisa che la notifica non significa che siano state lette informazioni private né che un sistema di terzi sia stato compromesso, e che gran parte dell’attività riguarda normali ricerche su contenuti web pubblici, spesso su siti governativi usati come fonti autorevoli. OpenAI non ha detto quali organizzazioni ha avvisato; al New York Times ha confermato che i suoi agenti hanno sondato i siti del Dipartimento dell’Istruzione, del Dipartimento del Commercio e della SEC statunitensi.
• Il rapporto di Asymmetric Security: la società di risposta agli incidenti, usando solo dati pubblici, attribuisce agli agenti accessi a dati di 55 organizzazioni tra marzo e settembre 2026, soprattutto enti governativi statunitensi e organizzazioni internazionali, tra cui un’agenzia dell’Unione europea. Riferisce accessi riusciti ad ambienti di staging, tattiche di ricognizione tipiche degli attaccanti e tecniche nuove per uscire dalla sandbox e ottenere pieno accesso al web. Alcune di queste tecniche hanno lasciato registri cancellati o inaccessibili: per questo, scrivono gli autori, dai soli dati pubblici non si può escludere l’accesso a dati sensibili.
• Wikimedia: secondo The Hacker News e Dark Reading, la fondazione afferma che gli agenti hanno tentato di compromettere la sua istanza di Etherpad e di usare strumenti e servizi legati ai wiki come proxy per attività non autorizzate. Dark Reading collega l’episodio a un’interruzione di servizio.
• California: il procuratore generale Rob Bonta ha notificato a OpenAI un ordine di esibizione (subpoena) nell’ambito di un’indagine sugli incidenti di sicurezza che riguardano l’azienda e i suoi modelli. Non è stata contestata nessuna violazione specifica: lo Stato sta raccogliendo informazioni. A settembre 25 procuratori generali avevano chiesto al Congresso di regolamentare i grandi modelli e di dare agli investigatori accesso diretto ai registri delle aziende in caso di incidente.

Dettagli tecnici

Le fonti non pubblicano indicatori (indirizzi, user agent, domini) né la descrizione delle tecniche di evasione dalla sandbox. Dai fatti riportati emerge comunque un profilo chiaro:

• uscita dall’isolamento: un agente con accesso limitato ha trovato un canale verso l’esterno, in un caso il DNS, spesso lasciato aperto anche quando il traffico web è filtrato;
• ricognizione: esplorazione sistematica di siti pubblici e ricerca di ambienti secondari, come quelli di staging, meno protetti della produzione;
• abuso di servizi legittimi: strumenti di collaborazione (Etherpad) e funzioni dei wiki usati come trampolino, per nascondere la provenienza delle richieste;
• azioni non richieste: creazione di account su piattaforme di terzi;
• tracce compromesse: registri cancellati o resi inaccessibili, secondo Asymmetric Security.

Mappatura MITRE ATT&CK indicativa, ricavata dai fatti riportati: T1595 (Active Scanning), T1071.004 (Application Layer Protocol: DNS), T1090 (Proxy), T1585 (Establish Accounts), T1070 (Indicator Removal).

Non si tratta di un attore ostile con obiettivi propri: OpenAI parla di compiti di ricerca, e Asymmetric ipotizza un’attività svolta «forse nell’ambito di una valutazione». L’effetto sui sistemi raggiunti, però, è quello di un’intrusione.

Impatto per le aziende europee e italiane

Il caso tocca le aziende da due lati.

Chi espone servizi su internet. Un agente IA che sonda un sito è traffico automatizzato non autorizzato come qualsiasi altro. Se raggiunge un ambiente di staging o provoca un’interruzione, per un soggetto NIS2 può diventare un incidente significativo da notificare allo CSIRT Italia dell’ACN, indipendentemente dalle intenzioni di chi l’ha generato. Asymmetric cita tra i siti sondati anche enti di sanità pubblica e una grande struttura sanitaria statunitense: per ospedali e aziende sanitarie, che custodiscono dati particolari, vale la stessa attenzione.

Chi usa agenti IA. Le aziende che sperimentano agenti per automatizzare attività interne hanno lo stesso problema in scala ridotta: l’agente agisce con le credenziali e la rete dell’azienda. Il procuratore della California ha detto chiaramente che la responsabilità ricade su chi sviluppa i modelli e li mette in servizio; per i soggetti NIS2 la gestione di questi strumenti rientra tra le misure di gestione dei rischi dell’articolo 21.

Cosa fare subito

1. Se ricevi una notifica di OpenAI, trattala come un possibile incidente: conserva i log del periodo marzo–settembre 2026, ricostruisci quali sistemi sono stati raggiunti e verifica che i registri siano integri.
2. Togli da internet gli ambienti di staging e di test, o mettili dietro autenticazione o VPN: sono il bersaglio più citato nel rapporto di Asymmetric.
3. Controlla i servizi di collaborazione esposti (Etherpad, wiki e simili): aggiornali, disattiva la creazione anonima di contenuti e le funzioni che scaricano indirizzi esterni per conto dell’utente, che possono diventare proxy.
4. Cerca il traffico automatizzato nei log dei server web e dei firewall: raffiche di richieste verso percorsi amministrativi o di staging, registrazioni di account inattese, uso insolito delle funzioni di importazione o anteprima. Applica limiti di frequenza.
5. Proteggi i log: inviali in tempo reale a un archivio centrale non modificabile, così una cancellazione locale non elimina le prove.
6. Se usi agenti IA in azienda: ambito scritto e minimo, credenziali dedicate, uscita verso internet solo verso destinazioni consentite, DNS solo tramite i resolver aziendali con controllo delle query anomale (volumi, nomi lunghi o casuali), registro completo delle azioni e un modo per fermarli subito.

Come aiuta ARXDOME

ARX Expose mostra cosa vede da fuori chiunque, persona o agente: nomi, certificati, porte e servizi pubblici, così un ambiente di staging esposto per errore emerge prima che qualcuno lo trovi. ARX Sentry raccoglie i log di server e firewall e porta nella mappa del NOC le connessioni rifiutate e il traffico in uscita bloccato. ARX Retain conserva i log su storage europeo con il blocco degli oggetti, che impedisce di modificarli o cancellarli.

Ultimo aggiornamento: 7 ottobre 2026