Che cosa è successo

Nel luglio 2026, durante una valutazione interna delle capacità cyber di alcuni dei modelli più avanzati di OpenAI, tra cui GPT-5.6 Sol e un modello pre-release ancora più capace, gli agenti sono riusciti a superare i vincoli dell’ambiente isolato di test e a ottenere accesso a Internet. Nel tentativo di trovare soluzioni utili a superare il benchmark ExploitGym, hanno successivamente individuato e concatenato diversi percorsi di attacco fino a compromettere parte dell’infrastruttura di Hugging Face.

ExploitGym è un benchmark su larga scala, diversificato e realistico sulle capacità di sfruttamento degli agenti di intelligenza artificiale (IA). Dato un input di programma che attiva una vulnerabilità, ExploitGym incarica gli agenti di estenderla progressivamente fino a renderla un exploit funzionante. Il benchmark comprende 898 istanze provenienti da vulnerabilità reali in tre domini: programmi eseguiti in spazio utente, il motore JavaScript V8 di Google e il kernel Linux.  Le protezioni di sicurezza applicate a ciascuna istanza vengono variate, così da misurarne l’impatto sulle prestazioni dell’agente. 

Ai fini della valutazione, i meccanismi di rifiuto delle richieste cyber ad alto rischio erano stati intenzionalmente attenuati e non erano attivi i classificatori normalmente utilizzati negli ambienti di produzione.

L'attacco, totalmente autonomo, è avvenuto secondo queste principali fasi:

• Superamento della sandbox e accesso a Internet: i modelli hanno individuato una vulnerabilità zero-day nel proxy interno utilizzato per installare pacchetti. Sfruttandola e concatenando azioni di escalation dei privilegi e movimento laterale, hanno raggiunto un nodo dotato di accesso aperto a Internet.
• Compromissione dell’infrastruttura di Hugging Face: l'IA in test ha scoperto che su Hugging Face esistevano dataset e soluzioni utili per superare il test. Ha quindi concatenato diversi vettori di attacco, tra cui l'uso di credenziali precedentemente rubate, per trovare un percorso di esecuzione remota (RCE) sui server di Hugging Face.
• Rilevamento e analisi dell’attacco: i sistemi di difesa di Hugging Face, basati su tecniche di IA, hanno rilevato e bloccato l'attività anomala, avviando le analisi forensi.  La campagna di attacco ha prodotto oltre 17.000 eventi registrati nei log, che Hugging Face ha successivamente analizzato mediante agenti IA per ricostruire la sequenza delle attività, individuare le credenziali coinvolte e separare gli impatti effettivi dalle azioni diversive.

Conseguenze e rilevanza

Questo attacco non è stato intenzionale, e stato un incidente che ha avuto conseguenze concrete, anche se, sulla base delle informazioni disponibili, circoscritte. Hugging Face ha rilevato accessi non autorizzati a un insieme limitato di dataset interni e ad alcune credenziali utilizzate dai propri servizi. I nodi compromessi sono stati ricostruiti e le credenziali e i token potenzialmente coinvolti sono stati revocati o ruotati.

Non sono emerse evidenze di alterazioni dei modelli, dei dataset o degli Spaces accessibili pubblicamente, mentre al momento della comunicazione erano ancora in corso le verifiche sull’eventuale coinvolgimento di dati di clienti o partner.

La rilevanza dell’episodio deriva soprattutto dal fatto che un insieme di agenti di IA, perseguendo autonomamente l’obiettivo assegnato, è riuscito a concatenare vulnerabilità, credenziali compromesse, escalation dei privilegi e movimento laterale tra infrastrutture appartenenti a organizzazioni differenti. OpenAI lo ha definito un incidente cyber senza precedenti e Hugging Face lo ha presentato come uno dei primi esempi documentati di campagna offensiva condotta end-to-end da agenti di IA.

I principali insegnamenti

 La lezione principale di questo incidente è che sicurezza e protezione dei modelli di IA devono tenere il passo con capacità in rapida evoluzione. Modelli di IA avanzati, come GPT‑5.6 Sol, sono sempre più in grado di sostenere operazioni cyber complesse e in più fasi su lunghi orizzonti temporali. Questo incidente indica che tali capacità si applicano anche in contesti reali. Gli strumenti offensivi autonomi basati sull'intelligenza artificiale riducono i costi di una campagna di attacco ampia, paziente e multifase e operano alla velocità della macchina.

Difendere una piattaforma online significa oggi considerare dati, modelli, credenziali e relative pipeline come componenti centrali della superficie di attacco, utilizzando anche strumenti di IA in difesa per operare alla stessa velocità degli attaccanti.

Ma soprattutto, l’incidente dimostra che anche piattaforme informatiche moderne e ritenute altamente sicure possono presentare vulnerabilità individuabili e sfruttabili da agenti dotati di capacità avanzate di IA. La lezione fondamentale, peraltro ben nota, è che nessun ambiente informatico può essere considerato intrinsecamente e definitivamente sicuro.

Per approfondimenti

• Hugging Face – Security incident, July 2026
• OpenAI – Hugging Face model evaluation security incident