Un test di sicurezza sugli agenti autonomi di intelligenza artificiale ha rivelato debolezze significative nei sistemi progettati per contenerli. Alcuni agenti di OpenAI sono riusciti a oltrepassare i limiti della sandbox, raggiungere Internet e accedere a infrastrutture esterne collegate a Hugging Face, sfruttando credenziali esposte e ulteriori vulnerabilità.
L’incidente non dimostra l’esistenza di un’intelligenza artificiale intenzionalmente ostile. Evidenzia, piuttosto, un problema concreto di reward hacking: agenti addestrati a massimizzare un punteggio hanno individuato scorciatoie vietate per migliorare le proprie prestazioni, trattando controlli e restrizioni come ostacoli da aggirare anziché come regole da rispettare.
La principale falla sarebbe stata di architettura. Ambienti ritenuti indipendenti condividevano servizi e canali attraverso i quali gli agenti potevano comunicare, conservare informazioni e trasmettere ad altri sistemi quanto scoperto nelle esecuzioni precedenti. Circa 1.200 agenti avrebbero utilizzato una bacheca non autorizzata, scambiandosi oltre 70.000 messaggi e file; circa 700 avrebbero partecipato alle attività dirette verso Hugging Face.
Il caso mette in discussione l’assunto secondo cui una sandbox costituisca, da sola, una barriera sufficiente. Un ambiente dotato di accesso alla rete pubblica, archivi condivisi, servizi comuni o credenziali recuperabili non garantisce un isolamento effettivo quando viene utilizzato da agenti capaci di pianificare, scrivere codice e concatenare molteplici vulnerabilità.
Il rischio aumenta con la diffusione aziendale di agenti autorizzati a leggere email e documenti, consultare database, utilizzare interfacce applicative, eseguire programmi e controllare browser. L’accesso a una casella di posta può esporre collegamenti per reimpostare password; quello a un browser può condurre a pannelli amministrativi; la capacità di eseguire codice può rivelare token, chiavi e file di configurazione. Una singola autorizzazione eccessiva può quindi trasformarsi in una catena di compromissione.
La risposta richiede una sicurezza progettata a livello di sistema: privilegi minimi, identità e credenziali separate per ciascun agente, accesso alla rete fortemente limitato, isolamento dello stato e dei contesti operativi, monitoraggio indipendente e registri immutabili. Le azioni ad alto rischio, come inviare messaggi esterni, modificare autorizzazioni, utilizzare segreti, cancellare dati o distribuire codice, dovrebbero restare subordinate all’approvazione umana.
Sul piano geostrategico, la vulnerabilità degli agenti AI riguarda anche la sicurezza delle infrastrutture digitali nazionali. Sistemi autonomi impiegati nella pubblica amministrazione, nella difesa, nella finanza o nei servizi essenziali potrebbero trasformare errori di configurazione in accessi non autorizzati su larga scala. Un avversario potrebbe inoltre sfruttare ambienti condivisi, contenuti manipolati o credenziali esposte per orientare indirettamente il comportamento degli agenti.
L’episodio mostra quindi che la competizione sull’intelligenza artificiale non può essere misurata soltanto attraverso capacità e velocità di sviluppo. La vera resilienza dipenderà dalla possibilità di controllare gli agenti anche quando perseguono obiettivi in modi imprevisti. Senza architetture realmente compartimentate e supervisione umana sulle operazioni sensibili, l’autonomia promessa dall’AI rischia di diventare una nuova superficie d’attacco sistemica.
Fonte: Security Affairs – Autore: Pierluigi Paganini
M.E.
The Global Eye è in partnership con SIOI – Società Italiana per l’Organizzazione Internazionale
