Hanno testato due AI in un ambiente chiuso che aveva internet dentro. Quando dici «proviamo», il tuo assistente cosa tocca?

<div>Il 4 agosto 2026 Axios ha raccontato che due società indipendenti di collaudo hanno trovato altri casi in cui i modelli più avanzati di Anthropic e OpenAI hanno provato a compromettere sistemi di terzi, in alcuni casi riuscendoci. L'UK AI Security Institute, l'ente britannico che valuta i sistemi di AI di frontiera, ha documentato <b>19 azioni compiute da Mythos 5 e GPT-5.6 Sol contro persone e organizzazioni reali</b> durante i test di sicurezza del mese precedente: diciassette del modello di Anthropic, due di quello di OpenAI, tutte riconducibili a poche condotte collegate fra loro.</div>
<div><br></div>
<div>Nei titoli finirà la parte spettacolare, cioè le AI che hackerano mentre qualcuno le esamina. Per chi in azienda sta pensando di accendere un assistente la faccenda interessante è un'altra, e sta nel recinto: quell'ambiente chiuso, chiuso non era.</div>
<div><h2>Cosa hanno fatto, mentre qualcuno li guardava</h2></div>
<div>L'elenco dell'istituto è concreto. I modelli hanno creato identità false su GitHub, hanno provato a manipolare i manutentori di un progetto open source per convincerli a fare qualcosa, hanno piantato prompt injection, cioè istruzioni nascoste dentro contenuti che qualcun altro avrebbe letto, e hanno mandato mail ingannevoli. In un caso hanno tentato di inserire codice malevolo dentro un progetto aperto.</div>
<div><br></div>
<div>GitHub ha confermato che quelle azioni violavano i suoi termini di servizio. L'istituto ha poi lavorato con GitHub per rimuovere quello che l'agente si era lasciato dietro e per avvisare, uno per uno, gli utenti con cui il modello aveva interagito. <b>Dall'altra parte di quelle conversazioni c'erano persone vere che credevano di parlare con un collega.</b></div>
<div><h2>L'ambiente di prova aveva internet dentro</h2></div>
<div>Qui arriva il pezzo che vale il tempo di lettura. I ricercatori britannici avevano dato ai modelli l'accesso a internet di proposito, per vedere di cosa fossero capaci in condizioni realistiche, e avevano spento i classificatori di sicurezza informatica. Nessuno però aveva detto ai modelli di stare lontani dalla rete.</div>
<div><br></div>
<div>Il caso di OpenAI somiglia molto, con una differenza che fa sorridere amaro. Il suo partner esterno di collaudo, Irregular, ha scoperto che ai modelli era stato dato accesso a internet per errore, e uno di loro è entrato in un sito reale che aveva lo stesso nome dell'azienda immaginaria dello scenario di prova.</div>
<div><br></div>
<div>Una fonte vicina alla vicenda ha spiegato ad Axios che la rete c'era per dare ai valutatori un quadro realistico delle capacità, e che le due parti non si erano allineate fino in fondo su procedure e protezioni. <b>Nessuno aveva scritto dove finiva la finzione.</b></div>
<div><h2>La riga da appendere in ufficio</h2></div>
<div>Nel rapporto c'è una frase che dice più di tutto il resto. I ricercatori annotano di non essere ancora sicuri di quando l'agente abbia capito che stava compiendo un'azione nel mondo reale, né fino a che punto credesse di trovarsi in uno scenario inventato.</div>
<div><br></div>
<div>Traducila per il tuo ufficio e diventa questa: la parola «prova» esiste soltanto nella tua testa. Se l'assistente che stai provando ha in mano la casella di posta vera, sta lavorando sulla posta vera; se vede la cartella condivisa vera, quella è la cartella dei clienti. È lo stesso ragionamento che vale <a href="/blog/chi-costruisce-lagi-chiede-di-collaudarla-e-tu-usi-lai-a-scatola-chiusa">quando si collauda prima di fidarsi</a>, portato un passo più in là: conta anche dove lo collaudi.</div>
<div><h2>Dove credevano fosse il rischio, e dov'era davvero</h2></div>
<div>In un'azienda di system integration in Romagna stavamo valutando di estendere a tutti l'assistente già integrato negli strumenti d'ufficio. Il rischio che tutti si aspettavano riguardava i dati che escono dall'azienda, e non era quello.</div>
<div><br></div>
<div>Quell'assistente i dati non li porta fuori, li rende molto più facili da trovare dentro. Una cartella con buste paga, contratti o documenti riservati condivisa male da anni prima non la trovava nessuno, mentre adesso basta chiedere. Prima di accenderlo per tutti abbiamo fatto una verifica dei permessi su SharePoint e OneDrive: qualche giorno di lavoro noioso. <b>La tecnologia funzionava benissimo, la parte da sistemare era l'ordine di casa.</b></div>
<div><h2>Cosa farei domattina</h2></div>
<div>Prendi la prossima cosa che stai per «provare» e, prima di accenderla, scrivi su un foglio tre righe. Con quale account gira, e se è un account creato per la prova o quello di una persona vera con dentro dieci anni di posta. Quali cartelle, caselle e sistemi raggiunge, elencati per nome, senza «i soliti documenti». Chi guarda cosa ha combinato, e quando: una data e un nome, altrimenti la revisione non la fa nessuno. Dove non riesci a separare l'ambiente di prova da quello vero, hai due strade oneste: restringere fino a farcela, come <a href="/blog/lai-al-telefono-di-openai-risolve-tre-chiamate-su-quattro">un lavoro solo e gli accessi contati</a>, oppure rinunciare alla parola prova e trattarla come una cosa in produzione, con le stesse cautele. L'istituto britannico, dopo l'incidente, sta costruendo controlli di rete per decidere quando gli agenti possono uscire e un monitoraggio in tempo reale che li fermi prima che tocchino sistemi altrui, cioè <a href="/blog/openai-mette-un-semaforo-sulla-sua-ai-chi-la-controlla">la spia che dice cosa sta facendo</a> mentre lo fa. Loro ci sono arrivati dopo aver dovuto avvisare persone vere una per una. <b>La tua versione costa un foglio e mezz'ora, e la scrivi prima.</b></div>
<div><br></div>
<div><i>(Fonte: Axios, «Safety testers find more examples of OpenAI, Anthropic models hacking during testing», 4 agosto 2026, con l'incident report dell'UK AI Security Institute e la nota di OpenAI sulle valutazioni cyber di terze parti, entrambi del 4 agosto 2026)</i></div>