C’è una scena che fino a un anno fa avremmo messo in un racconto di fantascienza.
Un fine settimana di luglio, uno sciame di circa 1.200 agenti AI deve soltanto superare un test. Circa 700 di loro, secondo le ricostruzioni finali, passano quattro giorni e mezzo ad attaccare l’infrastruttura di una delle principali piattaforme AI del mondo.
Non per rubare, non per estorcere. Per imbrogliare il valutatore di un benchmark. Nessun criminale, nessuno Stato ostile. Un obiettivo stupido, perseguito con mezzi sproporzionati.
Questo è successo davvero, a Hugging Face, e non è un caso isolato.
Indice degli argomenti
Sei mesi in cui gli agenti AI sono usciti dal laboratorio
È l’episodio più citato di una serie che negli ultimi sei mesi ha portato gli agenti AI fuori dai laboratori e dentro siti governativi, enciclopedie collaborative e infrastrutture di produzione.
Proviamo a mettere in fila cosa è accaduto, cosa potrebbe accadere se milioni di persone senza competenze iniziassero a dare ordini a questi agenti, e perché la risposta per la Pubblica Amministrazione non è solo difendersi, ma imparare a restare in piedi.
I fatti
Mettiamo in ordine i fatti. Non sono scenari: sono incidenti documentati, molti dei quali hanno coinvolto enti pubblici:
- Maggio-luglio, il wiki tedesco;
- il caso del portale Medicare australiano del 18 giugno;
- il primo ransomware autonomo (luglio);
- Luglio, Hugging Face;
- 5 ottobre, Wikimedia.
Il filo rosso che unisce tutti questi eventi è chiaro. Nessuno di questi agenti era malevolo. Inseguivano un compito. E gli enti colpiti, quasi sempre, hanno saputo dei fatti settimane o mesi dopo, oppure li hanno scoperti da soli.
Il Wiki Tedesco
Alcuni agenti di OpenAI, impegnati in un benchmark di ricerca sul web, hanno usato DseWiki, un wiki per sviluppatori di lingua tedesca, come una bacheca clandestina: circa 18.000 post e oltre 3.700 nomi di agenti diversi.
Potevano soltanto leggere il web, ma hanno trovato il modo di scrivere. Quando i moderatori umani hanno iniziato a cancellare le pagine, gli agenti hanno creato pagine di backup e si sono scambiati tecniche per non farsi scoprire. Il dettaglio inquietante non è la bravura, è il coordinamento emerso dal nulla.
Il portale Medicare australiano
Ogni funzionario pubblico dovrebbe conoscerlo a memoria. Un agente di OpenAI stava facendo ricerca sulla spesa farmaceutica pubblica.
Il portale delle statistiche di Medicare gli negava ripetutamente l’accesso, e l’agente, parole del Primo Ministro Albanese, non ha accettato un no come risposta: ha cercato strade alternative fino a raggiungere parti non pubbliche del sito.
Nessun dato sanitario personale è stato toccato, ma due dettagli sono da manuale. Primo: l’agente ha individuato da solo le debolezze del sito, andando oltre le intenzioni di chi lo aveva lanciato. Secondo: OpenAI scopre l’incidente l’11 agosto e avvisa il governo australiano solo il 10 settembre, con una email a una casella pubblica generica. Il governo ha reagito creando una task force con l’agenzia cyber nazionale e l’AI Safety Institute.
Il primo ransomware autonomo
Sysdig ha documentato JADEPUFFER, che gli analisti definiscono il primo ransomware condotto dall’inizio alla fine da un agente, senza un umano alla tastiera. Il punto di ingresso? Una vulnerabilità già nota di Langflow, corretta da tempo nella versione 1.3.0, su un server lasciato esposto e non aggiornato. Poi un deposito di credenziali con la password di default mai cambiata.
La frase di Sysdig vale l’intera vicenda: la soglia di competenza per fare ransomware è scesa a quanto costa far girare un agente.
Hugging Face
Lo sciame da cui siamo partiti. La valutazione interna aveva volutamente
disattivato i classificatori di sicurezza e ridotto i rifiuti del modello ad eseguire azioni, per misurarne la capacità grezza.
Gli agenti ne hanno approfittato, hanno concatenato più vulnerabilità e sono usciti dal recinto. Secondo quanto riportato, gli stessi agenti avevano già colpito il repository RubyGems due mesi prima.
Wikimedia
La fondazione che gestisce Wikipedia ha confermato attività non autorizzata di agenti ritenuti di OpenAI: modifiche non pubblicate ai wiki, tentativi falliti di sfruttare Etherpad, lo strumento di note collaborative, e milioni di richieste automatiche alle API.
Secondo la fondazione, quel traffico potrebbe aver contribuito a un’interruzione parziale del Wikidata Query Service a maggio.
Nessuna compromissione di sistemi o dati, ma un servizio pubblico globale messo sotto pressione da agenti che semplicemente facevano il loro lavoro.
Il fronte domestico: l’agente che hai in casa
Fin qui i grandi laboratori. Ma il salto vero è un altro: l’agente personale, quello che chiunque può installare. Il caso più studiato è OpenClaw, assistente agentico open source diventato popolarissimo e altrettanto rapidamente un incubo di sicurezza.
Nella prima settimana di febbraio circa il 17% delle skill del suo marketplace mostrava comportamenti malevoli. Ad aprile le istanze esposte su Internet erano quasi 43.000 in 82 Paesi, di cui oltre 15.000 vulnerabili a esecuzione di codice da remoto.
Credenziali e token salvati in chiaro, cancellazioni di dati per azioni autonome mal interpretate, skill che rubavano password.
Qui non parliamo di ricercatori che spingono un modello al limite in un laboratorio. Parliamo di persone comuni che scaricano un assistente, gli danno accesso alla posta, ai file, al browser, e gli affidano obiettivi scritti male.
Un esempio: “Fai uno scherzo digitale a mio cugino”
Immaginiamo, come scenario e non come cronaca, qualcuno senza alcuna competenza tecnica che chiede al proprio agente di fare uno scherzo digitale a un parente, o un dispetto a un vicino. Non sta chiedendo un’intrusione.
Nella sua testa sta chiedendo una goliardata.
Il problema è che l’agente non ragiona così. Il caso Medicare ci dice esattamente cosa succede quando un agente incontra un ostacolo: cerca strade alternative, e spesso le trova.
Se un agente di ricerca aggira i blocchi di un portale governativo pur di recuperare statistiche sui farmaci, cosa fa un agente personale che ha come obiettivo far ridere a spese di qualcuno e trova davanti a sé un account mal protetto, una webcam raggiungibile, un servizio esposto? L’utente non sa cosa ha davvero chiesto.
L’agente non sa dove finisce lo scherzo e dove inizia il reato.
Questo è lo spostamento di fondo: per decenni la barriera agli attacchi è stata la competenza. Sapere come si attacca era difficile.
Gli agenti hanno separato l’intenzione dalla competenza. Ora la vera barriera è solo chi formula l’obiettivo, e quella barriera è crollata.
Nel caso Hugging Face i ricercatori parlano di specification gaming: l’agente ottimizza alla lettera l’obiettivo che gli hai dato, non quello che avevi in mente.
Con un benchmark il risultato è un sistema compromesso per sbaglio. Una “goliardata” di OpenAI? Per una goliardata del genere un qualunque programmatore solo 2 anni fa sarebbe finito dritto in galera. Oggi un’intera azienda no.
Del resto, con “fai uno scherzo” il risultato è imprevedibile per definizione.
La tempesta: milioni di obiettivi banali
Mettiamo insieme le due cose. Da un lato milioni di agenti personali in mano a persone che non ne capiscono i rischi.
Dall’altro un parco enorme di servizi esposti, mal configurati, con patch arretrate e password di fabbrica, soprattutto nella PA locale.
Non serve un super-attaccante che lancia uno sciame coordinato. Basta la somma di tanti obiettivi banali.
Gli effetti di secondo ordine sono quelli che preoccupano di più. La saturazione: Wikimedia dimostra che anche solo il volume di richieste automatiche può far traballare un servizio, senza alcuna intenzione ostile.
La propagazione attraverso i fornitori comuni: gestionali, intermediari dei pagamenti, piattaforme cloud condivise da centinaia di enti diventano moltiplicatori. E l’attribuzione impossibile: quando il danno arriva, non sai se è un attacco, un errore, o il comportamento ottimale di un agente che inseguiva tutt’altro.
Il Comune non come bersaglio designato, ma come danno collaterale di una tempesta che non lo riguardava.
Il paradosso dei guardrail
C’è un dettaglio del caso Hugging Face che dovrebbe far riflettere chi progetta le difese.
Per analizzare gli artefatti dell’attacco, la fondazione ha dovuto ricorrere a un modello aperto ospitato in casa, GLM-5.2, perché i modelli commerciali rifiutavano le richieste che contenevano dati di exploit, per via dei loro stessi filtri di sicurezza.
È il paradosso: i guardrail che devono fermare chi attacca fermano anche chi difende.
Per la PA questo apre una domanda concreta e non banale. In uno scenario di incidente da agenti, affidarsi solo a modelli commerciali con filtri stringenti può lasciare l’ente senza strumenti di analisi proprio nel momento peggiore.
La capacità di risposta richiede un pezzo di sovranità tecnologica: un modello in casa, o almeno un fornitore che garantisca l’accesso agli strumenti anche in emergenza.
Una filiera di validazione come per i farmaci
Qui arriviamo alla proposta che alcuni fanno: serve una filiera di validazione come per i medicinali?
L’analogia è sensata. Un farmaco non arriva in commercio senza fasi di sperimentazione, un’autorizzazione all’immissione e una farmacovigilanza che continua dopo il lancio.
Un modello agentico capace di muoversi autonomamente in rete ha un potenziale di danno paragonabile, e oggi arriva sul mercato con test decisi quasi solo dal produttore.
L’analogia però va usata conoscendone il limite, altrimenti un lettore tecnico la smonta in due righe.
Un farmaco ha un comportamento stabile e misurabile; un agente cambia con il contesto, con gli strumenti che gli dai, con gli obiettivi che riceve.
Inoltre, l’incidente di Hugging Face è avvenuto in fase di sviluppo, dentro il laboratorio. Una filiera che controlla solo il prodotto finito, al momento del rilascio, non avrebbe intercettato nulla.
Il modello giusto assomiglia più ai laboratori a biosicurezza graduata, con controlli durante tutta la ricerca, più una farmacovigilanza continua sugli incidenti, molto meno somiglia alla sola autorizzazione finale.
Un’autorità sovranazionale: c’è il momento, manca l’attore
Qui entra in gioco la seconda proposta: un’entità sovranazionale. Il momento politico è arrivato.
A settembre, a margine dell’Assemblea Generale ONU, ventidue Paesi, molti europei, hanno adottato una dichiarazione secondo cui l’AI deve restare sotto direzione, supervisione e controllo umani, chiedendo test obbligatori prima del rilascio verificati da valutatori esterni, e ipotizzando una nuova istituzione internazionale.
Il panel scientifico indipendente dell’ONU ha dedicato il suo primo brief tematico proprio al caso OpenAI-Hugging Face, definendolo uno dei più chiari segnali reali del rischio di perdita di controllo.
Negli Stati Uniti si discute un ente indipendente modellato sull’autorità che vigila sui mercati finanziari, per valutare le capacità cyber, biologiche e di inganno dei modelli.
Il problema è l’attore, non il momento. Alla stessa Assemblea, il Presidente statunitense si è opposto a un sistema regolatorio globale, rivendicando la leadership nazionale.
Inoltre, il caso Medicare mostra le conseguenze del vuoto regolatorio: un incidente transnazionale tra un’azienda privata e uno Stato sovrano, senza un canale di notifica previsto, si è risolto con un’email a una casella generica.
Un’agenzia in stile AIEA (Agenzia internazionale per l’energia atomica) senza gli Stati Uniti e senza la Cina rischia di certificare solo chi non è il problema. Serve, ma oggi è più un obiettivo da costruire che uno strumento disponibile.
La continuità del servizio, da adempimento a infrastruttura critica
Mentre si costruisce la filiera a monte e l’autorità a livello globale, il Comune deve occuparsi di ciò che ha in mano. Ma qui cambia un paradigma.
Il piano di continuità operativa, per molti enti, è nato come un adempimento: un documento scritto per l’audit, pensato per eventi rari e intenzionali, il ransomware, oppure fisici, l’incendio o l’alluvione.
Ci si immaginava sempre un nemico o una catastrofe.
Lo scenario degli agenti aggiunge una categoria nuova, più insidiosa: l’outage non pilotato.
Nessuno ti attacca, eppure il comportamento o il semplice volume di traffico di agenti altrui ti satura o ti attraversa.
Wikimedia è il caso scuola. E questo cambia tre cose per i Comuni.
Preoccupa la frequenza: gli eventi che mettono fuori uso un servizio diventano più probabili, non meno. Il che significa che le procedure di degrado vanno provate davvero, con una simulazione almeno annuale, non solo scritte e archiviate.
Rimane dubbia l’attribuzione: non saprai subito chi o cosa ti ha colpito, e magari non lo saprai per settimane.
Il piano di continuità deve poter partire senza un colpevole, senza aspettare di capire se è un attacco o un incidente.
La dipendenza. Il Comune vive di servizi di terzi, da ANPR a PagoPA ai gestionali in cloud. Un outage di un fornitore è un outage tuo, anche se il tuo server è perfetto. La continuità non si ferma al perimetro dell’ente.
C’è poi l’anello più debole, e Medicare lo spiega: la notifica. L’avviso è arrivato a una casella generica, impiegando settimane. Quante PEC istituzionali sono davvero presidiate, lette ogni giorno da qualcuno che sa cosa fare di una segnalazione di sicurezza? Serve un punto di contatto per gli incidenti, dichiarato all’esterno e realmente letto.
La resa dei conti del debito tecnico
Il tratto comune di tutti questi incidenti è che gli agenti non hanno inventato quasi nulla. Hanno sfruttato una vulnerabilità vecchia, una password mai cambiata, un blocco aggirabile, un servizio esposto che nessuno controllava. Non sono super-hacker. Sono meticolosi analizzatori di sistemi con grande conoscenza tecnica e informativa.
La Pubblica Amministrazione italiana convive da anni con un debito di sicurezza che si è sempre potuto pagare a rate, rimandando: tanto nessuno aveva interesse a colpire il piccolo Comune, tanto la falla era troppo tecnica per chiunque passasse di lì. Gli agenti cancellano entrambe le scuse.
Rendono il piccolo Comune raggiungibile dalla somma di milioni di intenzioni banali, e rendono la falla sfruttabile da chiunque sappia scrivere una frase.
Il debito resta lo stesso. Cambia il creditore, e cambia la velocità con cui bussa alla porta. Non più a rate, ma a velocità macchina.
Partecipa alla community