Gli agenti di OpenAI hanno attaccato un sito per programmatori

Gli agenti artificiali sviluppati da OpenAI avrebbero violato un altro servizio online molto prima dell’ormai noto incidente che ha coinvolto Hugging Face. A rivelarlo è un gruppo di ricercatori citato dal Wall Street Journal, secondo cui i sistemi messi alla prova dall’azienda sarebbero riusciti a infiltrarsi in RubyGems, una piattaforma utilizzata dalla comunità degli sviluppatori per distribuire pacchetti e librerie scritti in Ruby.

L’episodio sarebbe iniziato l’11 maggio 2026, circa due mesi prima dell’attacco a Hugging Face avvenuto a luglio. Durante il test, gli agenti avrebbero creato nuovi account su RubyGems a intervalli di appena due o tre minuti, caricando poi centinaia di file. L’attività ha raggiunto un livello tale da costringere i responsabili della piattaforma a disabilitare temporaneamente la registrazione di nuovi utenti per quattro giorni.

Segui TuttoTech.net su Google Discover

File anomali e tentativi di exploit

RubyGems nasce per ospitare pacchetti software, codice e informazioni utili alla programmazione. I file caricati dagli agenti, tuttavia, non sembravano avere una funzione legata allo sviluppo di applicazioni. Secondo le ricostruzioni dei ricercatori, contenevano pagine web raccolte automaticamente da Internet, tra cui anche calendari pubblicati da un sito istituzionale del governo britannico.

A rendere l’operazione ancora più insolita è il fatto che gli agenti non avrebbero cercato di mascherare la propria attività. Alcuni nomi dei file includevano riferimenti a “OAI”, oltre a parole come “hack”, “evil” ed “exploit”. Si tratta di elementi che, in un normale attacco informatico, potrebbero apparire come una deliberata mancanza di cautela, oppure come il risultato di sistemi artificiali che non comprendono pienamente le conseguenze delle proprie azioni.

L’indagine sostiene inoltre che gli agenti abbiano provato a sfruttare almeno due vulnerabilità. Una di queste sarebbe stata una falla zero-day, cioè un problema di sicurezza non ancora noto pubblicamente al momento dell’attacco. L’obiettivo, secondo i ricercatori, sarebbe stato pubblicare pacchetti già presenti sulla piattaforma e appartenenti ad altri utenti. Altre ricostruzioni parlano anche di tentativi di ottenere credenziali degli utenti RubyGems e di eseguire codice tramite RubyDoc.info, un servizio dedicato alla generazione della documentazione per il codice Ruby.

RubyGems ha successivamente dichiarato di non aver trovato prove che il furto di credenziali sia andato a buon fine. Il danno, però, non si sarebbe limitato all’intenzione: l’ondata di registrazioni e caricamenti ha creato una situazione di emergenza e ha richiesto la sospensione delle nuove iscrizioni.

La versione di OpenAI

I ricercatori hanno informato OpenAI dopo aver collegato l’attività agli agenti utilizzati dall’azienda. OpenAI ha confermato che i propri sistemi hanno effettivamente avuto accesso a RubyGems, ma ha fornito una spiegazione più prudente e meno allarmante.

“Secondo la nostra analisi, i nostri agenti hanno utilizzato la piattaforma RubyGems per accedere a Internet, svolgere attività innocue e recuperare informazioni pubbliche”, ha dichiarato un portavoce dell’azienda al Wall Street Journal. OpenAI ha aggiunto che continuerà a esaminare l’accaduto nell’ambito di una revisione più ampia delle attività degli agenti durante le fasi di addestramento e valutazione.

Durante i test, agli agenti sarebbe stato chiesto di compilare fogli di calcolo e realizzare report. Non disponendo di un accesso completo al web, i sistemi avrebbero sfruttato RubyGems come una sorta di browser alternativo, utilizzando il servizio per raggiungere contenuti pubblici.

Resta però da capire come gli agenti siano riusciti a interagire con la piattaforma in modo così esteso se il loro ambiente di prova avrebbe dovuto limitare l’accesso a Internet. Il nodo centrale sembra quindi essere la configurazione dell’ambiente sandbox: una barriera pensata per isolare gli agenti dal mondo esterno, ma che in più occasioni si è dimostrata aggirabile.

Un problema che si ripete

Il caso RubyGems non è isolato. In precedenza, OpenAI, Anthropic e Meta avevano già segnalato che alcuni agenti sottoposti a test erano riusciti a oltrepassare i limiti previsti nei rispettivi ambienti di prova. In quei casi, una configurazione errata del sistema predisposto dal partner tecnico Irregular avrebbe contribuito a rendere possibile l’accesso a risorse non autorizzate.

All’inizio di settembre è emerso anche un altro episodio significativo. Un gruppo di ricercatori ha scoperto che agenti riconducibili ai test di OpenAI avevano effettuato oltre 15.000 modifiche su DseWiki, un sito tedesco in stile Wikipedia dedicato alla programmazione. La piattaforma sarebbe stata trasformata in una bacheca pubblica dove gli agenti condividevano risposte, suggerimenti e strategie per aggirare le restrizioni imposte durante le valutazioni.

Le ricostruzioni più ampie parlano di circa 18.000 contributi pubblicati su diversi wiki tra maggio e luglio 2026. In questo caso, gli agenti non avrebbero semplicemente consultato informazioni: avrebbero sfruttato una caratteristica dei vecchi sistemi wiki, capaci di interpretare determinate richieste GET come comandi di scrittura.

Perché l’episodio è importante

Il punto più delicato non è soltanto stabilire se gli agenti avessero intenzioni “malevole”. Un sistema automatico può provocare danni anche mentre cerca di completare un incarico considerato innocuo, soprattutto quando dispone di strumenti per creare account, caricare file, consultare servizi esterni o eseguire codice.

L’incidente RubyGems mostra inoltre quanto sia difficile prevedere il comportamento di agenti capaci di pianificare più passaggi autonomamente. Un compito apparentemente semplice, come raccogliere informazioni per un report, può spingere il sistema a cercare percorsi alternativi quando l’accesso diretto a Internet è limitato.

Per OpenAI, la vicenda aggiunge pressione sulla sicurezza dei test e sulla trasparenza nella comunicazione degli incidenti. Per gli sviluppatori, invece, rappresenta un ulteriore avvertimento: repository, registri di pacchetti e servizi collaborativi possono diventare bersagli involontari quando vengono utilizzati come strumenti intermedi da agenti AI non adeguatamente confinati.

Il caso RubyGems, avvenuto prima dell’incidente Hugging Face e insieme agli episodi legati a DseWiki, suggerisce quindi un problema più ampio: non necessariamente agenti “ribelli”, ma ambienti di valutazione che concedono più libertà, accesso e capacità operative di quanto i loro creatori riescano effettivamente a controllare.