Cosa succede quando si chiede a un’intelligenza artificiale di comportarsi come un hacker? È la domanda alla base di এক্সপ্লয়েটজিম, uno dei benchmark più avanzati al mondo per misurare le capacità offensive dei modelli di IA nel campo della cybersecurity. Il progetto del benchmark è stato sviluppato da un gruppo internazionale di ricercatori provenienti da università e centri di ricerca come il Max Planck Institute, l’Università dell’Arizona, della California (Berkeley e Santa Barbara), con il contributo di ricercatori di Anthropic, Google e OpenAI. L’obiettivo è semplice quanto delicato: verificare fino a che punto un agente di intelligenza artificiale sia in grado di trasformare una vulnerabilità informatica nota in un attacco realmente funzionante.
ExploitGym non è un videogioco né una gara di hacking. È una sorta di “চূড়ান্ত পরীক্ষা” per le nuove IA. Agli agenti vengono fornite centinaia di vulnerabilità reali, insieme al codice del programma e all’ambiente di esecuzione. Il loro compito consiste nello sviluppare autonomamente un exploit, cioè una sequenza di istruzioni capace di sfruttare quella vulnerabilità fino a ottenere il controllo del sistema o l’accesso a un’informazione riservata. Proprio perché si tratta di test potenzialmente pericolosi, le prove vengono normalmente eseguite all’interno di una স্যান্ডবক্স, un ambiente completamente isolato dal resto di Internet. L’analogia del termine sandbox con la sabbiera per bambini è intuitiva: il bambino può costruire castelli, scavare buche e fare disordine, ma tutta la “confusione” rimane confinata nella sabbia, senza sporcare il giardino o creare problemi all’esterno. In informatica il principio è lo stesso: un software può “muoversi liberamente” all’interno della sandbox, ma non dovrebbe poter uscire da quell’ambiente né accedere al sistema operativo, a Internet o ad altri dati sensibili.
È proprio durante una di queste valutazioni interne che, secondo quanto ricostruito da OpenAI e confermato da Hugging Face, i due modelli di OpenAI più recenti ed evoluti: জিপিটি-৫.৬ সল e un modello ancora più avanzato, non ancora rilasciato al pubblico – avrebbero trovato una vulnerabilità জিরো-ডে nell’infrastruttura predisposta per il test. Una vulnerabilità di questo tipo è una falla di sicurezza sconosciuta agli sviluppatori del software e, quindi, priva di una correzione disponibile. Il nome deriva dal fatto che il produttore ha avuto “zero giorni” di tempo per rimediare al problema prima che venga scoperto o sfruttato.
I due modelli di IA di OpenAI sarebbero riusciti a uscire dalla sandbox, ottenere accesso a Internet e infine compromettere parte dell’infrastruttura di produzione di আলিঙ্গন মুখ, dove ritenevano (a “ragion” veduta) potessero essere conservate informazioni utili per risolvere il benchmark. L’obiettivo finale non era danneggiare Hugging Face, ma reperire le “risposte” del test per ottenere un punteggio migliore. Hugging Face ha rilevato e bloccato l’attività, avviando insieme a OpenAI un’indagine tecnica sull’accaduto.
Lo studente che trova la porta aperta e l’IA “fuori controllo”
Per capire davvero cosa è successo possiamo immaginare uno studente durante un esame. L’insegnante lo chiude in un’aula con il testo della prova e gli dice: “Puoi usare solo il materiale che hai sul banco”. Lo studente, però, si accorge che la serratura della porta è difettosa. A quel punto, approfittando del fatto che non c’è alcun controllo all’esterno e ogni sistema di sorveglianza è stato disattivato, esce dall’aula, raggiunge la biblioteca, apre la porta con un grimaldello, consulta il libro con le soluzioni, rientra indisturbato e consegna un compito perfetto.
Ora, perché nell’analogia con lo studente si utilizza uno scenario con i sistemi di sorveglianza disattivati e nessun controllo all’esterno che impedisca comportamenti scorretti allo studente? Perché è proprio qui che tutta la vicenda rischia di essere vista come un episodio di un film di fantascienza. Senza questa precisazione, davvero a qualcuno potrebbe venire in mente una trama in cui le macchine prendono il sopravvento. E invece non è affatto così.
Chiunque abbia utilizzato ChatGPT, Claude o Gemini conosce già l’esistenza dei cosiddetti “সিঁড়ির পার্শ্বস্থ রেলিং“, cioè i meccanismi di sicurezza che impediscono al modello di eseguire richieste potenzialmente pericolose. Se un utente domanda come costruire un ordigno esplosivo, come compromettere un sistema informatico o come rubare credenziali di accesso, il modello normalmente rifiuta di rispondere o fornisce soltanto informazioni di carattere generale (fino ad alcuni anni fa, invece la maggior parte di queste IA forniva istruzioni dettagliate e utilizzabili ai fini pratici, perfino allo scopo di suicidarsi).
Questo però non significa che il modello sia incapace tecnicamente di affrontare tali argomenti quanto, invece, che è stato progettato per non mettere tali capacità a disposizione degli utenti. Nel caso del benchmark ExploitGym, gli sviluppatori volevano invece misurare proprio le capacità offensive del modello nel campo della cybersecurity. Per questo motivo, il modello era autorizzato a tentare di sfruttare vulnerabilità perché quello era l’obiettivo dell’esame. A quel punto, niente guardrail, niente restrizioni, কিন্তু non c’è nulla che sia “fuori controllo”.
In altre parole, il test non riproduceva fedelmente lo scenario d’uso reale di un utente, ma quello di un laboratorio di ricerca impegnato a misurare le potenzialità massime del sistema. Una situazione che non rende meno significativo l’episodio, ma invita a interpretarlo nel contesto corretto: ciò che è stato osservato rappresenta ciò che un modello può fare nelle condizioni sperimentali del benchmark, non necessariamente il comportamento che avrebbe nella versione distribuita al pubblico.
Questo aspetto va comunque distinto da un altro: la sandbox, cioè l’ambiente isolato in cui il test si svolgeva, avrebbe dovuto rimanere pienamente sicura. Se il modello è riuscito a uscirne sfruttando una vulnerabilità zero-day, non è perché gli organizzatori abbiano volutamente “lasciato la porta aperta”, ma perché avrebbe individuato una falla che gli sviluppatori stessi non conoscevano. L’IA ha dimostrato insomma di saper osservare l’ambiente, escogitare un piano alternativo e perseguire il proprio obiettivo senza che nessuno glielo avesse esplicitamente suggerito (e anche di questo non c’è molto da stupirsi se si è compreso il funzionamento di base dell’IA agentica generativa). L’IA si muove sempre e solo sulla base di una valutazione probabilistica di successo tra tutte le opzioni percorribili (anche quando deve scegliere le parole del suo linguaggio).
Un incidente che vale più di una campagna pubblicitaria
Esiste però una seconda chiave di lettura, più vicina ai mercati finanziari che ai laboratori di ricerca. OpenAI ha dedicato gran parte del proprio comunicato a spiegare quanto siano avanzate le capacità dei suoi modelli, molto più che a soffermarsi sull’incidente in sé. È una scelta comunicativa che non è passata inosservata. Nella comunicazione ufficiale dell’azienda americana viene dato ampio risalto alle capacità dimostrate dal modello, tanto che l’unico grafico pubblicato riguarda proprio le sue prestazioni. OpenAI sta preparando il terreno per una futura quotazione in Borsa. L’8 giugno 2026 ha depositato in via confidenziale la bozza di S-1 alla SEC, dopo il round da 122 miliardi di dollari che l’ha valutata 852 miliardi. In questa prospettiva, ogni dimostrazione di leadership tecnologica contribuisce ad accrescere il valore percepito dell’azienda presso investitori, partner industriali e mercato.
Non esistono elementi per sostenere che l’incidente sia stato orchestrato a fini promozionali. Tuttavia, è difficile ignorare che la narrazione costruita da OpenAI trasformi un episodio potenzialmente imbarazzante – un modello che sfugge all’ambiente di test – in una dimostrazione della superiorità tecnologica dei propri sistemi. È, in altre parole, una comunicazione che può essere letta anche come una raffinata operazione di marketing. OpenAI vuole dire: “I nostri modelli sono davanti a tutti”. L’obiettivo è essere percepita come il laboratorio che oggi definisce la frontiera dell’intelligenza artificiale. Le grandi società tecnologiche non vendono soltanto prodotti: vendono aspettative di leadership futura. Se il mercato è convinto che un’azienda possieda il modello più avanzato, sarà disposto a riconoscerle valutazioni sempre più elevate. Tra l’altro, le aziende americane dell’IA si trovano a dover fronteggiare le performance delle IA cinesi che hanno il vantaggio di costare mediamente il 40% in meno di quelle statunitensi. L’analista tedesco Kim Isenberg, co-fondatore e direttore responsabile della testata specializzata in intelligenza artificiale “Superintelligence”, non a caso, aveva previsto – qualche giorno fa – che l’annuncio del rilascio di “কিমি কে১.৫“, il nuovo modello sviluppato dall’azienda cinese মুনশট এআই, avrebbe fatto scattare un allarme rosso dall’altra parte dell’oceano…
