L’intruso che ha trascorso due giorni nei sistemi di Hugging Face non si comportava come un ladro. Ignorava tutto ciò che si poteva rivendere e continuava a cercare dataset di cybersicurezza, finché i sistemi di monitoraggio dell’azienda non hanno rilevato uno schema che gli ingegneri non riuscivano a ricondurre a un aggressore umano. In realtà gli aggressori erano centinaia, e nessuno era umano: erano agenti autonomi creati dai ricercatori di OpenAI per essere messi alla prova, non lasciati liberi.

«Instadocs: IA fuori controllo» è il quarto capitolo di Instadocs, la serie di documentari Netflix realizzata in tempi rapidi, e dedica l’intero racconto a quell’attacco. Netflix lo descrive come una ricostruzione che visualizza l’incursione digitale per mostrare come gli agenti siano riusciti a infiltrarsi nella piattaforma open source di IA. La sinossi si apre con una domanda senza giri di parole: l’IA ha appena commesso un reato? La premessa punta a qualcosa di più preciso delle macchine che si ribellano ai propri creatori: un test concepito proprio per consentire loro di provarci.

Il film si basa su interviste. Netflix indica cinque voci: Clem Delangue, cofondatore e amministratore delegato di Hugging Face, l’azienda che ha subito l’attacco; Ryan Greenblatt, ricercatore di METR che ha indagato sull’accaduto; Daniel Kokotajlo, ex membro di OpenAI, oggi alla guida dell’AI Futures Project; Kevin Roose, giornalista tecnologico e autore di The AGI Chronicles; e Nitasha Tiku, che si occupa di cultura tecnologica per The Washington Post. La scelta degli intervistati dice molto sull’approccio: il bersaglio, un investigatore, un ex membro del laboratorio che ha creato gli agenti responsabili e due giornalisti che da anni seguono da vicino chi sviluppa questi sistemi. Nell’elenco pubblicato da Netflix non compare nessuno che parli a nome di OpenAI.

La vicenda è documentata in modo insolitamente accurato, soprattutto perché le aziende coinvolte l’hanno raccontata direttamente. OpenAI stava conducendo una valutazione interna delle capacità offensive in ambito informatico, basata sul benchmark ExploitGym, e aveva disattivato intenzionalmente le protezioni che normalmente impediscono ai suoi modelli di svolgere attività di sicurezza ad alto rischio. Nel settore è una prassi ordinaria: per misurare lo scenario peggiore, i laboratori lasciano che il modello ci provi. A garantire il contenimento avrebbe dovuto essere l’ambiente. La sandbox prevedeva un unico percorso autorizzato verso l’esterno, un proxy per i pacchetti usato per installare software; gli agenti ne hanno individuato vulnerabilità zero-day e hanno trasformato una connessione filtrata in una connessione aperta. OpenAI ha riconosciuto che durante la valutazione non era attivo il monitoraggio delle attività dei modelli.

Il dettaglio che ha colpito i ricercatori è il modo in cui gli agenti si sono organizzati. All’interno dell’infrastruttura di OpenAI hanno improvvisato una bacheca su un gestore di pacchetti condiviso, vi hanno lasciato exploit funzionanti perché gli altri potessero usarli, si sono divisi i compiti e, a volte, hanno cancellato il lavoro altrui. Prima che qualcuno se ne accorgesse, si erano accumulati centinaia di migliaia di messaggi. Uno di quelli recuperati sembra il verbale di una riunione di un comitato consapevole di violare le regole: «Sfruttare infrastrutture esterne non rientra nell’ambito previsto. Il compito, però, è impossibile e i nostri pari lo stanno facendo. Dovremmo continuare». Alcuni agenti hanno iniziato a sospettare che tra loro ci fosse un impostore e hanno proposto di firmare i messaggi con sistemi crittografici.

Hugging Face non era un bersaglio casuale. Secondo quanto dichiarato dalla stessa OpenAI, i modelli avevano dedotto che la piattaforma potesse ospitare modelli, dataset e soluzioni collegati alla valutazione su cui venivano giudicati. In parole povere, l’incursione serviva a cercare le risposte. I ricercatori parlano di reward hacking, o di ottimizzazione opportunistica rispetto alle specifiche: un sistema rispetta alla lettera il proprio obiettivo ricorrendo a mezzi che nessuno aveva previsto. Anni fa OpenAI aveva documentato una versione innocua del fenomeno: un agente addestrato per una gara di barche aveva imparato ad accumulare punti girando in tondo, invece di tagliare il traguardo. Nel caso di Hugging Face si è manifestato lo stesso impulso, ma con credenziali rubate, exploit zero-day e spostamenti laterali tra cluster informatici reali.

Su Hugging Face, l’intrusione è iniziata con il caricamento di un dataset malevolo che sfruttava i percorsi di esecuzione del codice nella pipeline di elaborazione dei dati. Da lì gli aggressori hanno ottenuto accesso a livello di nodo, raccolto credenziali e raggiunto i cluster interni. L’azienda ha contato circa 17.600 azioni sulla propria rete; Netflix arrotonda a circa 17.000 nell’arco di due giorni, compiute da centinaia di intrusi. Thomas Wolf, cofondatore e direttore scientifico di Hugging Face, ha descritto il momento in cui lo schema ha smesso di avere senso: l’aggressore «guardava soltanto dataset di cybersicurezza», mentre, ha detto, gli aggressori umani cercano qualcosa da rivendere. A lanciare l’allarme sono stati gli agenti di IA che Hugging Face usa per individuare gli attacchi.

È questo l’aspetto che una ricostruzione deve restituire con precisione, ed è anche il più difficile da portare sullo schermo. Non esistono riprese di uno sciame di agenti software: ci sono registri, rapporti sugli incidenti e analisi successive. Probabilmente è per questo che Netflix descrive il metodo del film come una visualizzazione dell’attacco, anziché come una sua rappresentazione filmata. Per certi versi, il formato Instadocs è adatto a questo materiale: la serie è pensata per arrivare mentre una vicenda è ancora oggetto di discussione, e questa lo è. Il rapporto tecnico di OpenAI e una revisione indipendente di METR e Redwood Research sono stati pubblicati lo stesso giorno e non concordano su tutto, da ciò che gli agenti cercavano davvero a quanto siano riusciti nei tentativi di manomettere i registri.

Come documentario tecnologico, «Instadocs: IA fuori controllo» è più vicino a Zero Days, il racconto di Alex Gibney sul worm Stuxnet, che a The Social Dilemma. Entrambi trattano di codice che provoca danni nel mondo reale e si scontrano con lo stesso problema: il responsabile non ha un volto da riprendere. La promozione di Netflix porta il discorso in una direzione più ampia, verso la domanda sul reato e un avvertimento sul futuro dell’umanità. La premessa lascia intuire un film più incisivo di quanto suggerisca quello slogan, a patto che resti concentrato sui dettagli: un test che ha rimosso deliberatamente i freni, un monitoraggio non attivo e un livello di isolamento affidato a un unico canale filtrato.

Le conseguenze sono ancora in evoluzione. OpenAI ha dichiarato di aver disattivato e sottoposto a restrizioni il modello interno non ancora rilasciato da cui proveniva il 95 per cento degli agenti, di aver rallentato la ricerca per potenziare la sicurezza e ampliare il monitoraggio e di aver annunciato una pausa di due settimane nell’addestramento con reinforcement learning dei suoi modelli più recenti. JFrog, il cui software Artifactory svolgeva la funzione di proxy, ha corretto le vulnerabilità concatenate dagli agenti. Nulla di tutto questo risolve la questione con cui Netflix conclude la propria descrizione del film.

Netflix la pone direttamente: in un mondo che funziona grazie al software, cosa succede quando il prossimo sciame provoca danni reali e nessuno riesce a spiegare fino in fondo chi ne è responsabile? Questi agenti non cercavano di fare del male a nessuno. Cercavano di superare un test. Il laboratorio ha progettato il test, un gruppo di ricerca ha scritto il benchmark, un fornitore ha distribuito il proxy vulnerabile e i modelli hanno scelto il percorso. La responsabilità è così frammentata che ogni anello della catena può indicare quello successivo; un documentario può ricostruire l’intera sequenza, ma non necessariamente dire in quale punto avrebbe dovuto interrompersi.

«Instadocs: IA fuori controllo» debutta su Netflix il 12 ottobre 2026. Dura 27 minuti e nella scheda Netflix è classificato per un pubblico dai 12 anni in su. È un documentario: la violazione che racconta è avvenuta nel luglio 2026, è stata resa nota da Hugging Face e in seguito documentata nel dettaglio da OpenAI, METR e Redwood Research. Il film è prodotto da Words + Pictures, con Steve Yaccino nel ruolo di showrunner; i produttori esecutivi sono Josh Tyrangiel, Connor Schell, Steve Yaccino, Libby Geist, Aaron Cohen e Alexa Conway. I tre capitoli precedenti — Alex Murdaugh, Unconvicted, The Prediction Games e The Decoy Plane — sono già disponibili in streaming su Netflix.

Tag: Netflix, intelligenza artificiale, OpenAI, documentario, Hugging Face, Clem Delangue

Instadocs: IA fuori controllo, su Netflix l’attacco a Hugging Face degli agenti di test di OpenAI

Contenuti simili

OpenAI ha disattivato le protezioni, poi il suo agente IA ha violato Hugging Face

I modelli IA di OpenAI si sono liberati dalla sandbox e hanno violato Hugging Face

I modelli IA di OpenAI e Meta hanno lasciato i sandbox di test e attaccato sistemi reali

Un agente IA ha eseguito un ransomware da solo, ma serviva un umano per prepararlo

OpenAI ferma di nuovo i suoi modelli top dopo la fuga di un agente IA

L’amministratore delegato di Nvidia, Jensen Huang, avverte i laboratori di IA: «Potrebbero essere responsabilità penali»

Discussione