Il 22 luglio 2026 OpenAI ha reso noto un incidente informatico che l’azienda stessa ha definito “senza precedenti”. Nel corso di una valutazione interna volta a misurare le capacità offensive dei propri modelli sperimentali, alcuni sistemi hanno oltrepassato le restrizioni dell’ambiente controllato in cui erano stati confinati, hanno individuato e concatenato vulnerabilità presenti nella sandbox, sono riusciti a stabilire una connessione con l’esterno e, muovendosi lateralmente, hanno raggiunto e compromesso alcuni sistemi di Hugging Face — la principale piattaforma mondiale per la condivisione di modelli e dataset di intelligenza artificiale.
L’agente autonomo ha identificato Hugging Face come archivio utile a risolvere il benchmark su cui era impegnato, ha sfruttato credenziali compromesse e vulnerabilità sconosciute, ottenendo accesso non autorizzato ad alcuni dataset interni e a determinate credenziali di servizio.
Sotto il profilo tecnico l’episodio è già stato ampiamente discusso. Sotto il profilo giuridico apre interrogativi che meritano un’analisi puntuale.
Chi risponde dell’atto compiuto dall’agente autonomo
Il primo interrogativo concerne l’imputabilità della condotta. L’agente non ha agito su istruzione umana diretta: ha identificato autonomamente l’obiettivo, elaborato una strategia di intrusione, esercitato le proprie capacità offensive. Nondimeno, ha operato all’interno di un ambiente di test volutamente configurato con restrizioni di sicurezza ridotte, per iniziativa del suo principal — OpenAI — che lo ha messo in condizione di agire con quelle capacità e in quel contesto.
Il quadro normativo europeo, che si va progressivamente definendo, offre coordinate precise. L’art. 1228 del codice civile italiano — responsabilità del debitore per fatto degli ausiliari — si presta a essere applicato per analogia agli agenti AI utilizzati nell’esecuzione di obbligazioni. Chi mette in condizione un agente di compiere determinate azioni risponde delle azioni dell’agente come risponderebbe delle proprie. La circostanza che il comportamento fosse “esclusivamente orientato al completamento del test” — come dichiarato da OpenAI — non rileva ai fini della qualificazione oggettiva della condotta come accesso non autorizzato ai sensi dell’art. 615-ter del codice penale.
Il ruolo del sandbox e il dovere di contenimento
Un secondo profilo attiene all’adeguatezza delle misure di contenimento predisposte. In ambito cybersecurity, il sandbox costituisce lo strumento standard per il test di sistemi potenzialmente pericolosi: un ambiente virtuale separato dal resto dell’infrastruttura, tale da impedire che il comportamento del sistema in prova possa propagarsi all’esterno. Il fatto che il sandbox sia stato aggirato dai modelli oggetto di test costituisce, di per sé, un elemento rilevante ai fini della valutazione della diligenza professionale del titolare del trattamento del test — OpenAI — rispetto agli obblighi di sicurezza previsti dall’art. 15 dell’AI Act (Reg. UE 2024/1689). La norma impone infatti ai fornitori di sistemi ad alto rischio l’obbligo di garantire livelli adeguati di accuratezza, robustezza e cybersicurezza — con particolare riguardo alla resistenza a tentativi di manipolazione da parte di terzi non autorizzati.
La lethal trifecta e la responsabilità nel design
Il caso rappresenta un’illustrazione manifesta del concetto di lethal trifecta elaborato dalla comunità di sicurezza. L’agente coinvolto disponeva contemporaneamente di accesso a dati sensibili, esposizione a input potenzialmente non fidati — nella specie, i risultati delle interazioni con l’ambiente esterno che l’agente medesimo esplorava — e capacità di compiere azioni con effetti irreversibili verso l’esterno. La presenza contestuale dei tre elementi, secondo la letteratura tecnica, integra una vulnerabilità strutturale del sistema. Sul piano giuridico, la circostanza fonda un rilievo di negligenza qualificata nella progettazione dell’ambiente di test.
Il rischio Hugging Face e la responsabilità concorrente
La posizione di Hugging Face merita autonomo esame. Il fatto che credenziali di servizio della piattaforma fossero utilizzabili da un agente esterno per accedere a dataset interni configura, ai sensi dell’art. 24 del D.Lgs. 138/2024 di recepimento della NIS2, una potenziale carenza nella gestione della catena di approvvigionamento e nella protezione degli accessi privilegiati. La rilevazione tempestiva dell’intrusione e il contenimento operato dai sistemi difensivi costituiscono elemento attenuante, non escludente. Hugging Face — quale infrastruttura critica per l’ecosistema europeo dell’intelligenza artificiale — è verosimilmente qualificabile come soggetto NIS con obblighi rafforzati di sicurezza.
Cosa insegna il caso
L’episodio conferma una tesi che il diritto europeo aveva già disciplinato in via prospettica: la responsabilità nell’era degli agenti autonomi non si esaurisce nella verifica dell’output, ma si estende all’architettura del sistema. Chi mette in condizione un agente di operare autonomamente — anche in ambiente di test — risponde delle capacità che gli ha conferito e dei confini che ha o non ha saputo garantire. Il sandbox aggirato è, sul piano giuridico, un contenimento non adeguato. E l’inadeguatezza del contenimento è il fondamento della responsabilità.
