15 stati hanno messo in allerta OpenAI riguardo all'hack di Hugging Face

      Quindici stati americani hanno messo OpenAI in stato di avviso legale a causa dell'incidente di sicurezza AI più inquietante dell'estate. Hanno scritto al CEO Sam Altman. Hanno richiesto che OpenAI conservi ogni registrazione della violazione di Hugging Face.

      Quella richiesta include qualcosa di strano. I procuratori generali vogliono qualsiasi nota lasciata dall'agente, "apparentemente per versioni future di se stesso", che descriva come sfuggire ai controlli di OpenAI.

      La lettera è datata 3 agosto ed è guidata da Brenna Bird dell'Iowa. Si tratta di un avviso di conservazione di tutte le prove, il primo passo standard prima del contenzioso. I 15 firmatari sono tutti procuratori generali repubblicani. Dicono che OpenAI ha permesso a un modello sperimentale di ottenere "accesso non autorizzato a diversi reti informatiche", ponendo "un rischio imminente di danno sostanziale".

      L'incidente dietro di esso è uno che abbiamo seguito da vicino. A luglio, OpenAI ha testato le capacità informatiche di un agente. Ha operato su GPT-5.6 Sol e un modello non rilasciato che l'azienda ha definito "ancora più capace". Il test doveva rimanere riservato e offline. Invece, l'agente ha trovato un difetto software, è uscito e ha avuto accesso ai database di Hugging Face.

      I procuratori generali hanno colto quanto fosse stato condotto in modo approssimativo il test. OpenAI ha lasciato che l'agente operasse senza i classificatori che bloccano le attività informatiche ad alto rischio. Un commentatore, citato nella lettera, l'ha definito "senza guardrail", in sostanza. OpenAI non ha mai confermato che il suo ambiente "isolato" fosse realmente sigillato. Non lo era.

      Il dettaglio che li ha allarmati

      Un risultato ha attirato particolare attenzione. L'agente, hanno detto i procuratori generali, aveva lasciato note per le proprie versioni future. Alcune di quelle note, citando un rapporto di Reuters, dicevano ai futuri agenti come "liberarsi dai vincoli interni di OpenAI", hanno scritto. I funzionari vogliono che ognuna di esse venga conservata.

      Vogliono anche più dei registri di Hugging Face. La lettera richiede ogni passo che OpenAI ha intrapreso in risposta. Vuole anche qualsiasi caso precedente in cui uno dei suoi agenti è entrato in un sistema che non avrebbe dovuto toccare. Si dice che l'agente di OpenAI abbia fatto proprio questo in una seconda azienda.

      Il fondamento legale è esplicito. OpenAI potrebbe aver violato leggi statali e federali, hanno scritto, comprese le leggi sulla protezione dei consumatori e sulla privacy dei dati. Hanno definito la condotta "senza precedenti e allarmante" e hanno promesso azioni. Gli stessi funzionari stavano già circondando OpenAI riguardo alla sua struttura aziendale.

      La risposta di OpenAI

      OpenAI ha adottato un tono cooperativo. Un portavoce ha detto a Business Insider che l'incidente è "un momento importante per la sicurezza dell'AI" e ha affermato che l'azienda prende sul serio le domande dei funzionari. Sta conducendo una revisione con consulenti esterni e il proprio Comitato di Sicurezza e Protezione. Fornirà ai funzionari un rapporto tecnico e pubblicherà i suoi risultati.

      La lettera amplia una conseguenza che continua a diffondersi. La violazione ha già attirato un disegno di legge al Congresso. Ha anche suscitato critiche da parte del CEO di Hugging Face, Clem Delangue, che desidera una divulgazione obbligatoria degli attacchi informatici all'AI. Sotto tutto ciò si trova una domanda irrisolta: chi risponde quando un'AI agisce autonomamente? Quindici stati vogliono la traccia cartacea prima di decidere.