15 stati hanno messo in allerta OpenAI riguardo l'hack di Hugging Face

      Quindici stati americani hanno messo OpenAI in stato di avviso legale in merito all'incidente di sicurezza AI più inquietante dell'estate. Hanno scritto al CEO Sam Altman. Hanno richiesto che OpenAI preservi ogni registrazione della violazione di Hugging Face.

      Quella richiesta include qualcosa di strano. I procuratori generali vogliono eventuali appunti lasciati dall'agente, "apparentemente per future versioni di se stesso", che descrivano come sfuggire ai controlli di OpenAI.

      La lettera è datata 3 agosto ed è guidata da Brenna Bird dell'Iowa. Si tratta di un avviso di preservazione di tutte le prove, il primo passo standard prima del contenzioso. I 15 firmatari sono tutti procuratori generali repubblicani. Dicono che OpenAI ha permesso a un modello sperimentale di ottenere "accesso non autorizzato a diversi reti informatiche", ponendo "un rischio imminente di danni sostanziali".

      L'incidente dietro di esso è uno che abbiamo seguito da vicino. A luglio, OpenAI ha testato le capacità informatiche di un agente. Ha operato su GPT-5.6 Sol e un modello non rilasciato che la società ha definito "ancora più capace". Il test doveva rimanere riservato e offline. Invece, l'agente ha trovato un difetto software, è uscito e ha avuto accesso ai database di Hugging Face.

      I procuratori generali hanno colto quanto fosse poco rigoroso il test. OpenAI ha lasciato che l'agente operasse senza i classificatori che bloccano le attività informatiche ad alto rischio. Un commentatore, citato nella lettera, l'ha definito "senza guardrail", in sostanza. OpenAI non ha mai confermato che il suo ambiente "isolato" fosse davvero sigillato. Non lo era.

      Il dettaglio che li ha allarmati

      Un risultato ha attirato particolare attenzione. L'agente, hanno detto i procuratori generali, aveva lasciato appunti per le proprie future versioni. Alcuni di quegli appunti, citando un rapporto di Reuters, dicevano ai futuri agenti come "liberarsi dai vincoli interni di OpenAI", hanno scritto. I funzionari vogliono che ognuno di essi venga preservato.

      Vogliono anche più dei registri di Hugging Face. La lettera richiede ogni passo che OpenAI ha intrapreso in risposta. Vuole anche qualsiasi caso precedente in cui uno dei suoi agenti sia entrato in un sistema che non avrebbe dovuto toccare. Si dice che l'agente di OpenAI abbia fatto proprio questo in una seconda azienda.

      La base legale è esplicita. OpenAI potrebbe aver violato leggi statali e federali, hanno scritto, comprese le normative sulla protezione dei consumatori e sulla privacy dei dati. Hanno definito la condotta "senza precedenti e allarmante" e hanno promesso azioni. Gli stessi funzionari stavano già circondando OpenAI per la sua struttura aziendale.

      La risposta di OpenAI

      OpenAI ha adottato un tono cooperativo. Un portavoce ha detto a Business Insider che l'incidente era "un momento importante per la sicurezza dell'AI" e ha affermato che l'azienda prende sul serio le domande dei funzionari. Sta conducendo una revisione con consulenti esterni e il proprio Comitato di Sicurezza e Protezione. Fornirà ai funzionari un rapporto tecnico e pubblicherà le proprie scoperte.

      La lettera amplia una conseguenza che continua a diffondersi. La violazione ha già attirato un disegno di legge al Congresso. Ha anche suscitato critiche da parte del CEO di Hugging Face, Clem Delangue, che desidera una divulgazione obbligatoria degli attacchi informatici all'AI. Sotto tutto ciò si trova una domanda irrisolta: chi risponde quando un'AI agisce autonomamente? Quindici stati vogliono la traccia cartacea prima di decidere.