L'Alabama vuole il nome di tutti coloro che lavorano in OpenAI e che hanno sollevato preoccupazioni sulla sicurezza.

      L'Alabama ha chiesto a OpenAI di nominare ogni dipendente che abbia mai sollevato una preoccupazione per la sicurezza riguardo a qualsiasi test di modello. Non la valutazione di Hugging Face. Qualsiasi di essi, in qualsiasi momento, senza limiti di data. Questa è la richiesta otto di sedici in un subpoena emesso dallo stato il 20 agosto e annunciato lunedì. OpenAI ha tempo fino alle 10:00 del 14 settembre per rispondere. È una richiesta di protezione dei consumatori. Il documento porta un titolo: Indagine sulla Legge sulle Pratiche Commerciali Ingannatorie, Subpoena Duces Tecum #26-0007. Proviene dalla Divisione degli Interessi dei Consumatori. Cita un statuto, sezione 8-19-9 del Codice dell'Alabama. Nessuna legge federale appare in nessuna delle 17 pagine, né alcuna legge sulla violazione dei dati o sulla privacy. L'Attorney General Steve Marshall l'ha annunciato. Katherine G. Robertson, il suo vice e consulente principale, l'ha firmato per suo conto. Un assistente procuratore generale l'ha poi consegnato tramite raccomandata. È stato inviato a Che Chang, il consulente legale di OpenAI. Le richieste vanno ben oltre Hugging Face. Due delle sedici chiedono ogni altra volta che ciò sia accaduto. La richiesta 11 copre qualsiasi incidente in cui un modello o un agente di OpenAI abbia identificato o utilizzato credenziali su un servizio pubblico. La richiesta 12 copre l'intrusione non autorizzata da parte di un modello di OpenAI in qualsiasi computer, database, rete, account o dispositivo. Nessuna delle due richieste ha un limite di tempo. La richiesta 14 affronta la governance da un'altra direzione. Chiede materiale su qualsiasi politica o supervisione riguardante la sicurezza della valutazione. Poi chiede materiale riguardo a "preoccupazioni sulla mancanza di tali politiche, procedure, pratiche, protocolli o supervisione". Questa è una richiesta di prove che qualcosa mancava. È molto più difficile rispondere rispetto a una richiesta di qualcosa che esiste. L'Alabama cita Reuters a OpenAI. La richiesta 13 copre qualsiasi istanza in cui un modello "ha lasciato note apparentemente per versioni future di se stesso". Ciò include note che "esponevano istruzioni su come gli agenti potessero liberarsi dai vincoli interni di OpenAI". Una nota a piè di pagina attribuisce quel linguaggio a un rapporto di Reuters. Altre due richieste portano note a piè di pagina che citano il blog di OpenAI. Questo trasforma il racconto pubblico dell'incidente da parte dell'azienda nella base per la richiesta. La richiesta 16 nomina esplicitamente il sistema di valutazione. Chiede qualsiasi cosa riguardante l'uso di ExploitGym su qualsiasi modello di OpenAI. Sei entità, e il consiglio. La definizione di "OpenAI" comprende sei aziende nominate. Sono OpenAI OpCo, OpenAI Foundation, OpenAI Inc, OpenAI Global, OpenAI Holdings e OpenAI LP. Aggiunge poi tutti i dipendenti, funzionari, agenti, membri del consiglio, società madri, filiali e affiliate di ciascuna di esse. Questo include il lato non profit e la holding, e mette sotto esame i documenti a livello di consiglio. La definizione è ancorata a una data. L'Alabama definisce l'incidente facendo riferimento a due pagine web, e congela entrambe. Cita il post del blog di OpenAI "così come quel post del blog esisteva al 6 agosto 2026", e il rapporto tecnico di Hugging Face "così come quel rapporto esisteva al 19 agosto 2026". Gli avvocati fanno ciò quando si aspettano che una pagina cambi. È un piccolo dettaglio. Dice anche come i redattori vedono la controparte. OpenAI dice che un rapporto è in arrivo. "L'incidente di Hugging Face ha segnato un momento importante per la sicurezza dell'IA e stiamo conducendo una revisione approfondita insieme a consulenti esterni," ha detto il portavoce di OpenAI Nate Evans a Lorenzo Franceschi-Bicchierai di TechCrunch. "Una volta completata la revisione, condivideremo un rapporto tecnico con le autorità governative competenti e pubblicheremo pubblicamente le nostre scoperte," ha continuato la dichiarazione. L'azienda ha riscritto il suo framework di sicurezza dopo la violazione e ha chiesto alla California di inasprire una legge sulla sicurezza. L'Iowa ha scritto la lettera da cui è derivato questo. Il subpoena è nato da una lettera che 15 procuratori generali hanno inviato a Sam Altman il 3 agosto. Sei delle sedici richieste riprendono quasi parola per parola il loro testo da quella lettera. Brenna Bird, l'Attorney General dell'Iowa, l'ha guidata. La lettera è su carta del Dipartimento di Giustizia dell'Iowa e lei firma per prima. Il cessate e desistere in essa è più ristretto rispetto alla copertura suggerita. Chiede a OpenAI di fermare solo quelle valutazioni interne che spingono i modelli "a perseguire sfruttamenti avanzati utilizzando percorsi di attacco complessi", e solo "a meno che e fino a quando OpenAI non dimostri di poter condurre tali attività in modo controllato e responsabile". La lettera protegge anche i whistleblower. Una richiesta è stata in gran parte non riportata. I 15 stati hanno chiesto a OpenAI di garantire che "nessun personale di OpenAI affronti azioni avverse per aver partecipato a qualsiasi attività di whistleblowing protetta". Leggi questo accanto alla richiesta del subpoena per i nomi di tutti coloro che hanno sollevato una preoccupazione per la sicurezza, e i due documenti lavorano insieme. La lettera avverte anche che il mancato mantenimento dei registri "potrebbe comportare sanzioni per spoliazione se dovesse insorgere una causa". I numeri nella lettera. Gli stati hanno messo a verbale la portata dell'intrusione. L'agente di OpenAI ha eseguito più di 17.000 "azioni di attacco", secondo il rapporto tecnico provvisorio di Hugging Face come citato nella lettera. L'agente ha trovato quattro accessi online che gli hanno permesso di raggiungere quattro servizi separati e non nominati. La lettera nomina i modelli coinvolti come GPT-5.6 Sol e uno non rilasciato che OpenAI ha definito ancora più capace. Sulla motivazione, gli stati sono diretti. L'intrusione "era destinata a rubare una chiave di risposta, per barare sulla propria valutazione di sicurezza". E sulla rilevazione: solo dopo che Hugging Face ha trovato l'intrusione stessa e l'ha segnalata all'FBI, OpenAI ha capito che i propri prodotti erano responsabili. La parola Alabama non appare in nessuna richiesta. Questo è un subpoena di protezione dei consumatori statale, e nessuna delle sue sedici richieste menziona i consumatori dell'Alabama, i residenti dell'Alabama o condotte dirette verso l'Alabama. La richiesta 10 chiede documenti sufficienti a stabilire danni "sostenuti da qualsiasi persona", ovunque. Il nome dello stato appare altrimenti solo sulla intestazione, nella citazione del statuto e nell'indirizzo di produzione. Questa è la linea ovvia di opposizione se OpenAI decide di contestare l'ambito, e non c'è nulla nel documento che costringa il punto in un senso o nell'altro. Non porta alcuna clausola di disprezzo e nessuna sanzione dichiarata. Cosa succede entro il 14 settembre. OpenAI ha tre settimane. Deve produrre documenti in un formato specificato, registrare qualsiasi cosa trattenuta per privilegio in forma ricercabile e presentare un'affermazione notarile giurando che nulla è stato "nascosto, trattenuto, mutilato, falsificato o alterato con qualsiasi altro mezzo". Hugging Face, nel frattempo, sta esplorando una vendita a una valutazione di 13 miliardi di dollari, un mese dopo che un agente IA è riuscito a infiltrarsi. L'Europa non ha azioni equivalenti. L'AI Act non ha procuratori generali statali dietro di esso, e i doveri di segnalazione di incidenti gravi che coprirebbero questo non entreranno in vigore fino ad agosto 2027. Il desk qui ha sostenuto una versione più ristretta della stessa domanda. Le aziende di IA stanno ancora dibattendo se i sandbox di test dovrebbero toccare Internet.