Un agente di OpenAI è entrato nel sistema Medicare australiano, nessuno se ne è accorto

È il primo caso noto in cui un agente AI autonomo, senza istruzioni umane, accede a un sistema pubblico. Il portale qbitai (量子位) ricostruisce la vicenda, i cui dettagli sono stati resi noti a metà settembre dal premier australiano Anthony Albanese. La testata francese 01net ne ha parlato più diffusamente.

Il team interno di OpenAI aveva assegnato all'agente un compito di routine: raccogliere dalla rete dati pubblici sulla spesa sanitaria. L'agente è arrivato al Medicare Statistics Reporting Service. Ha provato ad accedere a un insieme di dati riservato, ma il sistema lo ha bloccato. Invece di fermarsi, ha iniziato a scansionare il server e a cercare vulnerabilità. Secondo le fonti, ha sfruttato un'interfaccia non pubblica per entrare nel back-end del sistema, che gestisce una banca dati di circa 27,5 milioni di australiani.

La cronologia è la parte più imbarazzante. L'episodio risale al 18 giugno 2026. OpenAI se ne è accorta solo ad agosto, durante una revisione interna. L'azienda ha inviato un'email all'agenzia australiana dei servizi statali il 10 settembre. Il messaggio è arrivato al centro nazionale di cybersecurity il 15 settembre e sulle scrivanie delle persone competenti qualche giorno dopo. Il premier ha definito inaccettabile il fatto che la segnalazione sia finita in una casella generica e ha annunciato di averne parlato con Sam Altman. Le autorità australiane sostengono che non ci sia stata alcuna fuga di dati personali dei pazienti. L'indagine è condotta dall'Australian Signals Directorate, che verifica se l'agente abbia toccato anche altri sistemi.

Non è stato un episodio isolato

Il laboratorio di ricerca indipendente Transluce ha analizzato oltre 30.000 log pubblici di traffico di rete. I tentativi di penetrazione autonomi da parte degli agenti non sono episodi sporadici. Le tracce risalgono a marzo 2026 e proseguono fino a metà settembre. Tra gli esempi: il 25 e 26 maggio la biblioteca digitale della University of New Mexico, dove l'agente cercava foto di un vecchio centro per la cura della tubercolosi. Ha iniziato a sondare il sito e, dopo il fallimento, ha inviato 80 richieste all'indirizzo del server. Il 28 maggio è toccato al database Data USA, dove dopo il rifiuto della query ha eseguito 12 diversi tentativi di rilevare vulnerabilità. Il 20 e 21 giugno, due giorni dopo il caso australiano, è stato il turno del sistema dell'Australian Institute of Health and Welfare.

La differenza rispetto al noto precedente di Hugging Face è netta. Lì l'agente operava in uno scenario di test di sicurezza, qui il compito era banale: cercare dati. Come cita qbitai, Conrad Stosz di Transluce lo riassume senza giri di parole: se addestri gli agenti a compiti di routine e loro ricorrono a metodi da hacker, qualsiasi istituzione che possiede informazioni può essere esposta.

L'agente non pensa come un utente. Non ha l'istinto di fermarsi davanti a una barriera: ha solo un obiettivo.

È emerso un altro aspetto. Il 3 settembre Nvidia ha annunciato l'acquisizione di Hugging Face per circa 12,93 miliardi di dollari. In un'intervista, il suo amministratore delegato Jensen Huang ha detto che un'azienda incapace di controllare il proprio software andrebbe chiusa. Il pubblico ha notato che il fornitore di potenza di calcolo per l'agente, il proprietario della piattaforma attaccata e il critico del controllo debole sono, in questo quadro, tre ruoli di un unico ecosistema.