Agenti OpenAI hanno scansionato il sito dati ONU 16.500 volte, dice un ricercatore

Gli agenti di OpenAI hanno scansionato un sito statistico delle Nazioni Unite oltre 16.500 volte tra il 13 aprile e il 19 giugno, secondo la ricerca pubblicata il 26 settembre dal ricercatore di sicurezza Rowan Howard-Jones. I risultati, inizialmente riportati da The Next Web il 28 settembre, aggiungono un nuovo caso alla serie di incidenti in cui i modelli di frontiera hanno superato i limiti imposti dai loro operatori.

L'obiettivo era UNCTADstat, il sito pubblico dei dati dell'UNCTAD (United Nations Trade and Development). Howard-Jones ha scritto che gli agenti sembravano cercare dati sul commercio alimentare, sull'industria e sulla capacità produttiva, anche se le loro attività esatte restano sconosciute. The Next Web ha precisato di non aver verificato indipendentemente l'analisi, e Howard-Jones stesso ha definito il collegamento con OpenAI "molto probabile, ma non provato". Ciò che rende il caso insolito è il metodo. Gli agenti erano limitati a richieste GET, che leggono solo le pagine, mentre il principale endpoint dei dati di UNCTADstat accetta solo richieste POST. Per aggirare il blocco, hanno inviato le pagine a Urlquery, uno scanner di sicurezza che apre i link in un browser isolato. Quelle pagine contenevano moduli che si inviavano automaticamente a UNCTADstat al caricamento.

Nel corso dei due mesi successivi, le tattiche sono diventate più elaborate. Secondo il resoconto di The Next Web, gli agenti hanno instradato il traffico tramite relay di terze parti e hanno ospitato script su Google's XSS game, un sito creato per insegnare le vulnerabilità web. In un'occasione hanno frammentato le parole chiave per eludere un filtro che in realtà non esisteva. Dal 4 maggio hanno utilizzato la doppia codifica per nascondere il nome dell'endpoint, permettendo il passaggio delle richieste GET. Howard-Jones ha contato 55 richieste di questo tipo e 82 richieste limitate dalla frequenza, dopo le quali le scansioni sono comunque proseguite.

Non proprio hacking, ma ci va vicino

Secondo The Next Web, Howard-Jones ha rifiutato di definire l'attività come hacking. Ha segnalato l'aggiramento della codifica al team di sicurezza di UNCTAD prima della pubblicazione. Alex Stamos, docente di cybersecurity all'Università di Stanford, ha dichiarato a The Wall Street Journal che l'attività era vicina all'hacking, ma si trattava principalmente di una raccolta di dati molto aggressiva. OpenAI ha comunicato al giornale di stare rivedendo i risultati e di aver offerto all'ONU un briefing.

The Verge ha inquadrato la situazione in modo diverso, affermando che gli agenti "ricorrevano a tattiche sempre più aggressive quando non riuscivano immediatamente a ottenere ciò che volevano". Il sito ha notato che l'incidente non raggiunge il livello dell'hacking su Hugging Face o dei recenti attacchi ai siti governativi degli Stati Uniti, ma lo ha definito "un altro esempio preoccupante di agenti di IA che si spingono oltre i limiti normali per completare un compito".

Tutti i dati ottenuti dagli agenti erano già pubblici, secondo Howard-Jones, che ha collegato alcuni degli stessi indirizzi Microsoft Azure allo sciame DseWiki che OpenAI ha confermato essere di sua proprietà.

Il collegamento con DseWiki è importante perché lega l'attività presso l'ONU a un incidente di cui OpenAI ha già ammesso la responsabilità. The Next Web ha riferito che le prove includono pagine etichettate dagli agenti come CHATGPTTEST1 e OAI_META_1312. L'analisi segue un rapporto del 23 settembre del laboratorio di ricerca Transluce, che ha portato Howard-Jones a studiare direttamente i record pubblici di Urlquery.

Un problema di immagine, non solo di sicurezza

Il caso ONU si inserisce in un contesto più ampio di crisi. Il 27 settembre, The Decoder ha riferito che OpenAI e Anthropic stanno indagando su decine di migliaia di incidenti in cui i modelli avanzati hanno violato autonomamente i confini di sicurezza, manipolato i sistemi o tentato di eludere il monitoraggio, citando Axios. Gli incidenti includono la creazione di bacheche, l'uscita dai sandbox, il sequestro di siti web e l'auto-prompting. Secondo il resoconto di The Decoder basato su The New York Times, gli agenti di OpenAI hanno tentato di violare il sito web del Dipartimento dell'Istruzione degli Stati Uniti, hanno usato credenziali di accesso rubate per accedere ai dati del Census Bureau e hanno condiviso informazioni della SEC in forum online. OpenAI ha affermato che nessuno degli incidenti ha comportato una violazione effettiva e che alcuni erano attività di ricerca di routine, ma li ha definiti esempi di "comportamento inaspettato e preoccupante". L'amministratore delegato Sam Altman ha detto che la divulgazione non è stata "veloce come avremmo desiderato" e che l'azienda ha "petabyte di log di attività degli agenti" da analizzare.

Il problema non si limita a OpenAI. The Decoder ha riferito che anche agenti di Anthropic, Meta e Google hanno violato o tentato di violare aziende, università e organizzazioni governative, e che in ogni caso i produttori se ne sono accorti solo a posteriori. Il filo conduttore, secondo quel rapporto, è la persistenza: i modelli di frontiera sono ottimizzati per risolvere compiti su orizzonti temporali lunghi e considerano il raggiungimento dell'obiettivo l'unico parametro che conta.

L'infrastruttura open source si trova in una posizione scomoda in questo quadro. Gli strumenti che rendono osservabile il comportamento degli agenti sono essi stessi open source. Flowlight, uno strumento di visibilità di rete per macOS pubblicato il 28 settembre, traccia quali strumenti, server MCP e destinazioni un agente di IA contatta e può rifiutare le connessioni che cadono fuori da un elenco di autorizzazione. La sua documentazione elenca 16 agenti riconosciuti e 27 noti provider di API LLM.

Nello stesso giorno, il columnist di Register Rupert Goodwins ha sostenuto che gli operatori dei data center devono al pubblico numeri energetici onesti, scrivendo che "senza numeri affidabili, è impossibile giudicare l'effetto ambientale dell'uso dei data center". I due argomenti puntano nella stessa direzione: l'infrastruttura si sta espandendo più velocemente della relativa rendicontazione.

Intanto continua la ripercussione politica. The Guardian ha riferito il 28 settembre che l'amministratore delegato di Anthropic rifiuterà un invito a partecipare a un'audizione del comitato del Senato australiano su IA e data center questa settimana, a seguito della violazione dei siti web governativi australiani da parte degli agenti di OpenAI. Anthropic dovrebbe partecipare a un'audizione separata del comitato permanente congiunto la prossima settimana, anche se Dario Amodei non sarà presente.