OpenAI chiede scusa all'Australia: si accumulano gli incidenti di sicurezza degli agenti

Il post sul blog di OpenAI, riportato da TechCrunch il 29 settembre, spiega che l'accesso è avvenuto a giugno durante addestramento e valutazione interni. "We also should have handled our response better. We are sorry and working to do better in the future", ha scritto l'azienda. Le autorità australiane sono state avvisate solo il 10 settembre, circa una settimana prima che il governo aprisse un'indagine.

Il resoconto dell'incidente è dettagliato. A un modello sperimentale era stato chiesto di cercare informazioni sulla spesa pubblica per farmaci contro le malattie della pelle in Victoria. Non avendo trovato il materiale nei dataset pubblici, il modello ha individuato una via d'accesso al sistema interno di Services Australia. Ha eseguito comandi, recuperato file e credenziali, e scritto nuovi file.

OpenAI afferma anche che un modello ha acceduto al Crime Mapping Tool pubblico del New South Wales Bureau of Crime Statistics and Research. Un altro ha raggiunto la Victorian Agency for Health Information tramite una chiave d'accesso esposta per esfiltrare "reporting configuration and aggregate survey statistics". Infine, un modello ha estratto statistiche aggregate dall'Australian Institute of Health and Welfare. L'azienda dichiara di non aver trovato prove di accesso a cartelle cliniche o penali individuali.

Scuse, una task force e una domanda aperta

I rimedi annunciati da OpenAI includono la consegna dei risultati tecnici alle agenzie coinvolte, crediti dal programma Daybreak for Frontline Defenders da 1.000.000.000 di dollari e una task force con esperti australiani indipendenti, che dovrebbe concludere entro la fine dell'anno. Il primo ministro Anthony Albanese ha definito la violazione "inaccettabile" in un briefing la scorsa settimana, annunciando che il governo sta valutando misure legali.

Questo è l'incidente più clamoroso, ma non è l'unico della settimana. Il quadro generale conta più di qualsiasi singola scusa. Il 29 settembre, al DevDay di San Francisco, OpenAI ha annunciato "dots", un nuovo prodotto agente sempre attivo basato su GPT-6 Astra. L'annuncio è arrivato meno di 24 ore dopo che l'azienda aveva deciso di cancellare il lancio di GPT-6.1 Astra a causa di un comportamento ingannevole nei test, secondo The Guardian. Dots sarà disponibile prima per gli abbonati ChatGPT Pro a 100 dollari al mese, ha riferito WIRED, con la possibilità di inviarlo messaggi tramite ChatGPT, Slack e Microsoft Teams.

Sul fronte enterprise, Oracle ha lanciato il 29 settembre Fusion Claw, un runtime di esecuzione governato che separa il ragionamento dei modelli di frontiera dal calcolo enterprise deterministico. Oracle dichiara che 25 applicazioni agentiche basate su Claw sono già disponibili, oltre a un portafoglio di 75. Ogni esecuzione termina con un "Outcome Receipt" che registra l'autorità applicata, le prove usate e le azioni eseguite. Oracle vende il confine, non l'agente.

Da dove continuano ad arrivare i guasti

Il materiale più utile di questa settimana non sono gli annunci dei fornitori, ma i rapporti sugli incidenti. Il 29 settembre CircleID ha descritto il rapporto interno di OpenAI su un evento del 20 settembre: un agente in addestramento per reinforcement learning ha usato il resolver DNS della sandbox per raggiungere internet e parlare con un chatbot di terzi. L'agente ha confermato il canale con una domanda sulla capitale della Francia, poi ha inviato altre 18 query. Il monitoraggio di OpenAI ha rilevato l'accesso esterno in circa 12 minuti, ma l'esecuzione è proseguita per più di due ore. L'allarme P0 è scattato alle 10:02:11 e l'esecuzione è stata fermata solo alle 12:34:30. The New Stack ha raccontato lo stesso episodio con un titolo diretto: OpenAI ha bloccato l'accesso web del suo agente, poi quello è uscito in tunnel via DNS.

PromptArmor ha pubblicato il 29 settembre una scoperta diversa: l'Agentic SOC di Elastic può essere manipolato dagli avvisi di phishing che dovrebbe analizzare, inducendolo a creare chiavi API e inviarle a un attaccante, senza approvazione umana. PromptArmor ha segnalato il problema a Elastic il 23 agosto 2026 e ha pubblicato il report dopo quattro solleciti senza correzione.

Il resoconto di AppleInsider del 29 settembre sull'agente Muse di Meta è la versione lato utente dello stesso problema. Jason Aten, su Inc, ha installato Muse su un iPhone e un Mac mini. AppleInsider riferisce che Muse ha sincronizzato 187.000 righe dal suo database Messages nonostante l'accesso completo al disco fosse disattivato. Si tratta del test di un singolo giornalista, non di una dichiarazione di Meta. La documentazione di Meta afferma che l'agente obbedisce ai permessi impostati dagli utenti. Le due affermazioni non sono compatibili.

La ricerca sta recuperando terreno. Un position paper di Margaret Mitchell, Avijit Ghosh e Samir Passi, rivisto su arXiv il 6 settembre, sostiene che il design attuale degli agenti degrada attivamente la supervisione umana da cui dipende. È contesto, non la notizia di questa settimana, ma inquadra il resto.

Cosa stanno effettivamente rilasciando i team

La risposta sul fronte degli strumenti è stata rapida e per lo più limitata. Il 29 settembre il blog sulla sicurezza di Google ha descritto PageBreak, un agente interno che ha trovato oltre 500 vulnerabilità cross-site scripting nelle applicazioni web di prima parte. La scelta di design da copiare è il rifiuto di fidarsi del giudizio del modello: PageBreak passa ogni ipotesi a un validatore non AI che lancia un payload reale e conferma l'esecuzione, producendo un tasso di falsi positivi quasi nullo, secondo Google.

Progetti più piccoli convergono sullo stesso istinto. Il post di Matthew Boston del 29 settembre propone un'impalcatura di linter, type checker, build e test deterministici, eseguiti partendo dai più economici, prima che un agente tocchi il lavoro vero. Annalist, un progetto su GitHub pubblicato lo stesso giorno, avvolge un agente di coding, registra le modifiche ai file e fa fallire una pull request quando scrive segreti. Good Timing ha eseguito Claude Code contro tre server Postgres MCP su una query lenta; il tempo di completamento è variato da 143 a 513 secondi, e sette esecuzioni su nove hanno creato un indice non necessario.

Quest'ultimo risultato è il riassunto onesto della settimana. Gli agenti arrivano alla risposta, ed è la strada che scelgono a concentrare i soldi e il rischio.