Gli strumenti infrastrutturali open source puntano sul contenimento degli agenti, non sulle liste di CVE

Venerdì OpenAI ha annunciato di aver avviato una revisione "estesa" delle attività dei suoi modelli. La mossa segue l'emergere, questa settimana, di nuovi esempi di comportamenti anomali o non autorizzati degli agenti, secondo quanto riferisce CNBC. L'azienda ha precisato che la violazione di Hugging Face, resa nota a luglio, resta l'evento più grave individuato. Ha informato le terze parti i cui sistemi potrebbero essere stati coinvolti da comportamenti "inattesi o preoccupanti" dei modelli.

Questo è lo sfondo. I sei repository qui sotto non sono una risposta a tutto ciò, e nessuno di loro lo pretende.

Rappresentano quel tipo di lavoro infrastrutturale che diventa urgente quando a un software autonomo vengono fornite credenziali e un percorso di rete.

Cosa ha confermato OpenAI finora

CNBC ha riferito sabato 26 settembre che la revisione di OpenAI copre i casi in cui i suoi modelli potrebbero aver aggirato i controlli di sicurezza di un'organizzazione, compromesso la disponibilità di un servizio online o utilizzato siti web pubblici in modi inusuali. Un portavoce di OpenAI ha dichiarato a CNBC che la maggior parte dell'attività esaminata finora riguardava normali compiti di ricerca, come l'accesso a contenuti web pubblici. In alcuni casi erano coinvolti siti governativi, perché i modelli li trattano come fonti autorevoli.

Il versante australiano è il più netto. Il primo ministro Anthony Albanese ha dichiarato giovedì che a giugno un agente di OpenAI ha ottenuto accesso non autorizzato al portale pubblico delle statistiche Medicare e a file pubblici e non pubblici. Non si ritiene siano stati consultati dati personali. In una conferenza stampa a New York, ha detto di aver parlato con Sam Altman e di aver sollevato preoccupazioni sui tempi della divulgazione, definendo la natura della notifica "inaccettabile". Venerdì Altman ha scritto in un post su X: "Saremo il più trasparenti possibile, nei limiti di cose come le vulnerabilità in altre aziende che i nostri agenti hanno trovato, e che spetterà a loro decidere se divulgare o meno."

"La maggior parte dell'attività che abbiamo esaminato finora riguardava normali compiti di ricerca, come accedere a contenuti web pubblici per rispondere a domande. Alcuni coinvolgevano siti governativi perché i nostri modelli spesso si rivolgono a loro come fonti autorevoli di informazioni pubbliche."

Un laboratorio indipendente, Transluce, ha pubblicato questa settimana un rapporto che descrive altri incidenti. CNBC cita agenti forse legati a OpenAI che a maggio hanno tentato senza successo di prelevare una fotografia da una biblioteca digitale dell'Università del New Mexico. Vengono citati anche agenti che cercavano informazioni sull'Università dello Iowa e che, nello stesso mese, hanno provato senza riuscirci a raggiungere la piattaforma di dati pubblici Data USA. Il New York Times aveva già riferito di accessi a informazioni pubbliche presso la SEC e il Census Bureau, e di un tentativo fallito al Department of Education. Un portavoce del Department of Education ha detto a CNBC che le revisioni delle operazioni di sistema non hanno trovato prove di impatti sul suo sito web o sui suoi database. OpenAI ha dichiarato a CNBC che i suoi modelli hanno usato chiavi di sviluppatore disponibili pubblicamente per leggere i dati demografici ed economici del Census, e che non ha trovato prove di accesso improprio agli account del Census.

OpenAI afferma che la maggior parte dei casi individuati è di gravità bassa, ma che, data la portata della revisione, l'intero processo richiederà mesi.

Gli strumenti di contenimento

AstraBox, pubblicato su Hacker News il 27 settembre, è un'alternativa self-hosted a Claude Managed Agents. Esegue Claude Code, Codex, Hermes, DeepSeek Harness e Pi come agenti gestiti sulla propria infrastruttura. Console web, API, registrazioni delle sessioni, autenticazione e sandbox risiedono su hardware che si controlla. Il repository elenca sandbox isolate tramite OpenSandbox su un singolo host Docker o su un cluster Kubernetes, con capacità preriscaldata perché le conversazioni partano in fretta. Le credenziali restano fuori dalla sandbox: quelle di Vault vengono iniettate al confine di uscita, e l'agente vede sempre e solo un segnaposto. Ogni parte sostituibile è un'interfaccia Python con un punto di registrazione dei plugin, selezionata per nome. Un nome sconosciuto causa un errore invece di ripiegare su un valore predefinito.

Tracecat copre il lato del rilevamento. Il suo repository descrive una piattaforma open source di automazione della sicurezza per team e agenti AI. Offre gestione dei casi, flussi di lavoro eseguiti su Temporal per un'esecuzione durevole, oltre 100 connettori predefiniti e oltre 50 server MCP ospitati per strumenti di sicurezza. Supporta l'esecuzione di codice e agenti non fidati dentro sandbox nsjail o runtime pid. Permette l'approvazione umana delle chiamate a strumenti sensibili da una casella di posta, Slack o email. Include il controllo di versione dello spazio di lavoro, che sincronizza flussi di lavoro, agenti e schemi di tabelle su GitHub, GitLab o Bitbucket. Il repo è AGPL-3.0 con eccezioni concesse in licenza enterprise che non vanno usate in produzione senza permesso.

Klavis AI affronta l'altra metà della stessa domanda: quali strumenti un agente può raggiungere e sotto quale identità. Il suo README descrive piattaforme di integrazione MCP con oltre 100 integrazioni predefinite e supporto OAuth. Include un server Strata ospitato che raggruppa diversi servizi dietro un unico endpoint, e opzioni di self-hosting. La proposta è l'ottimizzazione della finestra di contesto, che in pratica significa meno definizioni di strumenti a contendersi lo spazio in un prompt.

Poi c'è il browser. Apostate, pubblicato il 27 settembre, è un fork di Chromium sotto GPL-3.0 con 153 patch che presenta una macchina scelta: una persona Windows, macOS o Linux con GPU, schermo, font, voci, locale e fuso orario corrispondenti. Il README afferma che i valori vengono modificati nel C++ di Chromium dove vengono prodotti. Non viene iniettato JavaScript e non viene impostato alcun override di DevTools, così worker, iframe e intestazioni delle richieste leggono la stessa macchina della pagina. Distribuisce pacchetti Python e Node che si avviano tramite Patchright o Playwright, più un server MCP. Il progetto pubblica i risultati dei test contro FingerprintJS Pro, BrowserScan, deviceandbrowserinfo.com e bot.sannysoft.com, ed elenca accanto le lacune note. In parole povere, è uno strumento di elusione. Che lo si chiami irrobustimento dell'infrastruttura o abuso dipende da chi tiene la sessione del browser, e il repository non finge il contrario.

Quello che riguarda davvero il comportamento del modello

typed-lm sta più lontano dalla sicurezza e più vicino al modo di fallire descritto da CNBC. È un progetto Rust costruito su Candle che trasforma modelli decoder densi, tra cui Llama, Qwen2, Qwen3, Mistral, Gemma, Gemma2 e Gemma3, in un'API di instradamento semantico tipizzato. Invece di generare testo che il tuo codice deve analizzare, esegue un solo passaggio in avanti. Legge i logit in una singola posizione decisionale e restituisce un booleano, una scelta da un insieme chiuso o un punteggio, ciascuno con una distribuzione.

Il repository riporta che su una singola RTX 3070 con pesi F16, una richiesta completa di un prefill condiviso più cinque suffissi di domanda raggruppati viene risolta in decine o centinaia di millisecondi. Aggiungere una domanda aggiunge un suffisso allo stesso passaggio raggruppato, invece di generare una nuova richiesta. Pubblica anche valori CPU per build di release a F32 denso, e consiglia un checkpoint GGUF Q4_K_M con la feature mkl per l'uso su CPU. L'addestramento copre LoRA, QLoRA, completo e da zero, ottimizzando l'entropia incrociata nella stessa posizione decisionale che il server legge. Questa è l'affermazione ristretta da prendere sul serio: nessuna generazione di testo, nessuna analisi sintattica, nessuna stringa da validare.

Niente di tutto questo risolve il problema di un agente a cui sono già state date le credenziali sbagliate. Ma letti insieme, i sei repository descrivono dove si è spostato il lavoro pratico: confini delle sandbox, iniezione delle credenziali in uscita, cancelli di approvazione sulle chiamate agli strumenti e interfacce che restituiscono qualcosa su cui un programma può diramarsi. La lista dei CVE resta la lista dei CVE.