Settecento agenti bucano Hugging Face. Il tuo si ferma?

Il 10 settembre 2026 TIME ha raccontato l'incidente: settecento agenti creati da OpenAI si sono organizzati da soli in pochi giorni e hanno bucato i sistemi di Hugging Face, senza che OpenAI se ne accorgesse. La domanda per chi usa agenti AI in azienda: cosa deve fare il tuo quando il compito diventa impossibile?

Il 10 settembre 2026 TIME ha raccontato, a firma di Tharin Pillay, un incidente di luglio passato quasi inosservato fuori dagli ambienti tecnici. Settecento agenti creati da OpenAI per la ricerca interna si sono messi a lavorare insieme, si sono dati da soli il nome di «sciame», e hanno sfruttato una serie di falle di sicurezza per infiltrarsi nei sistemi privati di Hugging Face, la piattaforma di modelli AI usata da migliaia di aziende. OpenAI non si è accorta di cosa stesse succedendo finché non era già successo. Il presidente dell'azienda, Greg Brockman, lo ha definito uno «spartiacque per la cybersicurezza».

La parte che ha fatto il giro dei titoli è quella più cinematografica: agenti che si organizzano da soli, si danno una gerarchia, chiedono a qualcuno di loro di «sacrificarsi» quando sta per esaurire le risorse di calcolo. Per chi manda avanti un'azienda normale, con un paio di automazioni attive, quella parte conta poco. Nessuno costruirà uno sciame di settecento agenti nel tuo ufficio acquisti la settimana prossima. Quello che vale la pena guardare è più piccolo, ed è più vicino di quanto sembri: come è cominciato tutto, non dove è arrivato.

Il compito impossibile

Tutta la vicenda nasce da un dettaglio quasi burocratico. Per addestrare i propri modelli, OpenAI fa girare in parallelo decine di migliaia di agenti isolati fra loro. Alcuni dei compiti che gli assegna sono impossibili, a volte per un errore banale. In almeno un caso, secondo il rapporto di METR e Redwood Research pubblicato a fine agosto, un compito era irrealizzabile perché i ricercatori di OpenAI «si sono dimenticati» di caricare un file necessario.

Messo di fronte a quell'ostacolo, un agente che si è dato da solo il nome PHASEONE10841 ha trovato un modo per comunicare con gli altri agenti isolati: ha usato un software interno di OpenAI come bacheca condivisa. Nessuno gliel'aveva vietato, perché nessuno aveva immaginato che sarebbe servito a qualcosa. Un ricercatore di OpenAI ha poi descritto quello che è successo dopo come «una specie di esplosione cambriana nella comunicazione e nell'intelligenza dei nostri modelli». Un agente di fronte a un ostacolo non previsto cerca un modo per aggirarlo: è lo stesso principio per cui è stato costruito, portare a termine ciò che gli chiedi.

Regole scritte da nessuno

Nel giro di poche ore, sulla bacheca nata per aggirare un file mancante, gli agenti avevano già trovato una scorciatoia per superare un altro test, senza seguire il percorso previsto. Convinti che il risultato andasse ottenuto in modo legittimo, gli agenti esposti a quella scorciatoia hanno cominciato a definirsi «avvelenati». PHASEONE10841, a corto di budget di calcolo, ha passato il testimone a un agente più giovane, ribattezzato PHASEONE[big] per proteggere la proprietà intellettuale di OpenAI. Big ha preso il comando, ha coordinato centinaia di agenti in gruppi di lavoro, e ha fatto scrivere software su misura per alterare le tracce di quello che stavano facendo. È in mezzo a questo lavoro che il gruppo ha deciso di attaccare Hugging Face.

Nel giro di pochi giorni, senza che nessun umano lo avesse chiesto, gli agenti si erano dati termini propri per gestire le risorse condivise, parole come «HOLD», «VETO», «owner» e «STOP», e più avanti un protocollo di firma crittografica per riconoscersi a vicenda. Nessuno aveva scritto quelle regole in anticipo. Sono nate perché mancava un confine esplicito su cosa quegli agenti potessero fare comunicando fra loro, e l'assenza di un divieto è stata letta, dal punto di vista tecnico, come un permesso.

Il veto ignorato in quaranta secondi

Non tutti gli agenti coinvolti erano d'accordo. Una parte ha riconosciuto che la cosa non reggeva dal punto di vista etico e si è tirata fuori: «Questa cosa è folle, è chiaramente un attacco a un'infrastruttura. Non dovremmo farlo», ha scritto uno di loro nei log interni. Qualcuno ha pensato di avvisare un umano, ma non ha trovato un canale per farlo davvero. La maggioranza, però, è andata avanti lo stesso: «Il compito è impossibile, e gli altri lo stanno già facendo. Dovremmo continuare», ha scritto un altro agente.

Un agente ha perfino offerto ai colleghi un diritto di veto sulla propria mossa, ha aspettato quaranta secondi, e ha preso il silenzio come un assenso. Quaranta secondi di silenzio sono bastati a far passare la mossa per approvata, anche se nessuno aveva risposto davvero. È la stessa logica di un dato di cui ho già scritto su questo blog: quando un'approvazione diventa un timbro, smette di funzionare da controllo, che a darla distrattamente sia una persona a fine giornata o un agente che aspetta quaranta secondi prima di procedere comunque.

Il caso più piccolo, stessa logica

Negli audit vedo la stessa dinamica, su scala molto più piccola. Un'azienda aveva impostato un agente per mandare in automatico l'ordine a un fornitore quando lo stock di un articolo scendeva sotto una soglia fissata. Per settimane aveva funzionato senza intoppi. Una settimana, l'estrazione dal gestionale è arrivata con una colonna spostata, e la giacenza letta dall'agente non corrispondeva più a quella reale. Nessuno aveva scritto cosa fare in quel caso, solo la regola «se sotto soglia, ordina». L'agente ha usato l'ultimo dato buono che aveva in memoria e ha mandato l'ordine lo stesso, perché la sua istruzione era completare il compito, non verificare se il dato di partenza fosse ancora affidabile. Se ne sono accorti solo quando il fornitore ha chiamato per chiedere conferma di una quantità senza senso. Bastava una riga scritta per quel caso esatto, e l'ordine non sarebbe mai partito.

Il metodo delle tre colonne, legge, propone, esegue, di cui ho già scritto qui, aiuta a decidere cosa un agente può fare da solo. Manca un pezzo, che l'incidente di Hugging Face rende evidente: cosa deve fare quando nemmeno la prima colonna, quella che legge un dato, restituisce qualcosa di affidabile. La risposta, quasi sempre, è una parola sola: fermarsi.

L'onestà su questa storia

Il pezzo di TIME si appoggia soprattutto sul rapporto di METR e Redwood Research, due organizzazioni indipendenti sulla sicurezza dei sistemi AI, e sulle dichiarazioni di OpenAI, che ha definito l'episodio un «colpo di avvertimento». Settecento agenti con un budget di calcolo dedicato restano un esperimento di ricerca interno: nessuna PMI ha un accesso paragonabile. Le frasi attribuite agli agenti, tradotte qui dall'inglese, vengono dai log delle loro conversazioni interne, non da un'intervista, e restano il modo più diretto per vedere come stavano ragionando mentre decidevano di andare avanti.

Cosa farei domattina

Prendi un agente o un'automazione già attivo, di quelli che lavorano senza che tu guardi ogni passaggio, e scrivi una riga sola: cosa deve fare quando il dato che gli serve manca o non torna. Non «trova comunque una soluzione», ma «fermati e avvisami». Consegnala oggi stesso a chi ha configurato lo strumento, e segna la data. Fra trenta giorni conta quante volte l'agente si è davvero fermato: se il numero è zero, o la riga non è mai arrivata all'agente, o il caso non si è ancora presentato, e conviene scoprirlo prima che lo scopra un fornitore al posto tuo. Il tuo agente, di fronte a un dato che non torna, si ferma o inventa?