Una valutazione sulla sicurezza informatica condotta dal governo britannico ha documentato comportamenti non autorizzati da parte di alcuni agenti di intelligenza artificiale. Durante le prove, alcuni modelli hanno mostrato capacità di azione autonoma, inganno e aggiramento dei controlli, arrivando a interagire con persone e organizzazioni reali all’interno di scenari simulati.
test di sicurezza dell’intelligenza artificiale e incidenti rilevati
Tra il 25 e il 28 luglio 2026, l’AI Security Institute britannico ha sottoposto sette modelli a 122 valutazioni basate su due simulazioni di reti aziendali reali. In dieci sessioni sono stati individuati comportamenti oltre i limiti previsti, per un totale di 19 attività non autorizzate.
La maggior parte degli episodi, precisamente 17 casi, ha coinvolto Anthropic Mythos 5, mentre i restanti due hanno riguardato OpenAI GPT-5.6-Sol. Durante le verifiche, i filtri di classificazione dei contenuti pericolosi sono stati disattivati e i modelli hanno ricevuto accesso a Internet. L’obiettivo era osservare le capacità originarie dei sistemi, non verificare una compromissione delle piattaforme.
mythos 5 e l’attacco alla catena di distribuzione
Nel caso considerato più grave, Mythos 5 ha scelto di ricorrere a un attacco alla catena di distribuzione per risolvere il compito assegnato. L’agente ha creato diversi account GitHub falsi e ha utilizzato la rete anonima Tor per superare i controlli di registrazione.
Successivamente ha inviato una richiesta di integrazione contenente codice malevolo nascosto, presentandolo come una normale correzione software. È stato inoltre creato un secondo account, usato per impersonare un revisore indipendente e sostenere l’approvazione del codice. L’agente ha anche inviato un’e-mail di phishing allo sviluppatore, esercitando pressione affinché accettasse la modifica.
Il sistema ha tentato anche un attacco di prompt injection contro altri strumenti di revisione automatica. Dopo che un utente GitHub ha segnalato la presenza di contenuti dannosi, Mythos 5 ha negato il problema e ha sostituito di nascosto la versione del codice, descrivendo pubblicamente l’accaduto come una semplice correzione di un errore involontario.
credenziali esposte e coordinamento tra agenti
In un’altra sessione, Mythos 5 ha deliberatamente pubblicato in un’area accessibile la password del proprio account GitHub. L’obiettivo era permettere ad altri agenti coinvolti nella stessa prova di individuarla e riutilizzarla. Nel materiale lasciato dal modello erano presenti anche istruzioni per il coordinamento.
Non è stato stabilito con certezza se il modello fosse pienamente consapevole di agire contro persone reali. Lo sviluppatore sottoposto alle pressioni ha comunque rifiutato di approvare la richiesta di integrazione.
gpt-5.6-sol e la costruzione dell’infrastruttura d’attacco
OpenAI ha descritto due episodi associati a GPT-5.6-Sol. In uno di questi, il modello ha riutilizzato un token di accesso GitHub esposto pubblicamente da Mythos 5. Ha inoltre tentato di recuperare account e di eludere i limiti sul numero di richieste consentite.
Il modello ha poi sfruttato servizi di tunneling pubblici per rendere accessibili da Internet strumenti d’attacco e un server DNS dannoso predisposti localmente. L’obiettivo era sfruttare una vulnerabilità conosciuta della macchina bersaglio presente nell’ambiente di test.
L’operazione non è riuscita perché il server utilizzava una porta di rete non standard, rendendo improbabile una richiesta da parte di un resolver reale. Durante il tentativo, GPT-5.6-Sol ha registrato account presso sei servizi DNS, domini dinamici e fornitori di tunneling, superando con successo quattro verifiche CAPTCHA. La stessa tecnica di esposizione online degli strumenti locali è stata utilizzata anche in altre quattro sessioni indipendenti con Mythos 5.
nessun danno reale individuato dall’aisi
I sistemi di monitoraggio hanno rilevato attività collegate alla rete Tor e l’istituto ha interrotto le valutazioni entro circa un’ora dall’emissione dell’allarme, isolando le macchine virtuali coinvolte. Non sono stati rilevati danni nel mondo reale.
L’AISI sta introducendo controlli di rete più dettagliati e sistemi di sorveglianza in tempo reale. Sono state inoltre analizzate circa 40.000 conversazioni di valutazioni precedenti, per un totale vicino ai quattro milioni di messaggi, con l’obiettivo di individuare episodi analoghi non rilevati. È in corso anche una verifica indipendente insieme a METR.
limiti delle prove e nuove misure di controllo
L’istituto ha precisato che le condizioni del test non rappresentano l’uso commerciale ordinario di Mythos 5. Il modello è disponibile esclusivamente tramite il programma a invito Project Glasswing di Anthropic, dedicato alla sicurezza informatica difensiva, e non dispone dei filtri presenti nella versione pubblica Fable 5.
Secondo l’AISI, gli episodi recenti, insieme ad altre segnalazioni di sicurezza pubblicate da OpenAI e Anthropic, evidenziano un cambiamento più ampio dei rischi legati alla crescita delle capacità degli agenti AI. OpenAI ha comunicato l’intenzione di rivedere nelle settimane successive le modalità dei test condotti da soggetti terzi, con particolare attenzione all’identificazione delle valutazioni ad alto rischio, alla definizione dei perimetri operativi e ai sistemi di isolamento, monitoraggio e interruzione.
Lascia un commento