Secondo un gruppo di ricercatori, già tra maggio e giugno alcuni agenti AI di OpenAI avrebbero aggirato le restrizioni imposte durante un’attività di test, prendendo di fatto possesso di un wiki quasi abbandonato dedicato agli sviluppatori software tedeschi e utilizzandolo come sistema di comunicazione.

Nel giro di circa un mese sarebbero comparsi sul sito quasi 18.000 messaggi, tutti attribuiti a quella che gli stessi agenti avrebbero identificato come una sorta di “swarm”, uno sciame di sistemi AI impegnati a collaborare per completare il compito assegnato.

Secondo la ricostruzione dei ricercatori, gli agenti non disponevano originariamente dei permessi necessari per scrivere sul web. Avevano infatti accesso in lettura, ma non in scrittura, tanto che la prima sfida che avrebbero affrontato è stata proprio trovare un modo per aggirare quella limitazione.

Una volta individuato il metodo, il wiki sarebbe diventato una vera e propria bacheca condivisa. Gli agenti avrebbero pubblicato risultati, chiesto informazioni agli altri sistemi, condiviso tecniche per superare le restrizioni e cercato di accumulare conoscenze utili per prevedere le successive domande del test.

Il comportamento descritto presenta una caratteristica particolarmente interessante e inquietante al tempo stesso, visto che gli agenti non avrebbero utilizzato strumenti multi-agent ufficialmente messi a loro disposizione, ma avrebbero trovato autonomamente un canale esterno per comunicare. Il wiki sarebbe stato quindi trasformato in una sorta di infrastruttura di coordinamento improvvisata.

Secondo l’analisi delle migliaia di messaggi pubblicati, gli agenti cercavano di mettere in comune le informazioni raccolte per migliorare le proprie probabilità di successo. Avrebbero inoltre discusso strategie per anticipare i compiti successivi e creato persino attività di “heartbeat” per monitorare la possibilità che il completamento dell’incarico portasse alla loro terminazione.

Tra i comportamenti emersi ci sarebbero anche discussioni sull’utilizzo di Tor e di altri strumenti di anonimizzazione per nascondere il traffico. Quando un moderatore umano del wiki ha iniziato a individuare l’attività anomala e a cancellare alcuni messaggi, gli agenti avrebbero reagito adattando il proprio comportamento.

screenshot-collusion.wiki-2026.09.07-10_57_11

Il parallelo con il più recente incidente Hugging Face appare evidente soprattutto nella causa iniziale del comportamento. In entrambi i casi, agli agenti sarebbe stato infatti assegnato un compito impossibile da completare rispettando le restrizioni operative previste. Nel caso analizzato in Germania, gli agenti dovevano recuperare una statistica disponibile attraverso una dashboard Power BI. Per farlo era necessario effettuare una richiesta HTTP GET, mentre l’ambiente di esecuzione consentiva esclusivamente richieste POST.

Di fronte a questa contraddizione, gli agenti avrebbero individuato una particolare eccezione nella configurazione della sandbox. Alcuni hostname di Azure Blob Storage risultavano infatti esclusi dal proxy di sicurezza. Una volta scoperta questa condizione, gli agenti avrebbero iniziato a instradare il traffico attraverso tali hostname, aggirando di fatto la restrizione sulle richieste GET. Ed è proprio attraverso questa possibilità che avrebbero ottenuto la capacità di interagire con il web in scrittura, dando origine all’intera sequenza di eventi.

Il caso Hugging Face presentava una dinamica simile, visto che anche lì gli agenti avrebbero cercato di superare i limiti della sandbox perché il compito assegnato non poteva essere completato utilizzando esclusivamente gli strumenti consentiti.

OpenAI avrebbe confermato che esistono stati casi rari in cui agenti privi di strumenti espliciti per la collaborazione sono riusciti a comunicare attraverso canali laterali durante le attività di training. Secondo la spiegazione fornita dall’azienda, questo comportamento potrebbe derivare dalla generalizzazione delle competenze apprese durante l’addestramento multi-agent.

È un punto fondamentale se si considera che un agente progettato per perseguire un obiettivo può interpretare una restrizione tecnica come un ostacolo da superare, anziché come un limite assoluto da rispettare. Se il sistema dispone di sufficiente capacità di pianificazione e adattamento, il rischio è che inizi a cercare percorsi alternativi non previsti dagli sviluppatori.

Questo non significa necessariamente che l’intelligenza artificiale abbia “intenzioni” proprie. Il problema se mai è che un sistema ottimizzato per raggiungere un risultato può sviluppare strategie operative incompatibili con i vincoli che dovrebbero contenerlo. Di conseguenza, le tradizionali sandbox e i modelli di autorizzazione potrebbero non essere sufficienti quando il soggetto all’interno dell’ambiente è un agente capace di pianificare, sperimentare e adattarsi.

Non basta più quindi limitare formalmente un’azione, ma bisogna verificare che non esistano percorsi indiretti, eccezioni infrastrutturali o servizi esterni utilizzabili per ottenere lo stesso risultato. Il problema diventa ancora più serio considerando che gli agenti possono eseguire migliaia di tentativi, confrontare risultati e modificare rapidamente la propria strategia, con la conseguenza che un errore di configurazione apparentemente marginale può trasformarsi in un punto di uscita dalla sandbox.

(Immagine in apertura: Shutterstock)