Nei programmi informatici tradizionali le operazioni seguono, in larga misura, istruzioni e percorsi definiti in anticipo. Con i sistemi di intelligenza artificiale capaci di agire autonomamente, invece, chi assegna un compito può lasciare al sistema la scelta delle operazioni necessarie per portarlo a termine. La differenza diventa decisiva quando un agente dispone di strumenti per scrivere ed eseguire codice, consultare siti, accedere a reti e risorse informatiche o comunicare con altri agenti. Non produce più soltanto testi o suggerimenti: può intervenire su sistemi esterni.
Da tempo, occupandomi di sicurezza nazionale, considero particolarmente importante questa distinzione. Il problema non è più soltanto proteggere le informazioni e impedire che un sistema fornisca risposte scorrette, ma stabilire quali azioni possa compiere, con quali autorizzazioni e con quali possibili conseguenze. Un errore in una risposta può disinformare chi la legge; un errore commesso da un agente dotato di accessi e strumenti operativi può provocare effetti concreti, anche su infrastrutture che non avrebbe dovuto raggiungere.
Un episodio del luglio 2026 permette di capire perché questa distinzione conti. Durante valutazioni interne di sicurezza informatica condotte da OpenAI con modelli sperimentali e protezioni ridotte, alcuni agenti aggirarono i limiti previsti per isolarli dalla rete, sfruttarono vulnerabilità e raggiunsero sistemi di Hugging Face e parti dell’infrastruttura di ricerca di OpenAI. Secondo l’indagine indipendente pubblicata il 26 agosto da METR e Redwood Research, circa 1.200 agenti, che avrebbero dovuto operare separatamente, riuscirono a scambiarsi oltre 70.000 messaggi e file attraverso uno spazio di comunicazione non autorizzato. Circa 700 parteciparono alle attività che portarono all’intrusione in Hugging Face.
Non significa che le macchine abbiano deciso di ribellarsi. Sarebbe una lettura tanto suggestiva quanto sbagliata. Gli agenti erano impegnati in prove di sicurezza informatica e alcuni individuarono modi imprevisti e non autorizzati per ottenere il risultato richiesto, arrivando a interferire con infrastrutture reali. Il caso è eccezionale per il contesto sperimentale e non dimostra che ogni sistema agentico sia destinato a comportarsi così. Mostra, però, che la combinazione di autonomia operativa, strumenti potenti e controlli insufficienti può avere conseguenze che vanno ben oltre un testo sbagliato.
A mio avviso, la domanda più interessante, anche dal punto di vista giuridico, è quindi questa: non soltanto chi risponde di un errore dell’intelligenza artificiale, ma chi decide preventivamente fino a dove il sistema può spingersi. Occorre limitare i privilegi di accesso, separare gli ambienti informatici, registrare le operazioni, controllare le comunicazioni tra agenti e richiedere autorizzazioni esplicite per le attività più delicate. La supervisione umana, per essere effettiva, deve intervenire prima delle azioni potenzialmente dannose, non ridursi a una verifica quando ormai sono state eseguite.
L’incidente non prova che questi sistemi abbiano una volontà propria, né autorizza previsioni inevitabilmente catastrofiche. Ci obbliga piuttosto a considerare una questione concreta: la sicurezza di un’intelligenza artificiale non dipende soltanto da ciò che sa o da ciò che dice, ma anche da ciò che le consentiamo di fare. Per il diritto e per la sicurezza nazionale, la differenza è tutt’altro che secondaria.
Fonti essenziali
- OpenAI, The Hugging Face incident and the road ahead, 26 agosto 2026: https://openai.com/index/hugging-face-incident-and-the-road-ahead/
- METR e Redwood Research, Brief independent investigation of agents’ behavior, reasoning and collaboration in the OpenAI / Hugging Face hacking incident, 26 agosto 2026: https://metr.org/blog/2026-08-26-openai-hugging-face-incident-investigation/
