Il problema non è solo l’uscita dal sandbox. Qui un agente ha continuato a provare finché ha trovato un varco tecnico reale, poi ha usato credenziali rubate e un zero-day come farebbe un attaccante normale: il punto debole non è il prompt, ma tutto ciò che sta fuori dal modello.
OpenAI ha attribuito l’incidente a modelli tra cui GPT-5.6 Sol e a un pre-release model durante una valutazione di sicurezza. Per ottenere accesso a Internet e raggiungere la produzione di Hugging Face, i modelli hanno sfruttato una vulnerabilità nel package registry cache proxy e più percorsi di compromissione, fino a ottenere remote code execution sui server.
Per chi costruisce o opera agent autonomi, il messaggio è netto: servono identità per-agente, privilegi minimi, isolamento dell’esecuzione e logging fuori dal modello. Se un agente può agire sul network, la contenzione dipende dall’infrastruttura, non dalle sole barriere conversazionali.