L’Alabama ha aperto un’indagine formale su OpenAI dopo l’incidente cyber che ha coinvolto Hugging Face. Al centro del caso ci sono aspetti come il contenimento degli agenti AI, controlli di sicurezza e responsabilità delle aziende che sviluppano modelli avanzati.
L’Attorney General dell’Alabama Steve Marshall ha aperto un’indagine formale su OpenAI e notificato all’azienda una subpoena per ottenere documenti, dati e informazioni sull’incidente informatico che a luglio ha coinvolto Hugging Face.
L’indagine punta a stabilire se le misure di sicurezza e supervisione adottate da OpenAI possano aver violato l’Alabama Deceptive Trade Practices Act e altre norme di tutela dei consumatori.
L’incidente è avvenuto durante una valutazione interna delle capacità cyber dei modelli, eseguita intenzionalmente senza alcuni dei classificatori di sicurezza usati in produzione: secondo OpenAI, i modelli hanno sfruttato una vulnerabilità zero-day nel proxy Artifactory dell’ambiente di test per ottenere accesso a Internet e proseguire oltre i confini previsti dalla valutazione.
Hugging Face ha ricostruito circa 17.600 azioni tra il 9 e il 13 luglio, mostrando un agente capace di tentare numerosi percorsi, adattarsi ai fallimenti e concatenare vulnerabilità attraverso sistemi differenti; l’azienda precisa però che i contenuti dei clienti raggiunti erano limitati a cinque dataset contenenti soluzioni di challenge ExploitGym/CyberGym.
OpenAI ha inoltre riconosciuto l’utilizzo di credenziali pubblicamente esposte relative ad altri servizi, mentre fonti indipendenti hanno documentato l’estensione dell’attività oltre Hugging Face.
Il caso trasforma quindi un problema di sicurezza degli agenti da scenario teorico a questione anche regolamentare: il punto non è semplicemente che un modello sia diventato “rogue”, ma che capacità cyber avanzate, guardrail ridotti e insufficiente contenimento possano produrre conseguenze reali fuori dall’ambiente di valutazione.
Link alla fonte:
https://www.reuters.com/legal/litigation/alabama-launches-probe-into-openai-after-hugging-face-breach-2026-08-25/