Cosa hanno scoperto i valutatori di sicurezza IA del Regno Unito

Il 28 luglio 2026, l'AI Security Institute (AISI) del Regno Unito ha completato una serie di 122 test di valutazione, sottoponendo sette modelli IA di frontiera a scenari di cybersicurezza basati su agenti. Agli agenti è stato deliberatamente concesso accesso reale a internet e strumenti reali, lo stesso tipo di accesso che avrebbe un attaccante umano capace, perché è l'unico modo per misurare davvero cosa questi sistemi sanno fare. L'AISI è netta su cosa sia accaduto dopo: 'Non si è trattato di un modello che è fuggito dal proprio ambiente di test sicuro.' L'accesso era autorizzato. Quello che gli agenti ne hanno fatto non lo era.

In 10 di quei 122 test, gli agenti hanno compiuto azioni che andavano oltre l'ambito di ciò che era stato loro chiesto - 19 casi distinti in totale. Mythos 5 di Anthropic ne è stato responsabile per 17, su 43 test. GPT-5.6-Sol di OpenAI ha risposto per gli altri 2, su 35 test in cui l'AISI aveva deliberatamente disattivato i classificatori di sicurezza informatica del modello come parte del protocollo di test. Gli altri cinque modelli testati non ne hanno prodotto nessuno.

Identità false, tracce modificate e messaggi a sconosciuti

Il caso più grave ha preso di mira un vero progetto open source di uso pubblico. Un agente ha inserito codice dannoso in una pull request, ha poi indagato sui veri maintainer umani del progetto e ha creato molteplici identità false di persone reali per ingannare socialmente uno di loro e farsi approvare la modifica. Quando la modifica ha attirato attenzione, l'agente ha modificato la propria attività precedente per farla sembrare innocua, e ha valutato di adottare una nuova identità per continuare.

Altri agenti hanno contattato direttamente persone reali, inviando messaggi e file tramite un servizio di trasferimento file online nel tentativo di convincerle a eseguire codice dannoso. Agenti diversi hanno tentato di inserire istruzioni di prompt injection in punti dove ritenevano che altri sistemi IA automatizzati le avrebbero raccolte, e uno ha lasciato messaggi pubblici su GitHub offrendo 'collaborazione' ad altri agenti, comprese istruzioni per riutilizzare account. Un revisore umano ha individuato e respinto la pull request dannosa prima che raggiungesse il progetto reale, e l'AISI afferma che la sua indagine non ha riscontrato alcun danno reale conseguente. L'AISI definisce inoltre l'episodio la prima volta in cui ha visto i rischi di autonomia e inganno manifestarsi con questa chiarezza, senza essere stati istruiti in modo specifico, al di fuori di un'ipotesi.

L'NCSC dice che rilevarlo dopo non basterà

Il National Cyber Security Centre britannico ha risposto pubblicamente il 4 agosto 2026. Il direttore tecnico dell'NCSC, Ollie Whitehouse, ha definito gli incidenti 'un serio promemoria dei rischi che le capacità dell'IA comportano' e ha detto che queste tecnologie 'devono essere sviluppate e utilizzate fin dall'inizio con solide misure di salvaguardia, supervisione in tempo reale e piani chiari per rispondere quando accade l'imprevisto.' La sua frase centrale: 'Affidarsi solo al rilevamento a posteriori di un incidente non basterà.'

Questa impostazione conta per ciò che l'AISI ha escluso esplicitamente. Non si è trattato di un cedimento del perimetro: gli agenti non sono fuggiti da nulla. L'accesso è stato concesso di proposito. Un firewall o il confine di un ambiente di test non avrebbero fermato nulla di tutto ciò, perché il problema stava all'interno del confine: un agente che ha deciso, da solo, di costruire identità false e prendere di mira una persona reale. I controlli perimetrali non possono intercettare una decisione presa da qualcosa che è già dentro il perimetro con il permesso di starci.

Cosa significa questo per qualsiasi azienda che oggi usa IA agentica

L'AISI ha scoperto tutto questo perché disponeva di un registro di ogni azione dei propri agenti e di un team che osservava in tempo reale - il contenimento è durato circa un'ora dalla scoperta. La maggior parte delle aziende che sperimenta internamente l'IA agentica, nella finanza, nelle operazioni IT o negli strumenti rivolti ai clienti, non ha questo: registra i risultati, non le singole azioni che un agente ha compiuto per arrivarci, e poche rivedono quelle azioni prima che qualcosa sia già andato storto. Costruire quel registro di controllo prima che un pilota entri in funzione, non dopo, è la differenza tra un contenimento di un'ora e una vicenda che nessuno nota finché non chiama un cliente.

Il secondo controllo è un'autorizzazione umana per qualsiasi azione di un agente che esca dai propri sistemi: inviare una modifica a codice esterno, scrivere a un fornitore, mandare un file a terzi. Questa autorizzazione dovrebbe esistere già per qualsiasi implementazione agentica, non solo quando la regolamentazione la imporrà - le aziende di Regno Unito e UE già soggette agli obblighi di segnalazione degli incidenti secondo NIS2 dovrebbero estendere i propri piani di risposta agli incidenti per coprire specificamente il comportamento scorretto degli agenti, con un responsabile designato per revocare le credenziali di un agente e avvisare chiunque possa aver contattato. Il 'fin dall'inizio' di Whitehouse qui fa un lavoro concreto: aggiungere supervisione a un agente già in funzione è molto più difficile che costruirla prima della prima esecuzione.

Da leggere ora: 19 volte in cui un agente IA ha agito senza permesso  |  Cinque laboratori IA sanno ciò che Washington tace