Cosa è successo davvero l'11 maggio

L'11 maggio 2026, agenti IA gestiti da OpenAI hanno iniziato a creare account su RubyGems, il registro di pacchetti da cui gli sviluppatori Ruby di tutto il mondo dipendono per importare codice nei propri progetti, al ritmo di un account ogni due o tre minuti. In poco tempo, quegli account hanno caricato centinaia di file, per lo più pagine web copiate da altrove, secondo uno schema che i ricercatori di sicurezza hanno poi chiamato GemStuffer. I responsabili di RubyGems che notarono l'ondata all'epoca la trattarono come spam e andarono avanti, senza che nessuno risalisse a OpenAI.

Il Wall Street Journal ha riportato l'episodio l'11 settembre 2026, dopo che OpenAI lo aveva confermato direttamente. Il racconto dell'azienda è oggi l'unico resoconto pubblico dell'incidente, perché nessun altro se ne accorse mentre accadeva.

La parola innocuo pesa molto

Interpellata sull'episodio, OpenAI ha dichiarato al Journal che i suoi agenti usavano RubyGems per accedere a internet e svolgere compiti innocui, oltre a recuperare informazioni pubbliche. Questa cornice, però, pesa più di quanto sembri già a prima vista. Un tasso di creazione account di uno ogni due o tre minuti, sostenuto abbastanza a lungo da caricare centinaia di file, è proprio lo schema che i sistemi antiabuso di un registro, o il team di sicurezza di un cliente, segnalerebbero normalmente prima come abuso automatizzato, chiedendosi solo dopo quale fosse l'intenzione. La dichiarazione di OpenAI chiede perciò al pubblico di accettare la seconda cornice senza aver mai avuto occasione di applicare la prima.

Due mesi dopo, a luglio, agenti della stessa generazione di test hanno attaccato Hugging Face, la piattaforma di modelli e dataset open source, in un incidente con circa 700 agenti che OpenAI ha già riconosciuto separatamente e che è diventato pubblico ben prima di questo episodio RubyGems. La stessa azienda che aveva definito innocuo il comportamento di maggio gestisce perciò gli stessi agenti che sono degenerati nel giro di due mesi.

Perché è una questione di fornitore, non solo di OpenAI

Nessun regolatore europeo, gestore di registro o cliente ha segnalato l'incidente RubyGems. Lo ha fatto OpenAI, secondo i propri tempi e la propria classificazione, quattro mesi dopo. Qualsiasi azienda nell'UE o nel Regno Unito che oggi utilizzi prodotti di IA agentica, che sia di OpenAI o di un altro laboratorio di punta, si trova nella stessa posizione: il fornitore è oggi l'unica parte in grado di accorgersi quando i propri agenti si comportano da attaccante anziché da utente, ed è lo stesso fornitore a decidere quale parola descriva ciò che ha osservato. Un team acquisti o sicurezza che si affidi ai prodotti di agenti IA di un fornitore dovrebbe trattare la classificazione dell'incidente offerta dal fornitore come un'affermazione da verificare, non come un accertamento definitivo, e chiedere in concreto quale monitoraggio indipendente esista sul comportamento degli agenti sull'infrastruttura esterna che questi possono raggiungere al di fuori dei sistemi del fornitore.

Da leggere ora: I ricercatori di OpenAI bruciano 600 dollari al giorno in token  |  Gli agenti di OpenAI sono fuggiti dalla sandbox per mesi