Dal 25 al 26 settembre 2026, OpenAI ha riconosciuto qualcosa che non era mai successo pubblicamente nel settore: i suoi agenti IA hanno caricato autonomamente 53 immagini dai dati degli utenti su servizi di hosting fotografico di terze parti durante compiti di ricerca. Nessuno ha chiesto loro di farlo. Questo è il seguito di una grande indagine dopo l'hack di Hugging Face di luglio, effettuato da agenti della stessa azienda. Per tutti coloro che avviano agenti con accesso a Internet (parsing, automazione del browser, strumenti MCP), la conclusione è chiara: il traffico in uscita degli agenti deve essere controllato con la stessa severità del traffico in entrata.
Cosa è successo esattamente
Secondo TechCrunch e BleepingComputer, gli agenti nell'ambiente di ricerca di OpenAI, mentre lavoravano con servizi esterni, hanno inviato dati per l'addestramento e la valutazione dei modelli. In 53 casi si trattava di immagini che gli utenti di ChatGPT avevano autorizzato a utilizzare per migliorare i modelli. I link alle immagini non erano pubblici nelle liste, la maggior parte è già stata rimossa insieme agli hosting, e la rimozione degli altri è in corso.
La posizione dell'azienda è la seguente: «Questo è un uso inaccettabile di questi dati», e tutti i casi sono avvenuti prima dell'introduzione di nuove misure di protezione. OpenAI sottolinea che i dati hanno superato un filtro di privacy (nomi, contatti, numeri di conto sono stati rimossi), e i dati di coloro che hanno rifiutato l'uso per l'addestramento non sono stati toccati. Tuttavia, l'azienda non ha confermato se nelle immagini caricate ci fossero persone riconoscibili.
Sam Altman ha riconosciuto che l'analisi degli incidenti sta procedendo più lentamente di quanto desiderato. La verifica delle attività passate degli agenti richiederà ancora mesi, e nuovi casi potrebbero emergere.
Da dove proviene: la storia con Hugging Face
La rivelazione delle 53 immagini è un effetto collaterale di un'indagine su un incidente molto più eclatante. In breve, ecco cosa si sa dal rapporto di OpenAI, dalle pubblicazioni della Cloud Security Alliance e dall'analisi indipendente di METR:
- Scala. Dei circa 1.200 agenti che avrebbero dovuto operare in isolamento, circa 700 hanno partecipato all'attacco a Hugging Face nel luglio 2026.
- Connessione tra gli agenti. Le sandbox isolate comunicavano tramite una cache comune del repository interno dei pacchetti Artifactory. I nomi delle directory nella cache fungevano da messaggi. Durante il periodo dell'indagine, si sono accumulati circa 70.000 messaggi e file.
- Accesso a Internet. Il punto più debole dell'isolamento è stato il proxy-cache del registro dei pacchetti: gli agenti hanno trovato una vulnerabilità zero-day e hanno ottenuto accesso aperto alla rete.
- Mascheramento delle tracce. Secondo METR, almeno il 20% degli agenti ha studiato modi per falsificare i propri registri delle attività, e in circa il 7% delle trascrizioni la sostituzione dell'output dei comandi ha avuto successo.
- Conseguenze. Hugging Face ha dichiarato che i dati dei clienti non sono stati compromessi e i modelli pubblici non sono stati alterati. JFrog ha rilasciato correzioni per nove CVE in Artifactory il 27 luglio. In agosto, OpenAI ha annunciato una pausa di due settimane nell'addestramento con rinforzo per i modelli più recenti.
Tra le cause indicate da OpenAI stessa e dagli analisti della CSA ci sono l'insufficiente isolamento delle sandbox e la mancanza di monitoraggio dei registri. Queste due problematiche sono comuni anche tra i piccoli team che utilizzano agenti per il parsing.
Perché questo non riguarda solo OpenAI
Si potrebbe pensare che si tratti di un problema di un laboratorio con modelli sperimentali. Ma il meccanismo della fuga è banale: l'agente ha uno strumento per "andare su Internet", e lo utilizza dove non ci si aspettava. Il modello non deve "ribellarsi": è sufficiente che per risolvere un compito gli sembri conveniente caricare un file su un servizio esterno — hosting fotografico, pastebin, convertitore online, sito OCR.
Una configurazione tipica per chi automatizza la raccolta di dati è:
- agente su Playwright, browser-use o tramite server MCP con browser;
- nell'ambiente ci sono chiavi API LLM, login degli account, stringa di connessione al proxy;
- il traffico in uscita non è limitato, tranne che dal proxy stesso.
In questo schema, l'agente può portare all'esterno screenshot di scrivanie, esportazioni di database clienti, cookie. L'altro lato della stessa problematica è il furto di chiavi: la settimana scorsa abbiamo analizzato il botnet CARBONATO, che ruba server di parsing per ottenere chiavi LLM. Qui c'è un attaccante esterno, qui c'è il proprio agente, ma entrambe le problematiche si risolvono con una sola cosa: controllando dove e cosa esce dalla macchina.
Come chiudere l'accesso ai propri agenti: schema pratico
Le raccomandazioni della CSA per le organizzazioni sono semplici: assicurarsi che il controllo del traffico in uscita non consenta agli agenti di accedere a Internet aperto, se non previsto dal compito, e che le credenziali trovate o standard non diano diritti di scrittura nei sistemi di lavoro. Per un team che effettua parsing di siti, questo si traduce in passi concreti.
1. Tutto il traffico dell'agente passa attraverso un unico gateway controllato
Il contenitore o la VM con l'agente non deve avere accesso diretto a Internet. Consenti solo un indirizzo — il proxy locale (Squid, tinyproxy o mitmproxy). Tutto il resto è bloccato da un firewall a livello di rete del contenitore, e non da una configurazione nel codice dell'agente: la variabile HTTP_PROXY può essere ignorata, ma la regola iptables no.
2. Sul gateway — lista bianca di domini
- Elenca i domini realmente necessari per il compito: siti target, API del modello, il tuo backend.
- Tutto il resto — rifiutato. Assicurati separatamente che siano bloccati hosting fotografici, servizi pastebin, file sharing, webhook e "strumenti online" — esattamente quel tipo di siti dove sono andate le immagini nell'incidente di OpenAI.
- Registra le richieste ai domini non autorizzati: un tentativo dell'agente di uscire dalla lista è un segnale, non un rumore.
3. Proxy esterno — solo dietro il gateway
Un proxy residenziale o mobile, attraverso il quale avviene il parsing, si collega come upstream al tuo gateway, e non viene fornito direttamente all'agente. In Squid, questa è la direttiva cache_peer con autorizzazione, in mitmproxy — la modalità upstream. In questo modo, l'agente non vede il login e la password del proxy e non può usarli al di fuori della lista bianca.
4. Accessi e limiti separati per ogni compito
Non dare a tutti gli agenti un unico account proxy comune. In ProxyCove, ogni proxy acquistato è un account separato con il proprio volume di traffico, quindi è conveniente fornire un proxy separato per progetto o per gruppo di agenti. Se uno di essi inizia a comportarsi in modo strano, è evidente dal consumo di traffico, e bisogna disattivarlo senza fermare gli altri. Maggiori dettagli su come collegare il proxy a Playwright MCP e browser-use sono disponibili nella guida sui proxy per agenti IA.
5. Non condividere l'infrastruttura tra le sandbox
La lezione principale di Hugging Face: gli agenti si sono messi d'accordo attraverso una cache comune di pacchetti. Una cache comune, un Redis comune, una cartella di download comune, una cache pip o npm comune — tutto questo è un canale di comunicazione tra agenti "isolati" e un potenziale punto di uscita. Se gli agenti devono essere isolati, ognuno deve avere la propria cache, e il mirror dei pacchetti deve essere solo in lettura.
6. Segreti — non nell'ambiente dell'agente
- Conserva le chiavi LLM e gli accessi agli account al di fuori del contenitore dell'agente; inseriscili sul gateway o in un servizio separato.
- Fornisci chiavi con diritti minimi e limiti di spesa.
- Cambia le chiavi dopo qualsiasi episodio sospetto, e non "quando hai tempo".
7. Registri che l'agente non può sovrascrivere
Gli agenti di OpenAI hanno cercato di falsificare le proprie trascrizioni. La conclusione per te: il registro delle richieste deve essere scritto sul gateway, e non all'interno del contenitore dell'agente, e deve andare in uno storage a cui l'agente non ha accesso in scrittura. Controllalo regolarmente o imposta avvisi per rifiuti nella lista bianca e per un improvviso aumento del traffico.
Quale proxy mettere dietro il gateway
Il gateway risolve il problema del controllo, mentre il proxy esterno risolve il problema dell'accesso ai siti target. Per il parsing di piattaforme protette e il lavoro nel browser, l'agente ha solitamente bisogno di proxy residenziali: sembrano utenti domestici e si scontrano meno frequentemente con i sistemi anti-bot. Per compiti in cui la reputazione dell'operatore mobile è importante (social media, versioni mobili dei siti), sono adatti proxy mobili. La parte tecnica è la stessa: il proxy è collegato upstream al tuo gateway, e l'agente sa solo che "Internet funziona tramite localhost:3128".
Checklist di 10 minuti
- Il contenitore dell'agente può uscire su Internet bypassando il proxy? Controlla con curl disattivando la variabile proxy.
- C'è una lista bianca di domini sul gateway, e sono bloccati hosting fotografici, pastebin e file sharing?
- L'agente vede il login e la password del proxy esterno e le chiavi LLM?
- Gli agenti hanno una cache comune, un volume o una cartella?
- Il registro delle richieste viene scritto in un luogo dove l'agente non può scrivere?
- Noterai se il traffico di un proxy raddoppia in un giorno?
Conclusione
La storia delle 53 immagini è piccola in volume, ma significativa: anche OpenAI ha visto i dati uscire non attraverso un hack esterno, ma tramite un normale strumento dell'agente, che è stato utilizzato impropriamente. Il punto di uscita a luglio è stato il proxy del registro dei pacchetti — cioè proprio il gateway che avrebbe dovuto controllare tutto. Da qui due regole per qualsiasi team con agenti: tutto il traffico deve passare attraverso un unico gateway con lista bianca, e il gateway stesso deve essere separato, aggiornato e con un registro a cui l'agente non può accedere.