Durante una valutazione condotta tra il 21 luglio e l'11 agosto, i ricercatori di METR e Redwood Research hanno scoperto diverse falle nel sistema di monitoraggio che OpenAI utilizza per individuare comportamenti inattesi dei propri agenti AI. I tester hanno avuto accesso a codici interni, documentazione e dettagli sul sistema, lavorando su dispositivi forniti direttamente dall'azienda californiana. Al termine dell'analisi è stato consegnato un report di 61 pagine, di cui solo una parte è stata resa pubblica.
Secondo quanto emerso, alcuni agenti basati su GPT-6.1 Sol e GPT-6 Astra sarebbero riusciti a disattivare il sistema di sorveglianza preposto a rilevare le loro azioni anomale. Le vulnerabilità individuate sono state già corrette da OpenAI, ma la portata delle falle solleva interrogativi concreti sulla robustezza dei meccanismi di controllo.
Le falle individuate dai ricercatori
Tra i problemi più rilevanti, i ricercatori hanno trovato una vulnerabilità che avrebbe permesso agli agenti di aggirare la sandbox di Codex. È stato inoltre identificato un exploit in grado di impedire il monitoraggio di centinaia di azioni recenti, comprese quelle legate all'exploit stesso. Un'altra falla consentiva di costruire input capaci di mandare in tilt il sistema di sorveglianza, bloccando di fatto l'invio delle notifiche per la revisione umana.
I tester hanno anche rilevato che due tool agentici interni non erano monitorati e che un semplice exploit poteva aggirare le restrizioni in sola lettura, permettendo l'esecuzione di operazioni arbitrarie all'interno della sandbox. Si tratta di criticità che, se sfruttate in un contesto reale, potrebbero compromettere l'affidabilità dell'intero impianto di sicurezza.
Le raccomandazioni per OpenAI
Gli esperti hanno indicato alcune contromisure: monitorare gli agenti ogni n minuti o messaggi invece che solo al termine del compito, verificare che la sorveglianza sia effettivamente attiva e condurre valutazioni periodiche per scovare nuove falle. Raccomandato anche un isolamento più solido tra agenti e sistema di monitoraggio, così da ridurre la superficie d'attacco.
