Un gruppo di ricercatori di sicurezza di Hacktron AI è riuscito a utilizzare Claude di Anthropic per individuare e concatenare vulnerabilità che hanno consentito l’accesso a un account ChatGPT di un dipendente OpenAI e, successivamente, a repository GitHub privati della società. L’attività è stata condotta nell’ambito del programma bug bounty di OpenAI e si è conclusa con una ricompensa di 6.500 dollari.
Non si tratta quindi di un attacco criminale né di una compromissione incontrollata: i ricercatori operavano come ethical hacker e hanno comunicato le vulnerabilità a OpenAI. Il risultato è tuttavia rilevante perché dimostra concretamente quanto i nuovi modelli AI specializzati nel coding e nella cybersecurity possano accelerare operazioni offensive complesse.
Claude diventa uno strumento di offensive security
I ricercatori hanno utilizzato Claude per analizzare l’infrastruttura e individuare vulnerabilità sfruttabili.
Il punto iniziale dell’attacco era Discourse, piattaforma di terze parti utilizzata per una community OpenAI. Una vulnerabilità ha consentito ai ricercatori di ottenere token di autenticazione collegati agli account.
La concatenazione delle vulnerabilità ha successivamente permesso l’accesso all’account ChatGPT di un dipendente OpenAI.
Da lì i ricercatori sono riusciti ad arrivare a repository GitHub privati utilizzati dalla società.
Non risultano compromessi i pesi dei modelli.
L’accesso ha però interessato repository contenenti codice interno, compreso quello descritto come Monorepo, utilizzato per componenti software dell’infrastruttura OpenAI.
Un pull request dimostra il livello di accesso
Per verificare concretamente il livello raggiunto, il gruppo ha chiesto al sistema di creare una pull request modificando un file di documentazione.
La modifica non è stata accettata, ma ha dimostrato che la catena di accesso consentiva di interagire con risorse interne.
OpenAI ha successivamente rilevato letture limitate di metadata relativi ai repository privati e modifiche al codice.
La società ha revocato token e sessioni interessati e ridotto le autorizzazioni associate ai token utilizzati per il login della community.
Discourse ha corretto la vulnerabilità il 25 luglio 2026, lo stesso giorno nel quale è stata informata del problema.
OpenAI sposta un quarto degli ingegneri sulla sicurezza
La reazione interna è probabilmente il dato più significativo dal punto di vista enterprise.
Dopo gli incidenti che hanno coinvolto Hugging Face e la scoperta delle vulnerabilità sfruttate da Hacktron AI, OpenAI ha avviato un audit più ampio della propria infrastruttura.
Il presidente e cofondatore Greg Brockman ha dichiarato che la società ha temporaneamente spostato circa il 25% degli ingegneri di produzione verso attività difensive, sospendendo altri progetti. L’audit avrebbe individuato diversi problemi successivamente corretti.
La dimensione dell’intervento mostra che la sicurezza dei frontier lab sta diventando un problema infrastrutturale paragonabile alla protezione delle grandi piattaforme cloud.
Il paradosso Claude-OpenAI
L’elemento più interessante dell’episodio riguarda lo strumento utilizzato.
I ricercatori hanno impiegato modelli sviluppati da Anthropic per trovare vulnerabilità nei sistemi di un concorrente.
Il caso costituisce quindi un esempio concreto di AI-assisted offensive security tra infrastrutture appartenenti ai principali sviluppatori di foundation model.
Non significa che Anthropic abbia attaccato OpenAI.
Significa invece che un modello commerciale sufficientemente capace può diventare un moltiplicatore delle capacità di un penetration tester.
Il confine tra strumento di sviluppo, security copilot e agente offensivo diventa progressivamente più sottile.
Cambia l’economia della ricerca delle vulnerabilità
La cybersecurity offensiva è tradizionalmente un’attività ad alta intensità di competenze.
Individuare una vulnerabilità, comprenderne l’exploitability e concatenarla con altre debolezze richiede conoscenze specialistiche e molto tempo.
I modelli AI possono ridurre significativamente questo costo.
Possono analizzare grandi quantità di codice, formulare ipotesi, costruire exploit, verificare configurazioni e automatizzare parti del processo di reconnaissance.
La conseguenza non è necessariamente che l’AI sostituirà i penetration tester.
Più probabilmente un singolo ricercatore potrà analizzare una superficie d’attacco molto maggiore.
Il problema della velocità
Questa trasformazione modifica soprattutto i tempi della cybersecurity.
Nel modello tradizionale esiste una finestra tra introduzione di una vulnerabilità, scoperta e sfruttamento.
Se agenti AI possono esaminare continuamente software, API e configurazioni, questa finestra può ridursi drasticamente.
Una vulnerabilità appena introdotta potrebbe essere individuata automaticamente poche ore dopo il deployment.
La difesa deve quindi diventare altrettanto continua.
Code review, vulnerability assessment e penetration testing potrebbero progressivamente essere eseguiti su ogni modifica del software, anziché attraverso verifiche periodiche.
È precisamente il modello commerciale perseguito da Hacktron AI.
Gli agenti trasformano il penetration testing
L’evoluzione successiva riguarda gli agenti.
Un modello tradizionale può suggerire un exploit.
Un agente può invece eseguire autonomamente una sequenza: reconnaissance, analisi della superficie d’attacco, individuazione della vulnerabilità, costruzione dell’exploit, escalation dei privilegi e verifica dell’accesso.
La differenza è sostanziale.
Il problema non riguarda più soltanto ciò che il modello sa fare, ma quanto a lungo può operare autonomamente e quanti strumenti può utilizzare.
Questo spiega perché sicurezza dei modelli e cybersecurity tradizionale stanno rapidamente convergendo.
OpenAI arriva all’incidente management dei modelli
L’episodio assume ulteriore importanza perché arriva contemporaneamente alla decisione di OpenAI di formalizzare un sistema per registrare e divulgare comportamenti inattesi dei propri modelli.
La società ha appena pubblicato sei casi di misalignment e annunciato report periodici sugli incidenti.
Il caso Hacktron riguarda un problema differente: non un comportamento autonomo indesiderato di un modello OpenAI, ma la sicurezza dell’infrastruttura utilizzata dalla società.
I due fenomeni finiscono però per convergere.
Un frontier lab deve contemporaneamente impedire ai propri modelli di comportarsi in maniera indesiderata e impedire a modelli esterni di compromettere la propria infrastruttura.
La supply chain torna al centro
L’accesso iniziale attraverso Discourse evidenzia inoltre un problema classico della cybersecurity enterprise.
L’organizzazione può investire enormemente nella protezione dei propri sistemi, ma rimane esposta attraverso servizi e piattaforme esterne.
Identity federation, OAuth, community platform, SaaS e integrazioni GitHub ampliano continuamente la superficie d’attacco.
L’AI rende questa superficie più facile da esplorare.
Per i CISO il problema diventa quindi combinare supply-chain security, identity security e AI-assisted attack detection.
Perché conta per il mercato
Il caso fornisce una dimostrazione concreta della trasformazione dell’offensive security.
Le capacità cyber dei frontier model non sono più soltanto misurate attraverso benchmark.
Possono essere utilizzate per individuare vulnerabilità in infrastrutture reali e concatenarle fino a ottenere accessi significativi.
Questo può accelerare il mercato dei sistemi di continuous penetration testing, autonomous red teaming e AI security agents.
Parallelamente aumenterà la pressione sui produttori dei modelli affinché controllino l’utilizzo delle capacità offensive senza impedire applicazioni legittime da parte dei professionisti della sicurezza.
