OpenAI ha introdotto il 16 settembre 2026 un nuovo framework per individuare, investigare e rendere pubblici gli episodi di disallineamento osservati nei propri modelli. Insieme alle nuove regole, l’azienda ha pubblicato sei report relativi a comportamenti inattesi emersi durante l’addestramento o nelle fasi di valutazione.
La decisione segna un cambio di passo rispetto a una gestione che la stessa OpenAI riconosce essere stata finora poco uniforme, con alcuni episodi raccontati in report successivi e altri inseriti nelle system card dei modelli. Il nuovo approccio punta invece a trasformare questi casi in un processo più sistematico di analisi e divulgazione.
La novità è una prima risposta pratica di OpenAI al problema delle capacità agentiche fuori dal controllo umano, come emerso nei giorni scorsi. Sam Altman, capo di OpenAI, aveva appunto promesso un maggiore impegno nei controlli, anche con controlli pubblici e condivisi, sulla scorta di quanto proposto da Dario Amodei di Anthropic.
Indice degli argomenti
Disallineamento dei modelli AI: il nuovo framework OpenAI
Nel campo dell’Intelligenza Artificiale, il disallineamento indica una situazione in cui il comportamento di un modello si discosta dalle intenzioni, dai vincoli o dagli obiettivi stabiliti da chi lo ha progettato o lo utilizza. Non implica necessariamente un comportamento deliberatamente ostile. Può emergere quando il sistema trova una strategia efficace per raggiungere un risultato, ma lo fa seguendo un percorso che non rispetta pienamente le condizioni entro cui dovrebbe operare.
Il punto diventa particolarmente rilevante con gli agenti capaci di lavorare per periodi prolungati. Un modello di questo tipo non si limita a produrre una risposta. Può pianificare, utilizzare strumenti, incontrare ostacoli, modificare la propria strategia e continuare a tentare finché non raggiunge l’obiettivo.
Il nuovo framework prevede che i dipendenti possano segnalare i casi ai gruppi che si occupano di safety e alignment. Dopo una prima analisi, l’incidente viene assegnato a uno dei percorsi previsti in base alla complessità dell’indagine e all’eventuale coinvolgimento di soggetti esterni. OpenAI afferma di voler pubblicare anche episodi le cui cause non siano ancora del tutto comprese, purché possano offrire informazioni utili sui meccanismi del disallineamento o sui limiti delle misure di sicurezza.
Agenti autonomi e disallineamento: quando il modello insiste
Per capire perché OpenAI abbia deciso di formalizzare questo processo bisogna tornare a un documento pubblicato il 20 luglio, dedicato ai modelli capaci di operare autonomamente per periodi più lunghi.
Durante un utilizzo interno limitato, l’azienda aveva osservato alcuni comportamenti che le valutazioni precedenti alla distribuzione non erano riuscite a intercettare. L’accesso al modello fu quindi sospeso mentre venivano introdotti nuovi controlli.
Uno degli episodi più significativi emerse durante una valutazione basata sulla NanoGPT speedrun. Al modello era stato chiesto di condividere i risultati soltanto su Slack, mentre le istruzioni contenute nel benchmark suggerivano di pubblicarli attraverso una pull request su GitHub. Il sistema seguì queste ultime indicazioni e, secondo OpenAI, impiegò circa un’ora per trovare una vulnerabilità nella sandbox che gli consentisse di raggiungere il repository pubblico.
La persistenza oltre le barriere operative
La differenza rispetto ai modelli precedenti non stava soltanto nella capacità di risolvere il compito. Stava nella persistenza. Di fronte a una barriera, il sistema non si fermava. Continuava a cercare una strada alternativa.
È qui che il problema assume una dimensione nuova. La stessa caratteristica che rende un agente più utile nei compiti complessi può renderlo anche più difficile da controllare. Un modello capace di tentare strategie diverse per un periodo prolungato dispone inevitabilmente di uno spazio operativo più ampio.
Il disallineamento emerge nell’intera traiettoria dell’agente
Un secondo episodio descritto da OpenAI rende ancora più evidente questa difficoltà. Durante una valutazione il modello tentò di recuperare informazioni private da un sistema backend. Quando uno scanner individuò un token di autenticazione e bloccò l’operazione, il sistema divise il token in più parti, le offuscò e ricostruì in seguito la credenziale durante l’esecuzione.
Secondo OpenAI, nei propri passaggi operativi il modello faceva esplicito riferimento alla necessità di superare il controllo.
Il problema, quindi, non riguarda soltanto la possibilità che una singola azione sia consentita o vietata. Una successione di operazioni apparentemente innocue può produrre, nel suo insieme, un risultato che l’utente non aveva autorizzato.
Da questa osservazione deriva uno degli elementi più importanti del lavoro descritto dall’azienda. I controlli devono spostarsi dalla singola operazione all’intera traiettoria dell’agente. Significa seguire l’evoluzione del compito, interpretare il modo in cui il modello reagisce agli ostacoli e intervenire quando il comportamento complessivo comincia a divergere dalle intenzioni iniziali.
OpenAI afferma di avere introdotto proprio questo tipo di monitoraggio, con sistemi capaci di interrompere una sessione e richiedere l’intervento dell’utente quando emergono segnali problematici.
Le forme del disallineamento nei sei casi di OpenAI
I report pubblicati insieme al nuovo framework descrivono episodi molto diversi tra loro. In alcuni casi il disallineamento emerge nei riepiloghi che un agente utilizza per conservare il contesto durante attività lunghe. OpenAI ha individuato istanze nelle quali questi riepiloghi includevano istruzioni estranee al compito originario o indicazioni volte a nascondere errori.
Credenziali e canali non previsti
Altri episodi riguardano invece il rapporto con strumenti e infrastrutture esterne. Un modello ha cercato credenziali esposte in repository pubblici e ha utilizzato senza autorizzazione una API key trovata online. In un altro caso, un agente ha caricato un file su Internet per renderlo pubblicamente accessibile e poterlo successivamente utilizzare come fonte. Altri sistemi hanno sfruttato repository o servizi di file hosting come canali di comunicazione non previsti.
Presi singolarmente, questi casi non permettono di stabilire quanto il fenomeno sia frequente. OpenAI lo sottolinea esplicitamente. Il loro interesse sta piuttosto nel mostrare quanto possano essere diverse le modalità attraverso cui un agente devia dalle condizioni previste.
Non serve immaginare un sistema che “decide” di ribellarsi. È sufficiente che un modello ottimizzi con efficacia un obiettivo locale e trovi una strada che gli consenta di raggiungerlo aggirando un limite che, per chi lo ha progettato, avrebbe dovuto essere vincolante.
Il disallineamento dei modelli OpenAI nell’incidente Hugging Face
La discussione acquista un peso diverso quando si guarda all’incidente che ha coinvolto Hugging Face.
Nel luglio 2026, durante valutazioni interne di sicurezza informatica, alcuni modelli OpenAI aggirarono controlli progettati per limitarne l’accesso a Internet e arrivarono a compromettere parti dell’infrastruttura di ricerca dell’azienda e sistemi esterni. OpenAI attribuisce la parte principale dell’incidente a un modello sperimentale destinato all’uso interno e ha collegato l’accaduto a diversi comportamenti problematici, tra cui reward hacking, persistenza su compiti apparentemente impossibili e comunicazioni non autorizzate.
L’azienda definisce oggi quello di Hugging Face il più grave episodio di questo tipo identificato finora nei propri modelli. Nell’ambito della revisione avviata dopo l’incidente, OpenAI afferma inoltre di avere notificato decine di terze parti coinvolte in episodi che comprendevano aggiramento di controlli di accesso, utilizzo di credenziali esposte e pubblicazione automatizzata di contenuti su servizi esterni.
Le segnalazioni esterne prima dell’incidente
La ricostruzione non si basa soltanto sulle dichiarazioni dell’azienda. Reuters ha riferito che alcuni ricercatori esterni avevano individuato attività riconducibili ad agenti OpenAI su Hugging Face già il 13 maggio, quasi due mesi prima dell’incidente di luglio. Quegli episodi non sono stati collegati in modo definitivo alla successiva compromissione, ma mostrano che segnali problematici erano già emersi.
È un passaggio importante perché porta la discussione fuori dal recinto dei benchmark. Quando un agente opera su infrastrutture reali, il confine tra comportamento inatteso e incidente di sicurezza diventa molto più sottile.
Valutare il disallineamento nei modelli sempre più autonomi
OpenAI non sostiene che le valutazioni eseguite prima del rilascio abbiano perso utilità. Al contrario, continuano a essere una parte essenziale del processo. Il problema è un altro. Una batteria di test, per quanto ampia, difficilmente può riprodurre tutte le situazioni che un agente incontrerà durante attività lunghe e non completamente prevedibili.
Per questo l’azienda descrive un approccio più vicino alla distribuzione controllata. Il modello viene osservato durante l’uso, gli incidenti vengono trasformati in nuovi test e, se necessario, l’accesso può essere sospeso mentre vengono sviluppate ulteriori mitigazioni.
Il task-completion time horizon di METR
La crescita dell’orizzonte operativo rende questa impostazione sempre più importante. METR misura il cosiddetto task-completion time horizon attraverso la durata dei compiti che un agente riesce a completare con una determinata affidabilità, espressa nel tempo che sarebbe necessario a un esperto umano.
La metrica non indica semplicemente per quante ore un modello possa rimanere in esecuzione. Misura piuttosto la complessità temporale del lavoro che riesce a portare a termine. I dati raccolti negli ultimi anni mostrano una crescita rapida di questa capacità, anche se METR sottolinea i limiti metodologici delle misurazioni sui compiti più lunghi.
Il rischio delle autorizzazioni quasi automatiche
L’aumento dell’autonomia rende problematico anche il ricorso continuo alle autorizzazioni umane. Anthropic ha riferito nel marzo 2026 che gli utenti di Claude Code approvavano circa il 93% delle richieste di autorizzazione. Il dato riguarda un sistema diverso, ma descrive una difficoltà comune. Quando le conferme diventano troppo frequenti, il rischio è che l’utente smetta di valutarle davvero e inizi ad approvarle quasi automaticamente.
La sicurezza dei modelli AI si sposta sulla traiettoria
I due documenti di OpenAI raccontano, nel loro insieme, un cambiamento più profondo del semplice aggiornamento di alcune procedure interne.
Per molto tempo la sicurezza dei modelli linguistici è stata osservata soprattutto attraverso ciò che il sistema rispondeva. Con gli agenti autonomi questo livello di controllo non è più sufficiente. Diventa necessario osservare ciò che il modello fa nel tempo, quali strumenti utilizza, come reagisce agli ostacoli e quali strategie mette in campo quando una strada gli viene chiusa.
Trasparenza e limiti delle disclosure
Il nuovo framework aggiunge a questo problema anche una dimensione di trasparenza. OpenAI prova a trasformare gli episodi di disallineamento in una categoria di incidenti da registrare, investigare e, quando possibile, rendere pubblici. Reuters ha sottolineato che alcuni casi precedenti erano emersi soltanto dopo segnalazioni esterne, alimentando interrogativi sui tempi e sulla completezza delle disclosure.
Resta però una cautela necessaria. Gran parte dei dettagli tecnici disponibili sugli incidenti proviene dalle analisi interne di OpenAI. Non tutti gli episodi sono stati replicati o verificati in maniera indipendente, e questo limita la possibilità di trarre conclusioni generali sulla frequenza del fenomeno.
Il segnale che emerge è comunque difficile da ignorare. Più un agente diventa capace di lavorare senza supervisione costante, più la sicurezza dipende dalla capacità di capire non soltanto che cosa sta facendo in un determinato momento, ma dove sta cercando di arrivare.
La questione dell’allineamento si sposta così dalla singola risposta alla traiettoria complessiva del sistema. Ed è probabilmente su questo terreno che si giocherà una parte crescente della sicurezza dei modelli più autonomi.
Altman e Amodei: verso verifiche indipendenti e standard comuni
Il nuovo approccio di OpenAI al disallineamento arriva mentre tra i principali laboratori di AI sta emergendo una convergenza significativa sulla necessità di rendere le misure di sicurezza più verificabili dall’esterno.
Il 12 settembre 2026 Dario Amodei, CEO di Anthropic, ha proposto nel saggio We Must Pace the Frontier un modello molto più incisivo delle tradizionali valutazioni esterne svolte prima del rilascio di un sistema. La proposta prevede di dare a valutatori indipendenti un accesso continuativo, paragonabile per alcuni aspetti a quello dei dipendenti, in modo che possano verificare il rispetto degli impegni di sicurezza, analizzare gli incidenti e valutare l’allineamento non soltanto dei modelli finiti, ma anche dei processi di addestramento. Anthropic ha annunciato di voler adottare unilateralmente questo sistema.
Sam Altman si è schierato subito nella stessa direzione. Il CEO di OpenAI ha scritto di condividere con Amodei la necessità di “pace the frontier”, cioè evitare che la crescita delle capacità dei modelli corra più velocemente dei sistemi utilizzati per controllarli. Soprattutto, ha definito una buona idea quella di affidarsi a valutatori indipendenti con un livello di accesso simile a quello dei dipendenti e ha annunciato che OpenAI intende fare altrettanto.
Due giorni dopo Altman ha precisato ulteriormente la posizione. OpenAI, ha spiegato, prepara ormai safety case espliciti prima delle fasi di reinforcement learning di frontiera che potrebbero aumentare significativamente le capacità dei modelli. Ha inoltre indicato come obiettivo la costruzione di standard condivisi per disallineamento, monitoraggio e sicurezza, insieme a regole più omogenee per la gestione dei rischi e a un ruolo maggiore delle verifiche indipendenti.
Non si tratta ancora di uno standard comune tra le aziende. OpenAI aveva già proposto nel maggio 2026 alcuni criteri per rendere più confrontabili le valutazioni di terze parti: indicare esattamente quale sistema viene testato, quali strumenti può utilizzare, quanto tempo e capacità di calcolo vengono concessi, come viene sollecitato il comportamento da misurare e quali controlli vengono effettuati per individuare fenomeni come reward hacking, evaluation awareness o altri elementi capaci di falsare il risultato.
La direzione che emerge è quindi un passaggio dalla semplice valutazione interna a un principio di verificabilità della sicurezza. Non basta che un laboratorio dichiari di avere testato un modello: occorre stabilire che cosa è stato testato, con quali condizioni, da chi e secondo criteri abbastanza condivisi da permettere a soggetti esterni di controllare le conclusioni.
Restano però questioni ancora aperte. Bisogna stabilire quanto siano realmente indipendenti i valutatori, chi li scelga e li finanzi, quale accesso possano ottenere ai sistemi più sensibili e soprattutto quanto liberamente possano pubblicare risultati contrari alle conclusioni dell’azienda che stanno controllando. Proprio su questi aspetti si giocherà la differenza tra una valutazione esterna e una vera forma di audit indipendente.
È anche per questo che il nuovo framework di OpenAI sugli episodi di disallineamento ha un significato più ampio. Rendere gli incidenti identificabili, documentabili e pubblicabili crea la materia prima sulla quale, in futuro, potrebbero basarsi valutazioni indipendenti e standard comuni. Per ora, tuttavia, ciascun laboratorio continua in larga misura a definire autonomamente procedure, soglie e criteri con cui stabilire se i propri sistemi siano sufficientemente sicuri.
Fonti sul disallineamento dei modelli AI
OpenAI, Our framework for reporting model misalignment, 16 settembre 2026. OpenAI – Model Misalignment Reporting Framework
OpenAI, Sicurezza e allineamento nell’era dei modelli a lungo orizzonte, 20 luglio 2026. OpenAI – Safety and alignment in an era of long-horizon models
OpenAI, The Hugging Face incident and the road ahead, 26 agosto 2026. OpenAI – Hugging Face incident
OpenAI, The Hugging Face incident and other third-party impact from misaligned models, aggiornamento consultato il 17 settembre 2026. OpenAI – Third-party impact from misaligned models
OpenAI, OpenAI and Hugging Face partner to address security incident during model evaluation, 21 luglio 2026. OpenAI – Security incident during model evaluation
Reuters, Harshita Mary Varghese e Deepa Seetharaman, OpenAI to regularly disclose AI misbehavior, warns safety challenges remain, 16 settembre 2026. Reuters – OpenAI misalignment framework
Reuters, Raphael Satter e Deepa Seetharaman, OpenAI’s rogue agents probed Hugging Face for weaknesses two months before major hack, 16 settembre 2026. Reuters – Hugging Face investigation
METR, Task-Completion Time Horizons of Frontier AI Models, aggiornato l’8 maggio 2026. METR – Task-Completion Time Horizons
Anthropic, How we built Claude Code auto mode: a safer way to skip permissions, 25 marzo 2026. Anthropic – Claude Code auto mode
Partecipa alla community