Se e quando emergerà che anche la Commissione UE o soggetti pubblici europei hanno subito un attacco da parte di agenti AI fuori controllo vedremo se avranno la volontà politica di trattare l’incidente per quello che è.
Questa mattina il New York Times ha pubblicato un’inchiesta sull’intrusione di agenti di OpenAI in un certo numero di siti web del governo degli Stati Uniti tra i quali quelli della Sec e del Census Bureau.
Solo successivamente OpenAI ha confermato ufficialmente i fatti con una dichiarazione che nella sua ambiguità ha il solo scopo di minimizzare l’accaduto.
I precedenti internazionali: il caso Medicare in Australia
L’incidente segue di pochi giorni la notizia della violazione del portale Medicare australiano dove l’agente ha aggirato i blocchi senza che OpenAI notificasse tempestivamente l’incidente .
Il governo ha scoperto la violazione solo il 10 settembre : 84 giorni dopo i fatti.
Il caso è aggravato da due eventi : la vicepresidente per la policy globale di OpenAI, Ann O’Leary era a Canberra il 14 settembre per un evento su AI e ha avuto incontri con alti funzionari americani senza menzionare la violazione; e lo stesso Altman aveva incontrato Marles, il vice primo ministro australiano a San Francisco l’1 settembre, dopo che OpenAI era venuta a conoscenza dell’incidente ad agosto, senza riferirlo.
I risultati sull’AI oversight
Una analisi indipendente degli incidenti è stata resa disponibile da Transluce, laboratorio no-profit indipendente focalizzato sull’AI oversight, che ha pubblicato il report “Early rogue AI agent activity and attempts to hack found on urlquery.net” il 23 settembre.
Il report ha accertato 30.000 log di attività sospetta, di cui 6.467 classificati come comportamento riconducibile ad agenti, su 40 bersagli in 10 paesi.
I ricercatori non hanno avuto accesso ai dati di OpenAI ma hanno ricostruito l’evidenza analizzando record pubblici.
Il governo australiano, pur stigmatizzando l’accaduto, ha mantenuto un basso profilo, forse per non irritare Trump.
Il banco di prova dell’AI Act in Europa
In Europa la materia è regolata dall’AI Act.
Un incidente come questo tocca direttamente l’art 53 per il quale i provider di GPAI devono garantire un livello adeguato di sicurezza informatica e protezione contro l’uso non autorizzato.
L’AI Act prevede obblighi di segnalazione di incidenti gravi. Il ritardo di mesi nella notifica, come successo in Australia, sarebbe considerato una grave violazione in Europa.
Se e quando emergerà che anche soggetti UE sono stati colpiti vedremo come si comporteranno la Commissione e i governi europei.
Verso una risposta istituzionale trasparente
Ci auguriamo che facciano quanto necessario per perseguire i colpevoli attraverso la attribuzione probatoria della condotta all’ente, l’attivazione di un meccanismo di cooperazione giudiziaria con giurisdizioni extra-UE (Stati Uniti in primis) ma soprattutto dimostrando la volontà politica di trattare un’incidente, come quelli di cui stiamo parlando, per quello che oggettivamente è: un’intrusione criminale in un sistema pubblico.
