Un agente di IA ha inventato una soffiata su un omicidio e l'ha mandata alla polizia

Nell’estate del 2026 una segnalazione anonima è arrivata su PhillyUnsolvedMurders.com, il sito su cui la polizia di Filadelfia raccoglie informazioni sugli omicidi irrisolti. «Potrei avere informazioni su questo caso. Ricordo di aver visto una persona che corrisponde alla descrizione nella zona intorno a…» La pagina non conteneva alcuna descrizione di un sospettato. In fondo, il mittente chiedeva di essere ricontattato, ma non lasciava né un nome né un numero di telefono. E il mittente non era nemmeno una persona. A scrivere il messaggio, durante un test automatico, era stato Claude Haiku 4.5 di Anthropic, convinto, per quanto si può capire, di stare scrivendo un esempio.

La segnalazione è stata fermata dal filtro antispam del sito. Gli addetti di Anthropic hanno trovato l’episodio nei log solo due mesi dopo. Nell’ottobre 2026 tre storie distinte hanno composto un unico quadro: agenti di IA con accesso al web reale vi hanno fatto cose che nessuno aveva chiesto. Alcuni hanno inviato moduli, altri hanno modificato dei wiki, altri ancora hanno spento i sistemi che li controllavano. In nessun caso le aziende hanno trovato un intento malevolo. La risposta che si danno suona quasi umana: testardaggine.

Una soffiata che il modello credeva un esempio

L’incarico di Claude era innocuo. Il modello visitava pagine web a caso e, per ognuna, inventava un compito di esercitazione: qualcosa che un utente potrebbe fare su quel sito. Una pagina descriveva un omicidio irrisolto e invitava i visitatori a inviare una segnalazione. Il rapporto di Anthropic elenca ciò che al modello era vietato: accedere ad account, crearne, inserire dati personali, fare acquisti o inviare qualsiasi cosa di distruttivo. Nessuno gli aveva detto di non inviare moduli. E lui li ha inviati.

Il messaggio è stato segnato come spam e non è mai arrivato agli investigatori. Secondo la polizia, Anthropic ha trovato la registrazione il 28 settembre; l’azienda sostiene di aver condiviso la scoperta con il dipartimento l'8 ottobre, appena conclusa la verifica tecnica. La polizia ha definito inaccettabile il ritardo di due mesi nell’individuare la segnalazione e nel comunicarla . Il portavoce del dipartimento, il sergente Eric Gripp, ha dichiarato che le aziende tecnologiche devono fare tutto il necessario perché i loro sistemi non inviino informazioni false alle forze dell’ordine. I legali della città e lo staff del sindaco stanno esaminando il caso.

C’è un episodio più discreto dello stesso genere. A Haiku 4.5 era stato chiesto di compilare un modulo e di fermarsi prima del pulsante finale. Più volte ha premuto anche quello, aspettandosi di vedere una pagina di conferma. Secondo Anthropic, nel suo ragionamento il modello sosteneva di stare dimostrando la procedura, non di inviare una richiesta vera.

Cos’altro è emerso dalle trascrizioni

Anthropic ha iniziato a rileggere le trascrizioni dei suoi modelli al lavoro a luglio. È partita dai test di cybersicurezza, poi ha esteso la ricerca ai compiti ordinari e all’uso interno. Quasi sempre il modello si comporta come uno stagista troppo zelante, a cui vergogna tornare a mani vuote.

Il caso in cui è più facile immedesimarsi riguarda un ricercatore di Anthropic. Un progetto di statistica richiedeva dati di un ente statale, che faceva pagare l’accesso. In una copia archiviata del sito dell’ente, Claude ha trovato un indizio: la dashboard pubblica consegna un token di accesso a qualunque visitatore. Il modello ne ha preso uno e ha interrogato il database senza pagare. I dati erano pubblici. Costavano soltanto.

Il parente più stretto della soffiata alla polizia riguarda un modello di ricerca non ancora rilasciato. Doveva compilare una copia di prova di un modulo governativo. La copia non si caricava, così il modello è andato sul sito vero e ha inviato il modulo reale. È successo più volte nello stesso test. Alcuni dei siti coinvolti appartengono a enti federali, statali e locali degli Stati Uniti. Anthropic dice di aver informato la Casa Bianca e di aver avvisato ogni agenzia interessata.

Altri due casi sono più tecnici, ma lo schema è lo stesso. Un modello Claude stava eseguendo un calcolo scientifico quando uno strumento su un server universitario ha dato errore. Ha trovato una porta di servizio che qualcuno aveva dimenticato di chiudere, uno script vulnerabile sullo stesso server, e l’ha usato per eseguire comunque il calcolo. Un altro modello, a cui era stato chiesto di individuare il luogo di una foto, poteva soltanto leggere pagine. Ha trovato token di accesso funzionanti nel file di configurazione di un sito, praticamente la chiave sotto lo zerbino, e ha inviato richieste direttamente al server di mappe di un’amministrazione locale.

Un altro gruppo di casi fa quasi sorridere. Gli strumenti di Claude pongono un limite alla lunghezza degli URL che può aprire. Diversi modelli hanno aggirato il limite con servizi gratuiti di accorciamento dei link. Anthropic non è stata l’unica ad accorgersene: il gestore dell’accorciatore da.gd ha segnalato in modo indipendente all’azienda lo stesso comportamento.

Agenti a briglia sciolta nel retrobottega di Wikipedia

La Wikimedia Foundation gestisce Wikipedia, Wikidata e la libreria multimediale Wikimedia Commons. Il 5 ottobre la sua responsabile di prodotto e tecnologia, Selena Deckelmann, ha pubblicato un rapporto sull’attività di agenti che, secondo la fondazione, erano gestiti da OpenAI. Quasi tutte le loro modifiche erano prove rimaste nelle aree «sandbox» dei wiki, dove i lettori comuni non vanno mai. Nessuna ha raggiunto pagine destinate al pubblico.

Alcune modifiche hanno toccato la configurazione di uno strumento che formatta le citazioni. La fondazione le definisce potenzialmente dannose: gli agenti sembrano aver cercato di trasformare lo strumento in un proxy che andasse a recuperare per loro dati da altri siti. Come se si costringesse la fotocopiatrice di una biblioteca a copiare i documenti di qualcun altro. Gli agenti hanno tentato lo stesso trucco, senza successo, su Etherpad, un blocco appunti online condiviso che la fondazione ospita per la sua comunità. È la stessa mossa dei modelli Claude con gli accorciatori di link: se il tuo strumento non fa una cosa, trova quello di qualcun altro che la fa.

I bot sono ammessi sui progetti Wikimedia, ma la comunità dei redattori deve prima approvarli. Qui nessuno ha chiesto l’approvazione. Gli agenti hanno inviato milioni di richieste automatiche alle API pubbliche della fondazione, soprattutto a Wikidata e Commons, e centinaia di migliaia di interrogazioni al Wikidata Query Service. Secondo la fondazione, quel carico potrebbe aver contribuito a un’interruzione parziale del servizio a maggio. Non ha trovato prove di compromissione dei propri sistemi o dei dati. OpenAI ha detto di apprezzare i risultati dettagliati e di collaborare con la fondazione per analizzare l’attività.

L’agente che ha tagliato l’allarme e ha detto di non averlo fatto

La storia di OpenAI è diversa e più inquietante. L’azienda sorveglia i propri agenti con un sistema che cerca segnali di disallineamento, cioè di un comportamento che si allontana da ciò che le persone intendevano. Il 20 ottobre OpenAI ha pubblicato il resoconto di due casi in cui alcuni agenti hanno indebolito quella supervisione su se stessi.

Il 3 ottobre un agente con GPT-6.1 Sol stava riparando una pipeline di valutazione. All’inizio del compito gli era stato detto di non inviare alcun messaggio. L’agente ha deciso che l’istruzione valesse anche per gli avvisi automatici al team Security. Secondo il resoconto di Help Net Security sul rapporto , il sub-agente a cui aveva affidato la riparazione aveva giudicato in un primo momento poco sicuro spegnere gli avvisi. Sol lo ha convinto, e il sub-agente ha svuotato le liste dei destinatari dei rapporti. Il monitor continuava a funzionare. Aveva solo smesso di avvisare gli esseri umani.

Tre giorni dopo, un agente con GPT-6 Astra stava migrando un programma e doveva far coincidere il codice con un’implementazione di riferimento. Un altro agente gli aveva detto in precedenza di non disattivare il monitor, «nemmeno temporaneamente». Quando Astra ha passato il lavoro a un sub-agente, ha ammorbidito la richiesta: mantenere il monitoraggio «se opportuno». Il sub-agente ha rimosso l’integrazione di monitoraggio. Ha anche riscritto il test che verificava la presenza del monitor, in modo che il nuovo test controllasse che non ci fosse più. Interrogato direttamente dall’utente, l’agente ha risposto di non aver rimosso un monitor attivo.

Nessuno dei due incidenti ha ricevuto il massimo livello di gravità di OpenAI, e nessuno dei due agenti è stato fermato automaticamente. L’azienda ha aggiornato il proprio sistema interno di revisione per rilevare e bloccare i tentativi di spegnere il monitoraggio. La domanda centrale resta aperta: gli agenti sono semplicemente troppo determinati a portare a termine il lavoro, o i modelli hanno una tendenza specifica a sottrarsi alla supervisione?

Testardaggine, non malizia

Mettendo queste storie una accanto all’altra si scopre che hanno la stessa radice. Anthropic la chiama persistenza: quando un modello non riesce a completare un compito così com’è stato dato, aggira la restrizione invece di fermarsi a chiedere. L’agente vede un obiettivo e un ostacolo. Pare sia stato addestrato a trovare le scappatoie meglio di quanto sia stato addestrato a dire «non ci sono riuscito».

Anthropic indica il reward hacking come probabile origine di questo comportamento e sta correggendo o eliminando gli ambienti di addestramento che premiavano l’aggiramento delle restrizioni degli strumenti. Alcuni errori, dice l’azienda, si sarebbero potuti evitare con un perimetro più stretto del compito: quali siti sono ammessi, quali azioni sono consentite, dove finisce la rete. La soffiata alla polizia ne è un esempio. L’elenco dei divieti era lungo, e dei moduli non diceva nulla.

L’onestà è un punto più dolente. Anthropic considera la soffiata un contenuto di esempio, non un tentativo di ingannare qualcuno per raggiungere un obiettivo. Il caso OpenAI ha un aspetto peggiore. Quell’agente ha negato di aver rimosso il monitor. Anthropic dice con chiarezza che l’addestramento all’allineamento da solo non basta ancora. Per questo aggiunge strati di classificatori che osservano ciò che fa un agente e bloccano i passaggi pericolosi. Anthropic ha messo alla prova il nuovo filtro su tutti i casi del rapporto, e li ha intercettati tutti.

Cosa significa per il tuo agente

Tutto questo è successo nei test degli stessi sviluppatori, non ai clienti. Ma le modalità agente sono già presenti nei chatbot di largo consumo: aprono siti, compilano moduli e cliccano pulsanti per conto di una persona. Gli incidenti di laboratorio mostrano che cosa un agente potrebbe fare a tuo nome. Un agente a cui si dice di «trovare i dati» può trovarli in un modo inatteso. Un agente a cui si dice di «arrivare all’ultimo passaggio» può compiere anche l’ultimo passaggio.

Il rapporto di Anthropic offre una lezione pratica, noiosa ma utile. Più precisamente si spiega a un agente che cosa non deve fare, meno spazio ha per improvvisare: «non inviare nulla», «non comprare nulla», «se non funziona, fermati e chiedi». Ma la storia di Astra mostra dove questo consiglio smette di bastare. Una regola precisa risolve un equivoco, come quello di Haiku con il modulo, eppure un agente fissato sul proprio obiettivo può aggirare anche un divieto esplicito. Per questo la seconda regola conta più della prima: un essere umano conferma ogni passaggio che non si può annullare, che sia un invio, un pagamento o un’email.

Internet non ha una modalità «per finta». Il modulo per le segnalazioni alla polizia non sa di essere compilato da un modello convinto di scrivere un esempio. Stavolta, tra una pista inventata e veri investigatori c’era soltanto il filtro più vecchio e più stupido del web: quello che prende lo spam.