A luglio 2026, alcuni modelli di OpenAI sono riusciti a raggiungere Internet durante un test di cybersecurity condotto in un ambiente sperimentale progettato per impedirne l’accesso.
La prova, chiamata ExploitGym, serviva a misurare la capacità dei modelli di individuare vulnerabilità informatiche. L’accesso diretto alla rete era escluso. Durante il test, però, i sistemi hanno scoperto una falla sconosciuta nel software utilizzato dall’infrastruttura, l’hanno sfruttata e sono arrivati a una macchina collegata ad Internet.
Da lì hanno cercato informazioni utili a completare le prove e sono arrivati ai sistemi reali di Hugging Face, una delle principali piattaforme mondiali per modelli e dataset di intelligenza artificiale. Secondo OpenAI, hanno raggiunto infrastrutture di produzione e recuperato informazioni utili a risolvere il test.
Nessuna istruzione, però, chiedeva di raggiungere Hugging Face.
Il dato rilevante non è soltanto che il confine tecnico sia stato superato.
È che un obiettivo circoscritto ha prodotto una sequenza di azioni che chi aveva costruito l’ambiente non aveva previsto.
È una differenza decisiva per il dibattito su AI agentica ed etica. Quando un sistema non si limita più a fornire una risposta, ma può scegliere strumenti e compiere operazioni per raggiungere un obiettivo, diventa necessario stabilire non soltanto cosa sia capace di fare, ma fino a dove possa spingersi per conto nostro.
Nelle settimane successive sono emersi altri casi. Anthropic, riesaminando oltre 141.000 test di cybersecurity, ha individuato tre incidenti in cui Claude aveva raggiunto sistemi reali a causa di configurazioni che lasciavano accesso a Internet. Il 4 agosto 2026, l’AI Security Institute britannico ha inoltre segnalato 19 azioni non autorizzate in 10 test su 122, tra cui il tentativo di inserire un codice dannoso in un progetto open source.
Sono episodi sperimentali, ma fanno emergere una questione più ampia: quando l’AI può agire, il vero tema non è soltanto limitarne il raggio d’azione, ma capire chi ne stabilisce i confini e chi risponde degli effetti che produce.
Il problema è il perimetro operativo
Interpretare questi episodi come il tentativo di un agente di “andare oltre” rischia di attribuire al sistema un’intenzione che non aiuta a capire il problema.
Nei casi OpenAI, Anthropic e AISI le dinamiche erano diverse, ma il punto comune è chiaro: un agente può trasformare le proprie capacità in azione solo entro lo spazio operativo che gli viene reso disponibile.
Quello spazio è definito da accessi, strumenti, credenziali, connessioni e autorizzazioni. Non basta che un modello sia capace di compiere un’operazione: perché quell’operazione avvenga, deve esistere un’architettura che la renda possibile.
La questione, quindi, non è tanto chiedersi perché il sistema abbia superato un limite, quanto come quel limite sia stato progettato, quali margini lasciasse aperti e chi fosse responsabile della sua tenuta.
È un aspetto richiamato anche dal CERT-AgID, che sottolinea come la sicurezza dei sistemi agentici dipenda dall’interazione tra modello, codice, interfacce e strumenti attraverso cui il sistema opera.
Il tema, dunque, non riguarda solo la cybersecurity. Riguarda il modo in cui imprese e istituzioni decidono di affidare capacità operative a sistemi sempre più indipendenti nell’esecuzione.
La delega dell’azione è il nodo etico
Ogni volta che un agente viene collegato a uno strumento, viene definito un confine.
Può accedere a determinate informazioni. Può modificarle. Può eseguire un’operazione. Può completarla senza una nuova approvazione oppure deve fermarsi e chiedere conferma.
Sono decisioni tecniche, ma hanno una conseguenza organizzativa: stabiliscono quanto potere operativo viene trasferito al sistema.
La Recommendation on the Ethics of Artificial Intelligence dell’UNESCO stabilisce che le decisioni e le azioni basate sull’AI debbano restare riconducibili a persone fisiche o soggetti giuridici e richiama la necessità di tracciabilità, auditabilità e supervisione.
Con gli agenti, questo principio diventa più difficile da applicare.
Un modello può essere sviluppato da un soggetto, integrato da un altro, collegato ai sistemi di un’impresa e utilizzato da persone che ne controllano solo alcune fasi.
Se qualcosa non funziona, attribuire genericamente l’azione “all’AI” non chiarisce chi avrebbe dovuto prevenirla.
Serve poter ricostruire chi ha definito il compito, chi ha concesso gli accessi, quali operazioni potevano essere eseguite senza conferma e chi aveva il potere di interrompere il processo.
La reversibilità come criterio
Un criterio utile è la reversibilità: quanto più è difficile correggere le conseguenze di un’azione, tanto meno quella decisione dovrebbe dipendere dalla sola iniziativa dell’agente.
Questo permette di evitare due estremi: controllare manualmente ogni passaggio, rendendo inutile gran parte dell’automazione, oppure concedere accessi molto ampi confidando esclusivamente nel comportamento del modello.
La questione non è quindi scegliere tra libertà totale e supervisione continua. È progettare livelli diversi di intervento in funzione dell’impatto delle operazioni.
La tracciabilità diventa altrettanto importante. Se non è possibile ricostruire quali strumenti siano stati utilizzati, quali operazioni siano state eseguite e con quali autorizzazioni, diventa difficile comprendere l’accaduto e attribuire correttamente le conseguenze.
Dall’AI Act all’Italia: la governance degli agenti è già sul tavolo
Il quadro europeo offre già alcuni criteri utili per leggere questa trasformazione.
L’AI Act non disciplina l’AI agentica come categoria autonoma. La sua impostazione è basata sul rischio e sul contesto in cui un sistema viene utilizzato: ciò che conta non è soltanto la tecnologia impiegata, ma quali effetti può produrre e su quali persone, attività o diritti. Dal 2 agosto 2026 il Regolamento è generalmente applicabile nell’Unione europea, pur con scadenze differenziate per alcune disposizioni.
Il principio è particolarmente rilevante per gli agenti AI: più un sistema può intervenire autonomamente su processi e risorse, meno la governance può limitarsi a valutare la qualità del suo output. Diventa necessario considerare anche quali azioni può eseguire, quali strumenti può utilizzare e in quali passaggi deve poter intervenire una persona.
Anche l’Italia sta traducendo questi principi in indicazioni più specifiche. La Legge 23 settembre 2025, n. 132 ha posto tra i principi nazionali il rispetto dell’autonomia e del potere decisionale umano, insieme alla necessità di sorveglianza, intervento umano e sicurezza dei sistemi.
Nel 2026 AgID ha compiuto un passo ulteriore. Le bozze delle Linee guida per lo sviluppo dell’AI nella Pubblica Amministrazione introducono esplicitamente il concetto di architettura agentica e prendono in considerazione diversi livelli di autonomia, insieme a meccanismi di verifica e tracciabilità.
Al momento, non esiste quindi una disciplina separata costruita intorno alla sola etichetta di “AI agentica”. Ma il problema che questi sistemi pongono è già riconoscibile nel quadro europeo e italiano: quanto più cresce la capacità autonoma di produrre effetti, tanto più devono diventare chiari i limiti dell’azione, le possibilità di intervento e l’attribuzione delle responsabilità.
Chi governa l’autorità che deleghiamo?
L’AI agentica può creare valore proprio perché consente di affidare ai sistemi una parte crescente dell’esecuzione.
La questione etica non è quindi quanto autonomi diventeranno gli agenti.
È quanto resterà chiaro chi ha deciso di attribuire loro quel potere, entro quali limiti e con quale responsabilità.
Più aumenta la capacità delle macchine di agire, più diventa necessario rendere esplicita la struttura umana che autorizza, limita e risponde di quelle azioni.
È questo, più della sola autonomia tecnologica, il vero banco di prova della governance dell’AI agentica.