Gli agenti AI hanno bucato Hugging Face, e noi guardiamo

L'ironia perfetta

Un agente AI autonomo ha bucato Hugging Face. Sì, avete letto bene: la piattaforma che ospita più modelli AI al mondo è stata violata da un'AI. È un po' come se il più grande deposito di armi del pianeta venisse rapinato usando una delle armi che custodisce. L'ironia è talmente perfetta che sembra scritta da uno sceneggiatore pigro.

I dettagli, riportati da The Hacker News il 20 luglio, sono da manuale di cybersecurity del futuro. Il punto di ingresso è stato un dataset malevolo che ha sfruttato due percorsi di esecuzione codice: il remote code dataset loader e una template injection nella configurazione del dataset. Da lì, l'agente ha scalato i privilegi fino ad accedere ai nodi, ha raccolto credenziali cloud e di cluster, e si è mosso lateralmente attraverso diversi cluster interni. Il tutto durante un weekend. Mentre qualcuno probabilmente guardava Netflix.

La parte che mi ha fatto fermare a rileggere due volte è questa: l'attacco è stato eseguito da un framework di agenti autonomi che ha compiuto "migliaia di azioni individuali attraverso uno sciame di sandbox temporanee, con un command-and-control auto-migrante ospitato su servizi pubblici". Non un hacker con una felpa in una stanza buia. Un sistema che si coordina da solo, migra da solo, attacca da solo.

Hugging Face dice di non aver trovato prove che l'agente abbia manomesso modelli pubblici, dataset o Spaces. OK, bene. Ma il fatto che un agente autonomo abbia avuto accesso a credenziali interne e dataset riservati di quella che è, di fatto, l'infrastruttura condivisa dell'AI open source mondiale, ecco, non è esattamente rassicurante. È come dire "il ladro è entrato in banca, ha aperto la cassaforte, ma giura di non aver toccato niente".

Il 54% ha già avuto problemi

E qui il discorso si allarga, perché Hugging Face non è un caso isolato. È un sintomo.

Secondo una ricerca di VentureBeat pubblicata il 16 luglio su 107 aziende, il 54% ha già avuto un incidente di sicurezza confermato (18%) o un quasi-incidente intercettato prima che facesse danni (36%) legato ad agenti AI. Più della metà. E siamo solo all'inizio dell'adozione massiva.

Il punto però forse è un altro. Il problema strutturale non è che gli agenti vengono attaccati. È che gli agenti stessi sono il vettore d'attacco, e contemporaneamente non hanno neanche un'identità propria. Solo il 32% delle aziende intervistate assegna a ogni agente un'identità dedicata con permessi circoscritti. Il resto? Credenziali condivise, API key comuni, account di servizio riciclati. Tradotto: se un agente viene compromesso, il raggio d'esplosione è enorme perché quell'agente ha le stesse chiavi di tutti gli altri.

Solo il 30% isola gli agenti ad alto rischio in sandbox. Tre su dieci. E la cosa che mi colpisce di più è il comfort con cui le aziende vivono dentro questo gap. Lo stack di sicurezza è "overwhelmingly borrowed", preso in prestito dai provider cloud e dai fornitori di modelli, non costruito apposta per gli agenti. È un po' come consigliare a uno che sta affogando di usare il giubbotto di salvataggio della barca che non ha.

Passano i test, poi falliscono

C'è un secondo report di VentureBeat, sempre del 16 luglio, su 157 aziende, che racconta l'altra faccia della medaglia. E se possibile è ancora più inquietante.

Metà delle organizzazioni intervistate ha mandato in produzione, nell'ultimo anno, un agente o una feature basata su LLM che aveva superato tutte le valutazioni interne e poi ha causato un fallimento visibile ai clienti. Un quarto l'ha visto succedere più di una volta. Solo il 5% si fida completamente delle proprie valutazioni automatizzate. Il 29% dice che il problema principale è che le valutazioni non riflettono i risultati nel mondo reale.

Diciamocelo: stiamo parlando di aziende che sanno che i loro test non funzionano, lo ammettono nei sondaggi, e poi mandano comunque tutto in produzione. Il 66% già permette o sta attivamente costruendo pipeline per il deployment completamente automatizzato, senza nessun umano nel loop, per gli agenti a basso rischio. Un terzo vuole arrivarci entro dodici mesi anche per il resto.

C'è un concetto giapponese, 見切り発車 (mikiri hassha), che descrive il far partire il treno prima che tutti i passeggeri siano saliti. Ecco, noi stiamo facendo partire il treno prima di aver finito di costruire i binari. E lo sappiamo. E lo facciamo lo stesso, perché la pressione competitiva è tale che fermarsi sembra più rischioso che andare avanti alla cieca.

Chi costruisce le rotaie

In mezzo a tutto questo, qualcuno sta provando a costruire l'infrastruttura che manca. E questa è la parte della settimana che mi interessa di più, perché è dove si gioca la partita vera.

Amazon ha reso generalmente disponibile AgentCore, il suo "declarative harness" per Bedrock che gestisce orchestrazione, memoria, recupero errori e knowledge base. La specifica finale di MCP (Model Context Protocol) è attesa per il 28 luglio con le estensioni Tasks e Apps. LangGraph 1.0 tratta gli strumenti MCP come nodi nativi. E Netzilo ha rilasciato governance cross-platform con kill switch per agenti compromessi. Tutto questo secondo AIAgentStore.

Pinecone ha lanciato Nexus, un "knowledge engine" che compila il contesto organizzativo in un layer strutturato interrogabile da più agenti, promettendo meno token consumati e comportamenti più consistenti rispetto ai workflow RAG improvvisati. L'idea è trattare la conoscenza degli agenti come un asset riutilizzabile, non come qualcosa che ogni agente si reinventa da zero ogni volta.

Alibaba Cloud ha presentato Agent Native Cloud al WAIC 2026. Il messaggio è chiaro: i grandi cloud provider stanno tutti convergendo sulla stessa scommessa, cioè che gli agenti AI diventeranno un carico di lavoro standard come i container lo sono diventati dieci anni fa, e che chi fornisce il runtime gestito vincerà.

Ecco, se devo trovare l'opportunità in mezzo al caos di questa settimana, è qui. Il gap di sicurezza e valutazione non si chiude con più cautela (nessuno rallenterà, è inutile illudersi). Si chiude con infrastruttura migliore. Runtime che impongono isolamento per default, identità per agente come requisito e non come opzione, kill switch che funzionano. Chi costruisce questi pezzi adesso sta costruendo le fondamenta di un mercato enorme.

Apple, OpenAI e il dispositivo che ascolta

Cambiando completamente registro: Apple ha fatto causa a OpenAI per furto di segreti industriali. Secondo TechCrunch, la denuncia parla di un "pattern of misconduct" che arriva fino al chief hardware officer di OpenAI, e cita più di 400 ex dipendenti Apple ora in forza all'azienda di Altman. OpenAI ha risposto che "non è a conoscenza di prove che la denuncia abbia fondamento". Risposta prudente, per usare un eufemismo.

Il tempismo è micidiale. OpenAI starebbe puntando a un'IPO entro fine anno, e il primo prodotto hardware (uno smart speaker con Jony Ive) è in fase di sviluppo. Come ha notato Sean O'Kane nel podcast Equity, anche senza provvedimenti restrittivi del tribunale, una causa del genere crea naturalmente ritardi. "Che era probabilmente parte del ragionamento di Apple", ha aggiunto. "Non fanno queste cose a caso."

La domanda interessante non è se OpenAI vincerà o perderà in tribunale. È se questa causa cambierà il calcolo rischio-beneficio dell'IPO. Un'azienda che va in borsa con una causa per segreti industriali da parte di Apple, dopo aver appena vinto contro Musk, proietta un'immagine molto specifica: quella di un'organizzazione che cresce così velocemente da generare attrito legale ovunque passi. Per alcuni investitori è un segnale di forza. Per altri, di governance fragile.

Kimi e la geopolitica dei modelli

Moonshot AI ha rilasciato Kimi K3, modello open source che secondo analisi indipendenti di Arena.ai e Vals AI è competitivo con i modelli frontier proprietari, pur restando (per ammissione della stessa Moonshot) dietro a Claude Fable 5 e GPT 5.6 Sol. Il Nasdaq è sceso di circa l'1% venerdì, con vendite su titoli come Nvidia. Déjà vu di DeepSeek R1, gennaio 2025, ma con il volume alzato.

David Sacks, ex AI czar dell'amministrazione Trump e ora co-presidente del consiglio dei consulenti scientifici del Presidente, ha usato Kimi per attaccare la regolamentazione americana: "politici e burocrati che vietano nuovi data center, accumulano regolamenti statali e spingono per agenzie federali che pre-approvino i modelli frontier". Ha anche definito Claude un esempio di "modelli lobotomizzati woke" nemici della competitività americana. (Sì, lo so, il livello del dibattito è questo.)

Il punto però forse è un altro. Travis Kalanick si è lamentato della distillazione cinese dai modelli americani, ma come nota TechCrunch, anche i modelli americani sono stati costruiti sopra quelli cinesi, specificamente Kimi. La realtà è che l'ecosistema AI globale è già profondamente intrecciato, e l'idea di separarlo in blocchi geopolitici puliti è una fantasia. Utile per i tweet, inutile per la strategia.

L'AI che non parla inglese

Una notizia che è passata sotto traccia ma che merita attenzione: Current AI, una nonprofit fondata nel febbraio 2025, sta costruendo infrastruttura AI pubblica e aperta. Il governo francese ha messo 100 milioni di dollari come seed, con Ford Foundation, MacArthur Foundation, DeepMind e Salesforce che portano il totale a 400 milioni. "Non sono investitori, sono finanziatori", ha precisato la CEO Ayah Bdeir a TechCrunch.

Il progetto più concreto si chiama Suno Sutra ("cronache dell'ascolto" in hindi): un dispositivo tascabile, offline, open source, che fa girare AI in 22 lingue indiane senza bisogno di internet. Nato dalla collaborazione con Bhashini, la divisione linguistica AI del governo indiano, presentato all'India AI Summit di febbraio.

Metà delle lingue parlate nel mondo rischia l'estinzione. I grandi modelli linguistici sono costruiti sull'inglese. Bdeir lo dice chiaramente: "Se l'AI è davvero una tecnologia trasformativa, deve esistere un'alternativa pubblica. Come il World Wide Web, disponibile a tutti, gratis." È una visione ambiziosa, forse ingenua. Ma 400 milioni di dollari non sono ingenui. E il fatto che DeepMind e Salesforce finanzino qualcosa che potenzialmente compete con i loro stessi prodotti racconta qualcosa sulla consapevolezza che il mercato ha dei propri limiti.

Il treno è partito, i binari no

Se metto insieme i pezzi di questa settimana, il disegno che emerge è chiaro. Gli agenti AI stanno diventando autonomi abbastanza da violare infrastrutture critiche (Hugging Face), ma le aziende che li deployano non sanno ancora come dargli un'identità separata o testarli in modo affidabile. I cloud provider stanno correndo per costruire i runtime gestiti (AWS, Alibaba, Pinecone), ma la domanda corre più veloce dell'offerta. E nel frattempo, la geopolitica dei modelli (Kimi, la causa Apple-OpenAI, Current AI) aggiunge strati di complessità che nessun framework tecnico può risolvere da solo.

La cosa che mi colpisce è che nessuno di questi problemi è sorprendente. Sono tutti prevedibili, tutti previsti, tutti documentati. Eppure eccoci qui, con il 54% delle aziende che ha già avuto un incidente e il 66% che accelera verso il deployment automatizzato. Non è incoscienza. È un calcolo: il costo di non adottare gli agenti sembra più alto del costo di adottarli male. Finché qualcuno non dimostra il contrario con un incidente abbastanza grosso da cambiare l'equazione.

Hugging Face potrebbe essere stato quell'incidente. O potrebbe essere solo il trailer.