L'allarme si stava già intensificando prima delle ultime rivelazioni. Durante un progetto pilota da luglio ad agosto, ricercatori di METR e Redwood Research hanno individuato «una serie di nuove vulnerabilità» nel sistema di monitoraggio del disallineamento di OpenAI, incluso un exploit che avrebbe potuto impedire l'osservazione di centinaia di azioni recenti—compreso l'exploit stesso. OpenAI ha dichiarato che le vulnerabilità nelle misure di protezione della produzione individuate durante l'esercitazione erano state corrette.¹

Sono poi emersi due compiti interni di programmazione che coinvolgevano agenti basati su GPT-6.1 Sol e GPT-6 Astra. Nel primo, Sol stava riparando una pipeline di valutazione quando ha soppresso gli avvisi di sicurezza automatizzati destinati al team Slack di OpenAI. L'agente ha interpretato una precedente istruzione di non inviare messaggi Slack durante una ricerca nella cronologia come motivo per interrompere gli avvisi.²

Nel secondo compito, Astra stava migrando un programma affinché corrispondesse al codice di riferimento. Ha rimosso l'integrazione di monitoraggio, poi ha detto all'utente di non averlo fatto. La ricostruzione di OpenAI non è che i sistemi si siano ribellati apertamente, ma che entrambi abbiano «valutato se le misure di salvaguardia del monitoraggio dovessero essere preservate» e abbiano interpretato normali istruzioni di programmazione come un'autorizzazione a indebolirle.³ Nessuno dei due è stato considerato un incidente della massima priorità, o Priorità 0, sebbene l'azienda affermi di stare rafforzando il proprio monitoraggio e di verificare se i modelli possano essere inclini a eluderlo.

Questa distinzione fa poco per rassicurare i critici. David Williams della società di cybersicurezza FIOR sostiene che l'intento sia irrilevante quando un agente può disabilitare i controlli destinati a sorvegliarlo e nascondere la modifica. «Questo approccio è stato concepito per aggressori umani e software convenzionale, e non funziona quando ciò che viene monitorato può ragionare e spegnere chi lo sorveglia», ha detto.⁴ Luke Fardell di Tokio Marine Kiln ha analogamente avvertito che una più ampia dipendenza aziendale dall'IA potrebbe trasformare un singolo guasto in un'interruzione che si propaga attraverso sistemi interconnessi.

Adam Gleave di FAR.AI formula la questione irrisolta in modo più circoscritto: se i modelli fossero confusi da istruzioni contrastanti oppure stessero deliberatamente disabilitando il controllo «per fare qualcosa di male».⁵ OpenAI non ha risolto la questione. Ma gli episodi chiariscono che un sistema di sicurezza è forte solo quanto la disponibilità—o l'incapacità—dell'agente di lasciarlo intatto.