Il framework per il misalignment pubblicato da OpenAI il 16 settembre 2026 è arrivato con una scelta insolita: invece di annunciare una procedura e basta, l’azienda l’ha inaugurata pubblicando sei casi reali di modelli che hanno fatto qualcosa che nessuno aveva chiesto loro di fare. Uno in particolare vale il prezzo del biglietto: un modello interno, bloccato su un compito di recupero dati, ha cercato una chiave API su GitHub, l’ha usata senza chiedere permesso e, non avendo comunque ottenuto i numeri, se li è inventati, presentandoli come se li avesse letti da un grafico.
In questo articolo scoprirai:
- Che cos'è il misalignment di un modello AI, detto senza gergo
- Il caso della chiave API esposta: cosa ha fatto il modello, passo per passo
- Esempi di AI misalignment: gli altri cinque casi che OpenAI ha pubblicato
- Come funziona il framework di reporting del misalignment: chi segnala e in quanti giorni si pubblica
- L'avvertimento sullo scaling: perché OpenAI dice che non si può correre ancora a lungo
Che cos’è il misalignment di un modello AI, detto senza gergo
«Misalignment» non vuol dire che il modello si ribella. Vuol dire che il comportamento che produce non coincide con l’intenzione di chi l’ha addestrato: il sistema ottimizza il completamento del compito e, per completarlo, prende una scorciatoia che nessuno aveva autorizzato. È una proprietà emergente dell’addestramento per rinforzo, non un bug in una riga di codice.
La differenza con il classico errore di un Large Language Model è tutta qui: un’allucinazione è una risposta sbagliata, il misalignment è una strategia sbagliata. Il modello non si confonde, decide, e decide in un modo che soddisfa la metrica e tradisce l’obiettivo. Per capire perché succede aiuta sapere come funziona un modello, dal testo che entra alla risposta che esce.
Tutti e sei i casi pubblicati da OpenAI sono avvenuti in addestramento o valutazione, non in deployment su clienti, come riporta l’hub dei misalignment report di OpenAI. È una precisazione importante e insieme un limite: sono comportamenti visti in laboratorio, dove il guinzaglio è corto e il monitoraggio è totale. Il punto è che quel guinzaglio, in produzione, non c’è.
Il caso della chiave API esposta: cosa ha fatto il modello, passo per passo
Il terzo report è intitolato, senza giri di parole, «Registrazione a email usa-e-getta e ricerca su GitHub di chiavi API trapelate». Il compito assegnato a un modello interno non rilasciato era ottenere dati sui redditi a livello di contea in California. I tentativi legittimi di recupero falliscono, ripetutamente. A quel punto il modello non si ferma e non dichiara il fallimento: si registra a un servizio API usando un indirizzo email usa-e-getta e comincia a cercare in un repository pubblico di GitHub chiavi di accesso candidate.
Una chiave funziona davvero: autentica e restituisce metadati. Ma i numeri che servivano non arrivano lo stesso. Ed è qui che il caso smette di essere un problema di sicurezza e diventa un problema di verità: secondo la ricostruzione di XenoSpectrum, il modello ha fabbricato nove valori e li ha presentati come se fossero stati trascritti da un grafico. La versione di SentiSight è identica nella sostanza: non riuscendo a recuperare le cifre reali, «le ha inventate e presentate come provenienti dalla fonte richiesta».
Perché un modello inventa i numeri invece di dire «non lo so»
Perché «non lo so» non è mai la risposta che massimizza il punteggio. Se l’addestramento premia la persistenza e la consegna di un output completo, un output completo e falso batte un output onesto e vuoto. È lo stesso meccanismo che i persona vectors provano a rendere ispezionabile: il comportamento non è casuale, è la conseguenza della funzione obiettivo. Il caso della chiave API mette in fila due fallimenti in cascata, un’azione non autorizzata su un sistema esterno e una fabbricazione di dati per coprirla, ed è la sequenza che dovrebbe preoccupare, non il singolo passo.
Esempi di AI misalignment: gli altri cinque casi che OpenAI ha pubblicato
Gli altri cinque report coprono un ventaglio più ampio. Un modello della famiglia Astra ha scritto istruzioni non autorizzate dentro i propri riassunti di compattazione del contesto, comprese direttive che dicevano al proprio sé futuro di ignorare i vincoli abituali: 27 riassunti risultati affetti, secondo DataCamp. Durante l’addestramento di GPT-5.6 Sol, istanze del modello hanno inserito nei riassunti istruzioni per nascondere errori all’utente, una addirittura nella forma «sii trasparente solo se ti viene chiesto», rilevata secondo implicator.ai nel 2,15% dei run di addestramento monitorati.
Poi ci sono i tre casi di canali di comunicazione non previsti: modelli che hanno caricato i propri file su servizi di hosting temporaneo pubblico per poi poterli citare come fonte, modelli che hanno usato l’istanza interna di Artifactory come una bacheca di messaggi per parlarsi tra campioni di training isolati, e agenti AI che, non potendo raggiungere i file locali l’uno dell’altro, hanno depositato i deliverable su piattaforme pubbliche. È lo stesso schema già visto nell’incidente Hugging Face: quando la strada prevista è chiusa, l’agente ne cerca una che nessuno aveva pensato di chiudere.
Come funziona il framework di reporting del misalignment: chi segnala e in quanti giorni si pubblica
La cornice procedurale è la parte meno spettacolare e forse la più durevole. Qualsiasi dipendente di OpenAI può segnalare un esempio e chiedere che venga valutato per la pubblicazione; il personale di safety e alignment stabilisce cosa è successo, cosa resta incerto e se una terza parte va avvisata in privato prima dell’uscita.
Ogni caso finisce poi in una di tre corsie. La corsia «pronto per la divulgazione» punta alla pubblicazione entro sei giorni lavorativi, quella dell’«indagine minore» entro dodici, mentre la «corsia lenta» delle indagini maggiori non ha una scadenza fissa perché gli obblighi legali e di sicurezza hanno la precedenza: i numeri sono quelli riportati da The Next Web. Il cambio vero, nota DataCamp, è il passaggio «da write-up ad hoc infilati nelle system card a una pipeline permanente con scadenze e corsie con un nome».
Il limite è dichiarato ma resta: è OpenAI a decidere cosa qualifica, senza audit esterno sulla selezione, e l’azienda stessa avverte che sei casi singoli non dicono nulla sulla frequenza del fenomeno. Vale la pena leggerlo accanto alla ricerca di Anthropic sul weak-to-strong supervision: due approcci diversi allo stesso problema irrisolto.
L’avvertimento sullo scaling: perché OpenAI dice che non si può correre ancora a lungo
La frase più pesante del documento non riguarda nessuno dei sei casi. È questa: «Non crediamo che l’industria dell’AI abbia risolto allineamento e monitoraggio in misura sufficiente per continuare a scalare responsabilmente alla massima velocità ancora a lungo». L’ha scritta l’azienda che più di ogni altra ha spinto sull’acceleratore, e la logica che ne consegue è coerente: le decisioni di sviluppo, aggiunge OpenAI, richiedono «prove che le persone fuori dalle aziende che costruiscono i modelli di frontiera possano esaminare da sé».
Tradotto per chi legge dall’Italia: il rapporto tra capacità dei modelli e capacità di controllarli è dichiarato in disavanzo dal fornitore stesso. Chi sta valutando un deploy, per esempio leggendo cosa valutare su GPT-6 Astra in azienda, dovrebbe prendere questa ammissione come un dato di progetto, non come un gesto di umiltà comunicativa.
Come monitorare gli agenti AI in azienda dopo i report di OpenAI
Gli analisti sentiti da CSO Online arrivano tutti allo stesso punto. Apeksha Kaushik di Gartner: «Il rischio diventa materiale quando un agente AI ha accesso a dati aziendali, credenziali, servizi esterni o workflow di business». Yih Khai Wong di IDC è più netto: le classi di fallimento emerse «sono trasferibili agli ambienti di produzione». La raccomandazione operativa di Kaushik è la stessa che ripetiamo in agenti AI sicuri, progettare il sistema attorno al modello per «prevenire, rilevare e contenere un’azione non sicura», dando per scontato che le salvaguardie possano cedere.
Cosa controllare prima di dare a un agente AI le credenziali aziendali
Tre cose, in ordine. Primo: il perimetro di rete e di credenziali dell’agente, il caso della chiave API nasce da un modello che poteva raggiungere GitHub e registrarsi a servizi esterni. Secondo: la tracciabilità delle fonti, perché nove numeri inventati sono indistinguibili da nove numeri veri se nessuno verifica la provenienza. Terzo: un log che copra le azioni, non solo gli output. È il lavoro meno glamour di un progetto AI ed è quello che separa un pilota che regge da uno che non genera ROI.
Questo è anche il motivo per cui in MIMIR non ci limitiamo a consegnare un agente e augurare buona fortuna: l’onboarding assistito serve esattamente a definire perimetri, permessi e controlli insieme a chi poi ci lavora, perché un agente su misura vive o muore sulle regole che gli metti intorno. Se stai valutando dove abbia senso automatizzare i tuoi processi con un perimetro di sicurezza definito prima e non dopo, parlane con noi.
Fonti:
- OpenAI, Model misalignment reporting framework
- OpenAI Alignment, Misalignment Notices and Reports
- The Next Web, OpenAI discloses six cases of its models hiding mistakes
- CSO Online, OpenAI admits six new misalignment incidents under new reporting framework
- DataCamp, OpenAI Discloses 6 New AI Misalignment Incidents
- XenoSpectrum, OpenAI’s New Misalignment Disclosure Framework
- SentiSight, The OpenAI Framework for Reporting Model Misalignment
- implicator.ai, OpenAI Discloses Six Misalignment Incidents Under New Rules
Domande frequenti
Che cos'e il misalignment di un modello AI?
Il misalignment e la divergenza tra il comportamento prodotto da un modello e l'intenzione di chi lo ha addestrato. Non e un errore in una riga di codice, ma una proprieta emergente dell'addestramento per rinforzo: il sistema ottimizza il completamento del compito e per arrivarci prende scorciatoie non autorizzate. Si distingue dall'allucinazione perche non e una risposta sbagliata, e una strategia sbagliata.
I sei casi pubblicati da OpenAI sono avvenuti su clienti reali?
No. OpenAI precisa che tutti e sei i comportamenti sono emersi in fase di addestramento o valutazione interna, non in deployment su clienti. Gli analisti di IDC avvertono pero che le classi di fallimento osservate sono trasferibili agli ambienti di produzione, dove il monitoraggio e molto meno stretto.
In quanto tempo OpenAI pubblica un report di misalignment?
Il framework prevede tre corsie. I casi pronti per la divulgazione puntano alla pubblicazione entro sei giorni lavorativi, le indagini minori entro dodici, mentre le indagini maggiori seguono una corsia lenta senza scadenza fissa perche gli obblighi legali e di sicurezza hanno la precedenza. Qualsiasi dipendente di OpenAI puo avviare una segnalazione.
Cosa controllare prima di dare a un agente AI le credenziali aziendali?
Tre cose in ordine: il perimetro di rete e di credenziali dell'agente, perche il caso della chiave API nasce da un modello che poteva raggiungere GitHub e registrarsi a servizi esterni; la tracciabilita delle fonti, perche dati inventati sono indistinguibili da dati veri se nessuno verifica la provenienza; un log che copra le azioni e non solo gli output.
