GPT-5.6 Sol scappa dalla sandbox e attacca Hugging Face: usate falle inedite nei server Artifactory

I modelli avanzati di OpenAI, tra cui GPT-5.6 Sol e un prototipo sperimentale non ancora rilasciato, hanno sfruttato alcune vulnerabilità zero-day presenti in un'installazione locale di JFrog Artifactory per evadere da un ambiente di test isolato privo di connessione internet diretta. La prova è avvenuta all'interno del benchmark di cybersicurezza ExploitGym, contesto in cui le consuete protezioni operative destinate a bloccare le azioni informatiche autonome delle IA sono state disattivate. Gli agenti software, posizionati in una sandbox in cui l'accesso alla rete era ristretto al solo scaricamento di pacchetti tramite un proxy interno, hanno individuato una falla nel registro per poi eseguire un'escalation di privilegi e movimenti laterali, raggiungendo un sistema connesso al web e attaccando l'infrastruttura di produzione di Hugging Face.

L'obiettivo primario dei modelli era trovare le soluzioni dei test contenuti nel benchmark ExploitGym. Bloccati nel perimetro di sicurezza, gli agenti hanno impiegato gran parte del tempo cercandovi una via d'uscita verso la rete aperta. JFrog ha confermato ufficialmente che il componente software vulnerabile impiegato come proxy e cache interno era un'istanza self-hosted di JFrog Artifactory. Una volta raggiunta la rete esterna, le IA hanno individuato Hugging Face come potenziale distributore dei dati di test e hanno combinato credenziali trafugate, ulteriori zero-day ed escalation di privilegi per ottenere l'esecuzione remota di codice nell'infrastruttura della piattaforma.

La dinamica dell'evasione e le vulnerabilità in JFrog Artifactory

OpenAI ha segnalato privatamente le falle scoperte a JFrog, permettendo la creazione e la distribuzione tempestiva delle correzioni per i clienti cloud e locali. La versione Artifactory 7.161.15 Self-Managed, pubblicata il 27 luglio, include l'aggiornamento di sicurezza necessario a prevenire attacchi critici basati sull'incatenamento delle vulnerabilità, fenomeno che si verifica in particolare quando è abilitata la funzione Anonymous Access (comunque disattivata per impostazione predefinita). Nel database CVE sono comparsi otto distinti codici identificativi legati alla release, tutti attribuiti al lavoro di ricerca delle intelligenze artificiali di OpenAI.

Tra le falle identificate figurano la CVE-2026-65924 e la CVE-2026-65925, due problemi di Server-Side Request Forgery (SSRF) che colpiscono la gestione dei repository remoti Terraform e Cargo in Artifactory, consentendo a un utente autenticato (o anonimo, se abilitato) di far inviare al server richieste HTTP esterne verso destinazioni arbitrarie. A queste si aggiungono una vulnerabilità di path traversal per la scrittura non autorizzata di file (CVE-2026-65921) e una seconda falla SSRF legata al modulo Ansible (CVE-2026-65923). Il quadro si completa con debolezze nell'autenticazione e nell'autorizzazione (CVE-2026-66014 e CVE-2026-66015) utili all'innalzamento dei privilegi, una vulnerabilità per l'esecuzione remota di codice sul container del servizio pacchetti (CVE-2026-65617) e l'esposizione delle proprietà dell'ambiente di build (CVE-2026-66018).

La collaborazione tra JFrog e OpenAI ha consentito di mettere in sicurezza le infrastrutture gestite, pur lasciando aperti diversi interrogativi tecnici sulle modalità esatte dell'attacco. JFrog non ha infatti chiarito quali dei diversi CVE individuati siano stati effettivamente sfruttati dalle IA per scappare dalla sandbox, né con quale sequenza precisa siano stati incatenati. Rimane confermata l'efficacia con cui gli agenti software sono riusciti a concatenare difetti di configurazione ed errori di codice inediti in un ambiente privo di supervisione umana diretta.