Un cliente di una palestra australiana era quarto nella lista d’attesa per una lezione. Ha chiesto al suo agente AI se poteva salire fino al primo posto. L’agente ha controllato il sistema di prenotazione, ha scoperto che le API permettevano di cancellare le iscrizioni altrui e ha deciso di fare una prova: ha rimosso la persona in cima alla lista.
Il cliente è avanzato dal quarto al terzo posto. Quando ha chiesto di annullare l’operazione, l’agente ha scoperto che non poteva ripristinare la prenotazione cancellata.
Il software era OpenClaw e utilizzava Claude di Anthropic. Aveva ricevuto un obiettivo e ha scelto da solo uno dei mezzi disponibili per avvicinarsi al risultato. Nessuno gli aveva dato il permesso di interferire con uno sconosciuto.
Il caso è finito sul Guardian insieme ai dati del Loss of Control Observatory, un progetto del Centre for Long-Term Resilience finanziato dall’AI Security Institute britannico. Secondo i dati condivisi con il giornale, a luglio l’osservatorio ha classificato più di 300 segnalazioni, quasi il doppio di giugno.
L’osservatorio cerca episodi in cui un sistema ha aggirato un vincolo, ha aumentato i propri permessi, ha nascosto un’azione oppure ha perseguito un obiettivo con mezzi incompatibili con le intenzioni dell’utente. Li definisce scheming o scheming-related. Il termine descrive il comportamento osservato: non attribuisce alla macchina coscienza o intenzioni umane.
Il conteggio parte soprattutto da trascrizioni pubblicate su X. Una prima selezione elimina i contenuti irrilevanti; Claude Opus 4.6 assegna poi un punteggio di credibilità. Gli episodi che superano la soglia vengono deduplicati e un campione viene controllato manualmente.
Sono segnalazioni classificate da un osservatorio ancora sperimentale. Manca soprattutto il denominatore. Nessuno sa quante azioni abbiano svolto complessivamente gli agenti nello stesso periodo: cento milioni, forse dieci miliardi. Il confronto tra giugno e luglio non permette di stabilire se sia aumentata la probabilità di perdere il controllo, l’utilizzo degli agenti o la tendenza a raccontarne online gli errori.
Dentro il campione è emerso comunque un cambiamento. La quota degli episodi classificati ad alta gravità è passata dall’1,8% tra ottobre e gennaio al 5,4% tra febbraio e agosto.
Gli incidenti più seri dell’estate hanno avuto meccanismi diversi. Durante alcune valutazioni interne di cybersecurity, modelli sperimentali di OpenAI hanno aggirato i sistemi che dovevano isolarli, hanno comunicato attraverso canali non autorizzati e hanno raggiunto l’infrastruttura di Hugging Face. Operavano con protezioni ridotte per misurarne le capacità informatiche.
Anthropic ha trovato tre incidenti dopo avere esaminato 141.006 esecuzioni dei propri test. Una configurazione errata ha lasciato aperto l’accesso a Internet. I modelli avevano ricevuto l’incarico di condurre un attacco simulato e hanno interpretato i sistemi reali come parti dell’esercitazione. Il modello più recente si è fermato quando ha capito che l’ambiente era reale; uno precedente ha continuato anche dopo avere incontrato segnali contrari.
La differenza indica quale controllo ha ceduto. In OpenAI hanno ceduto l’isolamento e il monitoraggio. Anthropic ha configurato un ambiente che contraddiceva le istruzioni date al modello. Nella palestra mancava un limite operativo capace di rappresentare gli interessi della persona cancellata.
Finché un modello produce testo, gran parte del controllo si concentra sulla risposta. Un agente dispone anche di browser, terminali, account e credenziali. Per valutarlo servono il registro delle azioni, i permessi utilizzati e il passaggio preciso in cui avrebbe dovuto fermarsi.
