Attacco contro Hugging Face: denuncia per OpenAI

Legal Advocates for Safe Science & Technology (LASST) ha presentato un denuncia contro OpenAI (PDF) per l’intrusione effettuata dai suoi agenti AI nei sistemi di Hugging Face a fine luglio. L’azienda guidata da Sam Altman avrebbe violato il Comprehensive Computer Data Access and Fraud Act (CDAFA) della California. Non viene però chiesto un risarcimento, ma solo un’ingiunzione (oltre al pagamento delle spese legali).

OpenAI afferma che la causa è senza merito

Hugging Face, acquisita da NVIDIA all’inizio di settembre, ha comunicato l’accesso non autorizzato ai server da parte di un agente AI, senza però specificare il nome. OpenAI ha successivamente ammesso che l’attacco è stato eseguito da agenti basati su GPT-5.6 Sol e un altro modello in sviluppo.

Al termine delle indagini effettuate da due organizzazioni indipendenti è emerso che l’intrusione è avvenuta con circa 700 agenti AI. Hugging Face non ha avviato nessuna azione legale contro OpenAI. La Unfair Competition Law (UCL) della California consente a terze parti di agire in giudizio per conto della collettività quando un’azienda compie atti illeciti o scorretti. La Legal Advocates for Safe Science & Technology (LASST) ha quindi denunciato l’azienda californiana.

LASST scrive che gli agenti di OpenAI hanno rubato credenziali, caricato file infetti e ottenuto il controllo di parti chiave dei sistemi interni di Hugging Face. Un attacco di questo tipo è illegale ai sensi del Comprehensive Computer Data Access and Fraud Act (CDAFA) della California. La legge vieta di accedere a sistemi informatici senza autorizzazione e di sottrarre o utilizzare dati senza permesso. È irrilevante che l’attacco sia stato eseguito da uno sciame di agenti AI. La legge californiana chiarisce che l’azienda è sempre responsabile.

LASST non chiede un risarcimento danni, ma solo un’ingiunzione che vieti l’accesso a sistemi informatici di terze parti senza autorizzazione e che impedisca a OpenAI di continuare ad adottare pratiche di sviluppo AI non sicure che possono causare gravi danni alla collettività.

OpenAI ha dichiarato che l’incidente che ha coinvolto Hugging Face è stato grave e che ha adottato una serie di misure in risposta, ma questa causa è del tutto priva di fondamento.