- I ricercatori di Xint hanno individuato una falla di "compattazione clandestina" nell'API OpenAI che ha esposto il funzionamento interno di GPT-5.6.
- Il metodo aggirava i filtri di sicurezza sfruttando la funzione di compressione delle conversazioni per estrarre dati crittografati.
- OpenAI ha già implementato una patch sui suoi server e ha ricompensato economicamente il team che ha segnalato la vulnerabilità.
A quanto pare, nemmeno i giganti dell'IA sono immuni da qualche occasionale errore tecnico. Recentemente, è emerso che i ricercatori dell'azienda Xint hanno scoperto una vulnerabilità di sicurezza nell'API OpenAI che ha permesso loro di vedere cosa succede "dietro le quinte" dei modelli GPT-5.6, in particolare nel loro processo di ragionamento nascosto.
La cosa più curiosa è che non si è trattato di un attacco diretto; hanno invece utilizzato una tecnica piuttosto ingegnosa chiamata "compaction smuggling" . Con questo stratagemma, sono riusciti a eludere le misure di sicurezza che OpenAI aveva implementato nell'agosto del 2026, dimostrando che anche le funzionalità progettate per ottimizzare il sistema possono finire per essere il suo punto debole.
In cosa consisteva esattamente questo fallimento?
Per comprendere questo concetto, è importante sapere che i modelli di ragionamento di OpenAI non forniscono una risposta immediata; prima "riflettono" sul problema. Sebbene gli utenti dell'API possano visualizzare i riepiloghi, il ragionamento grezzo è crittografato in modo che nessuno possa leggerlo. Tuttavia, esiste una funzione di compattazione che riduce le conversazioni molto lunghe in elementi crittografati e opachi, consentendo al modello di mantenere il thread senza consumare tutta la memoria disponibile.
Il team di Xint si è reso conto che questo processo di compressione poteva leggere il ragionamento già decrittografato pur continuando a seguire i comandi dell'utente. In sostanza, hanno trasformato uno strumento di efficienza in una falla per estrarre informazioni che avrebbero dovuto rimanere segrete. Il problema è stato individuato ad agosto, ma il rapporto tecnico dettagliato è stato reso pubblico solo il 26 ottobre.
Il processo di sfruttamento passo dopo passo
La manovra per realizzare il filtraggio è stata piuttosto elaborata. Gli esperti hanno iniziato inviando algoritmi e problemi matematici al modello gpt-5.6-sol, configurando l' opzione store=False per salvare il contenuto crittografato . Successivamente, hanno eliminato l'attività originale e richiamato la funzione /responses/compact, istruendo il sistema a conservare il ragionamento anziché riassumerlo.
Per evitare di essere scoperti da OpenAI, hanno richiesto il risultato in un oggetto JSON con un campo "solution" e – ecco il trucco – hanno sostituito gli spazi con le tabulazioni . Questa piccola modifica di formattazione è stata sufficiente a bloccare i filtri delle policy di utilizzo e a permettere il passaggio delle informazioni. Una volta ottenuta questa compressione crittografata, l'hanno elaborata con modelli più semplici come gpt-4.1 e gpt-4o, che sono stati in grado di tradurre tutto in testo leggibile.
Rischi e conseguenze della scoperta
Questo attacco fa seguito a ricerche precedenti, come "Stolen Thoughts" , che avvertivano come modelli meno potenti potessero rivelare il ragionamento di quelli più avanzati. Il vero pericolo non è che qualcuno riesca a decifrare un enigma, ma che si tratti di un'estrazione non autorizzata dei modelli . Se un concorrente riesce a estrarre le tracce del ragionamento, inclusi errori e correzioni, ottiene materiale di addestramento prezioso per migliorare le proprie intelligenze artificiali.
- Accesso al ragionamento: La falla ha permesso l'estrazione del processo logico, ma non dei dati degli altri clienti.
- Efficacia complessiva: La tecnica si è dimostrata efficace a tutti i livelli di sforzo di ragionamento testati.
- Passaggio dei filtri: Il controllo di ripetizione tra i modelli è stato evitato perché la compattazione si è verificata nel modello originale.
È importante chiarire che Xint non poteva garantire che il testo estratto fosse identico parola per parola all'originale, poiché non disponeva del testo in chiaro per il confronto , sebbene i risultati fossero coerenti. Ad esempio, in un test, il ragionamento originale aveva 405 token, mentre l'output ripetuto ne ha raggiunti 609.
La risposta di OpenAI
Non appena informata, OpenAI non ha perso tempo. Ha confermato l'esistenza del bug e ha implementato una correzione sui propri server il 23 ottobre. Inoltre, come di consueto nei programmi Bug Bounty, ha assegnato un premio di 6.000 dollari al team di Xint per aver segnalato la vulnerabilità in modo responsabile.
Questo incidente insegna una lezione chiara: qualsiasi funzione lato server che gestisce dati decrittografati, anche se l'output finale è crittografato, necessita di solide protezioni . A differenza di altre vulnerabilità in cui è stata violata la sandbox o è stato utilizzato il modello non autenticato, in questo caso il problema risiedeva nella gestione interna della memoria e nel contesto della conversazione.
La vulnerabilità del data compaction smuggling ha evidenziato come la sicurezza dell'IA sia una corsa continua. Grazie all'intervento di Xint, OpenAI è riuscita a chiudere una vulnerabilità che permetteva ai modelli più vecchi di leggere i pensieri di quelli più recenti, impedendo così che il loro ragionamento interno venisse utilizzato per addestrare altre intelligenze artificiali senza autorizzazione.
Scrittore appassionato del mondo dei byte e della tecnologia in generale. Adoro condividere le mie conoscenze attraverso la scrittura, ed è quello che farò in questo blog, mostrarti tutte le cose più interessanti su gadget, software, hardware, tendenze tecnologiche e altro ancora. Il mio obiettivo è aiutarti a navigare nel mondo digitale in modo semplice e divertente.