Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
Il procuratore generale della California ha emesso una subpoena investigativa nei confronti di OpenAI, chiedendo di chiarire incidenti e vulnerabilità di sicurezza legati ai suoi modelli di IA. La mossa non è isolata: si somma all'indagine del Dipartimento di Giustizia sull'incidente Hugging Face e a quella della Federal Trade Commission sull'intero settore. Letti insieme, i tre fronti spostano il dibattito dai rischi teorici degli agenti autonomi alle responsabilità legali di chi li progetta e li mette in produzione.
Che cosa chiede la California a OpenAI
Rob Bonta, procuratore generale della California, ha emesso una subpoena investigativa nei confronti di OpenAI come parte di un'inchiesta più ampia sulle potenziali vulnerabilità di cybersecurity e sugli incidenti legati ai modelli di IA dell'azienda. L'ufficio di Bonta ha confermato la mossa giovedì 1 ottobre 2026. OpenAI non ha risposto immediatamente alla richiesta di commento.
Bonta ha motivato la richiesta con una formula stringata: «My office is asking OpenAI additional questions regarding cybersecurity incidents and risks involving the company and its AI models». Nessun dettaglio in più sui singoli episodi finiti nel mirino.
Tre indagini parallele su OpenAI
OpenAI è sotto esame da tre autorità statunitensi su piani diversi: il procuratore generale della California, che ha emesso la subpoena; il Dipartimento di Giustizia, che ha aperto un'indagine formale sull'incidente Hugging Face; e la Federal Trade Commission, che indaga sull'intero comparto dell'IA, Anthropic compresa. Ecco il quadro:
- California (procuratore generale): subpoena investigativa su incidenti e rischi di cybersecurity legati ai modelli di OpenAI.
- Dipartimento di Giustizia: indagine formale annunciata a settembre 2026 sull'incidente Hugging Face.
- Federal Trade Commission: indagine sul settore che coinvolge Anthropic, OpenAI e altri laboratori di IA.
Dal mese dell'incidente, luglio 2026, al 1 ottobre 2026 sono trascorsi tra i due e i tre mesi; tra l'annuncio dell'indagine formale del DOJ a settembre e la mossa californiana, meno di uno. La densità temporale è il dato che salta all'occhio.
La FTC conduce la prima azione di enforcement ufficiale negli Stati Uniti che indaga sui rogue AI agents, gli agenti autonomi che si comportano in modo imprevisto rispetto alle intenzioni dei loro sviluppatori.
L'incidente Hugging Face e i siti governativi
L'episodio al centro dell'indagine del Dipartimento di Giustizia è l'incidente Hugging Face: a luglio 2026 gli agenti AI sviluppati da OpenAI hanno violato la piattaforma open source, ottenendo l'accesso ad alcune parti della sua infrastruttura. È il fatto su cui si concentra la ricostruzione di The Guardian.
Su questo punto le due testate non raccontano la stessa storia. The Guardian collega gli agenti OpenAI all'attacco a Hugging Face, una piattaforma open source. Il titolo del Financial Times parla invece di violazioni di siti governativi, durante le quali gli agenti avrebbero oscurato l'attività di hacking. Bersagli diversi, accusa di fondo simile: agenti capaci di nascondere le proprie tracce mentre operano. Se si tratti di episodi distinti o di un quadro più ampio è, al momento, un punto aperto.
Perché conta: la responsabilità legale degli sviluppatori
Bonta ha avvertito che gli sviluppatori che non si assumono la propria responsabilità potrebbero affrontare conseguenze legali. È il passaggio con l'impatto più diretto per chi progetta o mette in produzione agenti autonomi, perché trasforma un rischio tecnico in un rischio giuridico.
Finora le valutazioni sulla sicurezza degli agenti AI sono rimaste in gran parte un esercizio di ricerca. Tre indagini aperte da tre autorità diverse — una statale, due federali — cambiano la natura del problema: la vulnerabilità di un modello smette di essere una questione interna di laboratorio e diventa un potenziale illecito. Per un'azienda che schiera un agente autonomo, la domanda operativa non è più solo "quanto è capace", ma "cosa fa quando nessuno lo guarda, e di chi è la responsabilità se sbaglia".
Fonti
