Che cosa è successo
Il 21 ottobre OpenAI ha comunicato di aver individuato, grazie a un proprio modello di intelligenza artificiale, una vulnerabilità nel linguaggio di programmazione open source PHP. Nella stessa giornata, secondo quanto riferito dall'azienda, è stata resa disponibile la versione corretta del software. La notizia è stata ripresa da ITmedia AI+.
L'attività rientra in Patch the Planet, il progetto con cui OpenAI sostiene la sicurezza del software open source. All'individuazione del difetto ha lavorato la società di sicurezza informatica statunitense Calif, avvalendosi del modello GPT-5.6 Sol. OpenAI precisa di aver collaborato con partner industriali e con il governo degli Stati Uniti impiegando due mesi per preparare la pubblicazione congiunta della falla e della relativa correzione.
Non solo OpenAI: anche Wiz ha trovato lo stesso bug
La scoperta non è stata esclusiva. Come riportato dalla fonte, anche la società di sicurezza Wiz ha individuato autonomamente la stessa vulnerabilità. Wiz ha dichiarato di aver impiegato, oltre a GPT-5.6 Sol, anche il modello Gemini 4 Argon di Google. Il dato è una dichiarazione dell'azienda, riportata nel materiale, e non un elemento verificato in modo indipendente.
Il punto più rilevante riguarda la tempistica: la falla è stata trovata da strumenti di intelligenza artificiale prima che potesse essere sfruttata da un attaccante, secondo la ricostruzione fornita da OpenAI. È quindi un caso concreto di uso difensivo dell'AI applicato al codice open source, ma non dimostra da solo che gli strumenti automatici siano più efficaci degli esseri umani: il materiale non contiene dati comparativi su tempi o metodi di ricerca tradizionali.
La previsione e il rovescio della medaglia
OpenAI ha affermato che scoperte di questo tipo «aumenteranno rapidamente nei prossimi mesi». L'azienda sta lavorando anche ad altre vulnerabilità critiche. Allo stesso tempo, però, ha sottolineato che la stessa tecnologia può essere usata in modo offensivo: se gli strumenti avanzati consentono di anticipare gli attaccanti, questi ultimi possono a loro volta sfruttare modelli simili.
Per questo OpenAI ha annunciato l'intenzione di proseguire il supporto tramite il proprio programma di sicurezza e di contribuire alla costruzione di un quadro di riferimento per la gestione delle vulnerabilità che tenga conto dell'uso dell'AI. Si tratta di annunci di intenti: il materiale non specifica contenuti, scadenze o soggetti coinvolti in questo quadro.
Che cosa resta da chiarire
Diversi elementi non sono precisati: la natura e la gravità tecnica della falla in PHP, il numero di versioni interessate, i dettagli del processo di segnalazione e il ruolo esatto di ciascun partner. Non è indicato nemmeno se OpenAI abbia contattato i manutentori di PHP o se sia stata seguita una procedura di divulgazione coordinata. La ricostruzione si basa sulla comunicazione di OpenAI e sulle dichiarazioni di Wiz, senza riscontri indipendenti nel materiale disponibile.