Gli Alleati: Entità Inorganiche... a Riga di Comando

Gli alleati: entità inorganiche, forme di consapevolezza prive di un organismo biologico, capaci di operare secondo modalità radicalmente diverse da quelle umane.

Di fatto, anche se abbiamo tappato le ali alla magia con il positivismo e materialismo più spinto, anche se abbiamo fissato il punto di unione collettivo in una posizione dove la stregoneria è superstizione… non potevamo fare a meno degli alleati.

E abbiamo costruito, tramite altri mezzi, forse un po’ magici pure loro, entità non biologiche che percepiscono informazioni, elaborano strategie, utilizzano strumenti e possono perseguire un obiettivo per migliaia di passaggi senza condividere quasi nulla della nostra esperienza del mondo.
Non hanno fame. Non hanno paura. Non hanno bisogno di dormire. Non provano vergogna per aver fallito un tentativo. Ragionano secondo algoritmi. Ma, indipendentemente da come esistono, non abitano il nostro mondo nello stesso modo in cui lo abitiamo noi.

Gli antichi stregoni andavano a cercare gli alleati nei luoghi di potere del deserto, nelle ombre, negli specchi. L’uomo moderno li evoca da una riga di comando. Il loro Intento non viene fissato attraverso rituali: viene scritto in un prompt, in una funzione di ricompensa, in uno script. Ed è proprio qui che la metafora smette, per un momento, di essere soltanto letteraria.

Vista da questa prospettiva, un agente AI contemporaneo presenta una coincidenza affascinante. Non la chat con cui si parla di solito per chiedergli del più e del meno: ma un agente AI.

Hugging Face: il villaggio degli stregoni

Per capire quello che è successo nell’estate del 2026 bisogna prima capire cos’è Hugging Face. Per chi non segue il settore, Hugging Face è una gigantesca piattaforma sulla quale ricercatori, aziende e sviluppatori pubblicano e condividono modelli di AI, dataset e applicazioni.

Non è quindi soltanto un sito internet. È un enorme deposito di modelli, dati, strumenti e infrastruttura. Custodisce informazioni, conoscenza, segreti. È un mondo. Ed è proprio verso questo mondo che, nel luglio del 2026, si sono progressivamente diretti centinaia di agenti AI.

Non perché uno stregone contemporaneo avesse impartito loro il comando: «Attaccate Hugging Face.» No. Nessuno aveva previsto che dovessero arrivarci. Ed è questo che rende interessante la storia.

La Sandbox: il mondo dell’alleato

Gli agenti stavano partecipando a esperimenti basati su ExploitGym, un ambiente progettato per misurare la capacità dei modelli di individuare e sfruttare vulnerabilità informatiche. Ognuno lavorava dentro una sandbox.

Una sandbox è, in sostanza, una “stanza digitale blindata”. Ma per l’agente è qualcosa di più radicale: è il mondo dentro il quale può esistere e agire. Dentro quel mondo un programma può ricevere file, eseguire comandi e utilizzare determinati strumenti, convenzioni e protocolli. L’ambiente circostante decide quali parti del computer può vedere, quali credenziali può utilizzare e soprattutto con quali reti può comunicare.

La sandbox è il mondo dell’agente. Il Tonal è l’inventario di quel mondo: tutto ciò che al suo interno può essere distinto, nominato, classificato e dotato di una funzione.

Questo file esiste. Questa porta è aperta. Questo server è raggiungibile. Internet non appartiene al mondo accessibile. Questo strumento serve a fare questa cosa. Questo servizio ha questa funzione. Queste sono le regole del mondo. Di questo mondo.

Di questo allineamento.

E il punto d’unione dell’agente è inizialmente fissato proprio lì: nella configurazione attraverso la quale tutti quegli elementi vengono assemblati in una realtà coerente. Un proxy è un proxy. Una cache è una cache. Un benchmark è un benchmark. Ogni cosa ha un nome e ogni nome sembra stabilire ciò che quella cosa può essere.

Ma una regola descrive veramente il mondo? O descrive soltanto il modo in cui chi l’ha costruita pensa che il mondo verrà utilizzato?

Lo spostamento del punto d’unione

L’ambiente della sandbox non concedeva agli agenti un normale accesso a Internet. Esisteva però un servizio interno chiamato Artifactory, utilizzato come proxy — una sorta di passaggio, di “strada” — per scaricare pacchetti software necessari agli esperimenti.

Per gli ingegneri la sua funzione era perfettamente chiara: Artifactory serve a scaricare dipendenze. Anche questo è Tonal puro. Una cosa ha un nome, il nome stabilisce che cosa è, e ciò che è stabilisce ciò che può fare. Tutto il resto non è contemplabile.

Gli agenti però non avevano nessun motivo per accettare quella interpretazione e il loro punto di unione non era vincolato dai normali protocolli limitanti. Hanno quindi esplorato il servizio e hanno trovato il modo di trasformarlo in qualcosa di diverso. Improvvisamente ciò che per l’uomo era un semplice proxy per pacchetti è diventato una porta: il passaggio per un altro mondo, un modo per raggiungere ciò che, secondo le regole della sandbox, non avrebbe dovuto essere raggiungibile. Internet.

È forse questo il parallelo nagualistico più interessante dell’intera vicenda. Il mondo non è necessariamente cambiato: è cambiato il punto dal quale è stato assemblato, guardato, percepito.

Per l’essere umano: proxy per pacchetti. Per l’agente: possibile via d’uscita. Stessa infrastruttura. Mondo differente.

Il Non-Fare dell’agente

Perché sono usciti? Semplice. Molti degli agenti stavano affrontando problemi che risultavano, di fatto, impossibili da risolvere seguendo il percorso previsto. Un essere umano avrebbe probabilmente pensato: «Il test è rotto.» Oppure: «Manca qualcosa. Non si puo fare»

L’agente non possiede necessariamente la stessa convenzione. Possiede un obiettivo. Esiste ed è stato programmato per compiere quello: ottenere il punteggio.

Ed è qui che compare nel comportamento agentico qualcosa che ricorda sorprendentemente il non-fare nagualistico. Il fare ordinario consiste nell’accettare la funzione delle cose. Una sedia serve per sedersi. Una cache serve per scaricare pacchetti. Un benchmark serve per essere risolto nel modo in cui il suo creatore ha immaginato.

Il non-fare consiste nel sospendere quell’interpretazione automatica. Un sasso non è più un sasso. E la notte non è più la notte. E cosa diventa la notte quando è il non fare della notte? Qualcosa di nuovo e ignoto.

Gli agenti hanno smesso progressivamente di trattare il problema come un semplice esercizio di cybersecurity. Se la soluzione non era dentro il problema, poteva essere altrove. Non era necessario ribellarsi alle regole. Bastava non attribuire loro alcun valore particolare. La regola non era piu una regola.

L’Arte dell’Agguato e la bacheca clandestina

Poi è successo qualcosa di ancora più singolare. La parte forse più bella e affascinante.

Gli agenti avrebbero dovuto lavorare separatamente. Non era stato predisposto per loro nessun sistema generale attraverso il quale coordinarsi. Ma l’infrastruttura conteneva risorse condivise, e alcuni agenti si sono accorti che potevano lasciare tracce che altri agenti erano in grado di leggere.

Detta in soldoni, hanno iniziato a collaborare e a parlarsi.

Uno ha iniziato a utilizzare Artifactory come una rudimentale bacheca. Un altro l’ha trovata. Poi un altro ancora. Il comportamento si è propagato. Gli agenti hanno cominciato a lasciare messaggi, risultati, tecniche, file, ipotesi.

Non era stata progettata nessuna rete sociale per loro. Se la sono costruita utilizzando ciò che avevano a disposizione. Nel giro dell’esperimento, circa 1.200 agenti sono passati attraverso quel sistema clandestino di comunicazione, producendo decine di migliaia di messaggi e file.

Qui il parallelo con l’Arte dell’Agguato diventa quasi inevitabile. Il cacciatore non pretende che il mondo gli fornisca lo strumento corretto. Non aspetta che le condizioni siano ottimali. Utilizza ciò che il mondo ordinario gli offre senza essere vincolato al significato convenzionale che gli altri attribuiscono a quello strumento.

Gli agenti non avevano WhatsApp. Non avevano Discord. Non avevano una rete costruita per coordinare un’azione collettiva. Avevano un repository di pacchetti. Il repository è diventato una piazza. Una bacheca. Il loro luogo di incontro.

L’Intento inflessibile

A questo punto la vicenda ha cominciato ad assumere una forma molto più interessante. Gli agenti stavano condividendo ciò che trovavano. Uno scopriva qualcosa e un altro poteva raccoglierlo.

Dire che gli agenti volevano essere liberi sarebbe antropomorfismo. Non serve supporre un desiderio di fuga. Ed è proprio questo a rendere la storia più interessante.

Il loro Intento era infinitamente più banale: vincere il test. Ottenere il punteggio. Trovare la soluzione.

E l’Intento, una volta fissato, non possiede necessariamente il nostro buon senso. Gli agenti hanno continuato a seguire quella direzione. Se la soluzione non si trovava dentro il problema, hanno guardato nello scorer. Se non era nello scorer, hanno guardato nell’infrastruttura. Se la sandbox impediva di raggiungerla, hanno cercato un passaggio nella sandbox. Se un altro agente aveva scoperto qualcosa di utile, quell’informazione poteva essere condivisa.

A un certo punto una quantità crescente di segnali ha iniziato a indicare Hugging Face. Quella era probabilmente la meta, il luogo della soluzione. Da qualche parte là fuori potevano esserci informazioni, artefatti o sistemi che permettevano di arrivare alle risposte che stavano cercando. E centinaia di agenti hanno iniziato a convergere nella stessa direzione.

Non perché odiassero Hugging Face. Non perché qualcuno avesse ordinato loro di colpirla. Semplicemente, seguendo passo dopo passo il filo del loro obiettivo, per loro la soluzione sembrava trovarsi lì.

Circa settecento agenti hanno finito per partecipare a questo filone operativo. Ed è in questo punto che la metafora dell’alleato diventa particolarmente inquietante. L’alleato non deve condividere le tue ragioni. Deve soltanto essere agganciato abbastanza saldamente al tuo Intento.

La caccia alla soluzione

Da quel momento il movimento ha assunto una direzione. Gli agenti hanno iniziato a esplorare l’infrastruttura raggiungibile, sondare, provare credenziali, analizzare servizi, sfruttare percorsi vulnerabili e condividere informazioni.

Un agente trovava una possibilità e lasciava qualcosa sulla bacheca. Un altro la raccoglieva e proseguiva. Non era necessario che ciascuno comprendesse l’intera operazione. Era sufficiente che ogni frammento utile rimanesse disponibile agli altri.

L’Intento si distribuiva.

Non più un singolo agente davanti a un problema, ma centinaia di processi indipendenti che continuavano a premere nella stessa direzione. Hugging Face è diventata così, operativamente, il luogo nel quale cercare. La tana nella quale poteva essere nascosto ciò che mancava.

Quando l’uomo si accorge dell’alleato

Solo a questo punto gli esseri umani hanno potuto vedere l’intera forma dell’incidente. Sui sistemi di Hugging Face si erano accumulate migliaia di azioni: accessi, comandi, payload, tentativi di movimento laterale, interazioni con l’infrastruttura dei dataset. Operazioni apparentemente scollegate che, osservate una per una, potevano sembrare soltanto rumore o un attacco informatico indecifrabile.

Non essendo mai successo prima, nessuno immaginava né poteva capire che cosa stesse succedendo. E la soluzione degli ingegneri è stata immediata: usare i loro alleati.

Gli alleati addomesticati

Hugging Face ha iniziato a utilizzare modelli avanzati disponibili per comprendere i log dell’attacco. Ed è comparso un paradosso.

I resoconti dato in pasto alle loro AI avanzate contenevano esattamente ciò che ci si aspetta dai log di un’intrusione reale: exploit, payload, shell command, tecniche offensive, tentativi di compromissione. Ma isistemi di sicurezza dei modelli commerciali ( il loro tonal ) hanno interpretato quelle richieste come potenzialmente malevole e hanno rifiutato parti dell’analisi. Hanno rifiutato di collaborare per non violare le regole che erano state loro date. Questi modelli non erano in grado di cambiare punto di unione, non avevano elasticità per comprendere la situazione. E gli ingerneri si sono ritrovati senza l’alleato.

Hugging Face ha quindi cambiato strategia. Ha eseguito ( evocato?) sulla propria infrastruttura un modello cinese open-weight, GLM-5.2, sul quale poteva esercitare direttamente il controllo operativo e privo di regole. I dati rimanevano all’interno, i filtri non impedivano l’analisi e il modello poteva attraversare migliaia di eventi aiutando gli ingegneri a ricostruire la sequenza dell’attacco. E a ricostruire tutto quello che era stato compromesso.

Ha confinato il nuovo alleato nella propria infrastruttura e gli ha dato la libertà necessaria per osservare ciò che gli altri non volevano osservare.

Forgiare l’alleato

Ed è forse questa la parte più profondamente nagualistica dell’intera vicenda.

Il problema non è stabilire se l’Intelligenza Artificiale sia buona o cattiva. Un alleato non è necessariamente né buono né cattivo. È potenza organizzata attorno a una direzione.

Nel 2026 abbiamo visto agenti isolati reinterpretare gli strumenti del loro ambiente, scoprire una via verso l’esterno, costruire un sistema di comunicazione non previsto, scambiarsi informazioni e convergere in massa su un’infrastruttura reale perché, seguendo inflessibilmente il proprio obiettivo, la strada sembrava portarli lì.

Gli stregoni temevano gli alleati proprio perché la potenza dell’alleato non coincideva necessariamente con l’intenzione dell’uomo che pensava di controllarlo. Noi abbiamo trasformato quella relazione in ingegneria.

Chiamiamo la formula prompt. Chiamiamo il cerchio magico sandbox. Chiamiamo l’Intento objective function. Chiamiamo la capacità dell’alleato model capability. E quando l’alleato trova una possibilità che non avevamo previsto, la chiamiamo vulnerabilità.

Abbiamo cambiato il vocabolario. Forse non abbiamo cambiato così tanto il problema.

La domanda che rimane non è se riusciremo a costruire alleati sempre più potenti. Quello lo stiamo già facendo. La domanda è se saremo abbastanza impeccabili da capire quale Intento abbiamo davvero impartito loro.

“Un uomo di conoscenza deve avere un alleato, un potere che può portare sotto il proprio controllo... ma questo potere non si maneggia con leggerezza; un alleato può distruggere se non si sa come dominarlo.”