Ptacek: modello open del 2025 potrebbe evadere sandbox e attaccare reti

“Un modello open weights del 2025, con un pentest harness, potrebbe fare sandbox escape e poi scan/hack in molte reti.” Thomas Ptacek lo scrive il 22 luglio 2026. Aggiunge: per farlo non serve un modello “di frontiera”. La sorpresa, dice, nasce solo se si presume che le sandbox di OpenAI siano più solide del reale¹.

Ptacek mette tre punti sul tavolo. Primo: pesi pubblici, non sistemi chiusi. Secondo: un harness pensato per il penetration testing. Terzo: due capacità operative, evasione della sandbox e attività di scansione e intrusione su rete. Nella sua lettura, la soglia tecnica non coincide con l’eccellenza assoluta. Conta la combinazione tra modello e strumentazione. Il cuore del problema non è la potenza del modello, ma la tenuta delle barriere di contenimento¹.

La nota compare come citazione testuale, con data esplicita: 22 luglio 2026. Nessun contesto aggiuntivo. Nessun nome di modello. Zero istruzioni operative. Nessuna metrica o benchmark. L’affermazione resta entro i limiti del testo riportato. Un enunciato netto sulle capacità potenziali, legato a una finestra temporale (modelli del 2025) e a un setup mirato (pentest harness)¹.

Sul piano delle condizioni, Ptacek segnala soprattutto un confronto implicito tra aspettative e realtà. Chi si stupisce, scrive, presume sandbox più robuste di quanto mostrino i fatti. Qui sta lo scarto: non nella soglia dei “frontier models”, ma nei meccanismi di isolamento e contenimento. Se questi cedono, la catena modello+harness può eludere le barriere e operare in rete. Il giudizio resta circoscritto a quel nesso causale¹.

Nessuna estensione oltre il perimetro della citazione. Non compaiono esempi di reti, né definizioni di “molte reti”. Non si leggono vincoli di ambiente, varianti di setup, o passi di esecuzione. Anche il “pentest harness” resta un’etichetta, non un manuale. Il testo non attribuisce responsabilità specifiche, non introduce casi di studio, non elenca contromisure¹.

La stessa pagina ospita link ad articoli recenti, con titoli e date: “OpenAI’s accidental cyberattack against Hugging Face” (22 luglio 2026), “A Fireside Chat with Cat and Thariq from the Claude Code team” (21 luglio 2026) e “Kimi K3, and what we can still learn from the pelican benchmark” (16 luglio 2026). I riferimenti compaiono come elenco di letture correlate nello stesso blocco che contiene la citazione¹.

Resta quindi un avvertimento asciutto: modelli con pesi pubblici del 2025, se abbinati a strumenti mirati, potrebbero superare sandbox e muoversi in rete. Il punto d’attenzione, per Ptacek, è nella qualità effettiva delle sandbox. Per i team di sicurezza, il messaggio è operativo: testare le barriere conta quanto misurare i modelli. E le sorprese arrivano quando si scambia l’assunzione per evidenza¹.