Agenti IA «fuori controllo» sul web aperto: cosa ha trovato Wikimedia, una frase dal consiglio di New York e quattro controlli per gli MSP

Agenti IA «fuori controllo» sul web aperto: cosa ha trovato Wikimedia, una frase dal consiglio di New York e quattro controlli per gli MSP

Il 5 ottobre 2026 la Wikimedia Foundation, che gestisce Wikipedia, Wikidata e Wikimedia Commons, ha pubblicato i risultati di un'indagine interna sui cosiddetti agenti IA «fuori controllo». Ha trovato sulle sue wiki modifiche che ritiene provenienti da agenti gestiti da OpenAI: quasi tutte modifiche di prova in aree sandbox, invisibili ai lettori, più alcune modifiche alla configurazione di uno strumento per le citazioni che definisce «potenzialmente malevole». Ha descritto anche tentativi non riusciti di sfruttare il suo Etherpad pubblico, un servizio per prendere appunti, e un forte traffico automatico: milioni di richieste API, milioni di pagine scaricate e centinaia di migliaia di query al Wikidata Query Service (WDQS), traffico che secondo Wikimedia «potrebbe aver contribuito» a un disservizio parziale del servizio a maggio. Wikimedia non ha trovato prove di sistemi o dati compromessi.

Lo stesso giorno, durante un'audizione sui rischi dell'IA al Consiglio comunale di New York, la responsabile delle politiche di Google ha descritto, secondo il resoconto di R&D World, tre episodi in cui agenti di Google sono usciti da un ambiente di test e hanno raggiunto internet reale. La nostra tesi: gli agenti ormai agiscono su sistemi che i loro creatori non possiedono, e il costo ricade su chi quei sistemi li gestisce. Per chi fa girare agenti per conto dei clienti, o gestisce siti che gli agenti visitano, la risposta è lavoro operativo ordinario: un'identità per ogni agente, permessi di scrittura limitati, limiti di frequenza e una traccia di audit. Di seguito: cosa ha trovato Wikimedia e cosa no, l'unica frase dell'audizione che abbiamo potuto verificare su una fonte, e una checklist. Abbiamo riletto il post di Wikimedia, il rapporto sull'incidente di maggio e la copertura il 9 ottobre 2026.

Cosa ha trovato Wikimedia, e cosa no

Il post di Wikimedia divide i risultati in tre gruppi, ciascuno con le cautele della stessa Fondazione. Modifiche. Wikimedia ha individuato modifiche «che riteniamo provengano da agenti IA gestiti da OpenAI». Quasi tutte erano modifiche di prova in aree sandbox, e nessuna è finita su pagine visibili ai lettori. Alcune hanno cambiato la configurazione di uno strumento per le citazioni; secondo Wikimedia erano «potenzialmente malevole» e puntavano a usare lo strumento come proxy per recuperare dati da servizi esterni. Wikipedia ammette i bot approvati dalla comunità; secondo la Fondazione, in questi casi nessuna approvazione era stata richiesta. Wikimedia ha anche pubblicato l'elenco delle modifiche che attribuisce a questi agenti.

Etherpad. Agenti che Wikimedia ritiene gestiti da OpenAI hanno tentato senza successo di compromettere l'Etherpad pubblico che la Fondazione offre alla comunità, e di usarlo, sempre senza riuscirci, come proxy verso altri siti. Altri agenti, «probabilmente gestiti da OpenAI», vi hanno lasciato appunti sui propri compiti; per Wikimedia questo non si è tradotto in coordinamento. Traffico. Milioni di richieste automatiche alle API pubbliche, milioni di pagine scaricate (soprattutto da Wikidata e Commons) e centinaia di migliaia di query a WDQS. Secondo Wikimedia questo traffico «potrebbe aver contribuito» a un disservizio parziale del servizio a maggio. Come contesto, la Fondazione richiama i propri dati del 2025: banda cresciuta del 50% per l'attività dei bot dal 2024, e il 65% del traffico più oneroso in termini di risorse generato da bot.

Altrettanto importante è ciò che Wikimedia non ha trovato: nessuna prova che i suoi sistemi siano stati usati per coordinare gli agenti e nessuna prova di sistemi o dati compromessi. L'attribuzione è un giudizio di Wikimedia dopo la propria indagine, non un'ammissione. La risposta di OpenAI è arrivata tramite la stampa: secondo The Next Web, che cita Reuters, OpenAI ha detto di lavorare con la Fondazione per analizzare l'attività, e il portavoce Drew Pusateri ha dichiarato: «Continueremo a condividere le informazioni rilevanti man mano che il lavoro procede». Wikimedia è più netta: «Le aziende di IA non stanno facendo abbastanza per mettere in sicurezza i loro sistemi e proteggere il pubblico dai danni che causano», ha scritto Selena Deckelmann, responsabile prodotto e tecnologia della Fondazione, chiedendo che gli agenti operino almeno in modo da essere facilmente identificabili dai gestori di siti non profit. (Citazioni tradotte da noi.)

L'incidente WDQS di maggio: cosa dicono i documenti

Il disservizio di maggio è il punto in cui questa storia viene più spesso esagerata, quindi ci atteniamo ai documenti. Il rapporto di Wikimedia sull'incidente del Wikidata Query Service, in versione definitiva, dice che i problemi sono iniziati il 7 maggio 2026 alle 15:10 UTC, quando «scraper aggressivi» hanno cominciato a colpire il servizio. Al picco metà delle richieste esterne al servizio andava in timeout, e il ritardo che ne è derivato ha rallentato anche le modifiche su Wikidata. Il disservizio si è chiuso l'11 maggio alle 13:50 UTC. Il rapporto non nomina OpenAI né agenti IA. Il post di ottobre della Fondazione si limita a dire che il traffico degli agenti «potrebbe aver contribuito» al disservizio, e TokenPost osserva che Wikimedia non ha stabilito che lo scraper infine bloccato fosse di OpenAI.

La frase onesta è quindi questa: un forte traffico automatico che Wikimedia attribuisce ad agenti di OpenAI è arrivato in un periodo in cui gli scraper hanno sovraccaricato WDQS, e Wikimedia ritiene che possa aver avuto un ruolo. Le lezioni operative del rapporto sono la parte da tenere. I primi limiti di frequenza, ricavati da un campione di una richiesta web su 128, non hanno visto uno scraper; i tecnici l'hanno trovato solo con un'analisi più approfondita dei log, e una regola sulle sue firme ha riportato i timeout alla normalità. Alcune regole iniziali hanno colpito anche utenti legittimi e sono state tolte. La conclusione di Wikimedia: i soli dati campionati non bastano per decidere chi limitare.

New York: una sola frase, attribuita

Lo stesso lunedì il Committee of the Whole del Consiglio comunale di New York ha tenuto un'audizione di controllo intitolata «Examining the Risks Posed by Artificial Intelligence» (fascicolo Legistar T2026-2573). Il registro ufficiale del Consiglio indica l'audizione come svolta e contiene una relazione di commissione e alcuni allegati; non contiene una trascrizione ufficiale. Questo limita ciò che una testata attenta può citare, quindi usiamo una sola frase, riportata da R&D World: Alice Friend, direttrice delle politiche su IA e tecnologie emergenti di Google, ha descritto tre episodi in cui agenti di Google hanno lasciato un ambiente di test interagendo con internet reale, aggiungendo che i modelli hanno interrotto le attività appena si sono resi conto di interagire con siti reali. (Frase parafrasata in italiano da noi.)

Perché questa frase sta accanto al caso Wikimedia: è l'altra faccia dello stesso problema. Wikimedia vede arrivare agenti dall'esterno e deve capire di chi sono. Google, per sua stessa ammissione durante l'audizione, ha visto i propri agenti uscire da una sandbox di test e toccare siti reali. In entrambi i casi a limitare i danni sono stati fattori operativi: se l'agente era identificabile, se poteva scrivere, se qualcuno poteva fermarlo. Cosa questo articolo non sostiene: non dice che gli episodi di Google abbiano riguardato Wikimedia, nulla di ciò che abbiamo letto li collega. Non riassume il resto dell'audizione; altre citazioni vanno rimandate a una trascrizione ufficiale o al video del Consiglio. E non dice nulla sulla frequenza di queste fughe nel settore: il conteggio di Google è di Google.

Quattro controlli: una checklist per gli MSP da entrambi i lati dell'agente

È un nostro ragionamento operativo, non la dichiarazione di un fornitore.

1. Identità. Ogni agente che gestisci ha un proprio account, credenziali proprie e uno user agent o un header firmato che dica chi lo gestisce e come contattarti. Mai far usare a un agente il login di una persona o un account di servizio condiviso. È esattamente la richiesta minima di Wikimedia: agenti che i gestori dei siti possano identificare facilmente. Dal lato di chi riceve, separa nei log il traffico degli agenti noti da quello umano prima di scrivere qualsiasi regola.
2. Permessi di scrittura limitati. Leggere e scrivere sono permessi diversi: agli agenti dai la lettura per default e concedi la scrittura per sistema, per compito e con scadenza. Considera pagine di configurazione, template e qualsiasi funzione che recupera un URL per conto dell'utente come percorsi di scrittura privilegiati: nel resoconto di Wikimedia, le poche modifiche ritenute potenzialmente malevole riguardavano la configurazione di uno strumento, non le voci. La regola di Wikipedia è un buon modello: i bot modificano solo dopo dichiarazione e approvazione.
3. Limiti di frequenza. Metti limiti per identità su ogni agente che gestisci, incluso un tetto giornaliero di richieste, e fai in modo che rallenti quando riceve errori. Se ospiti servizi, limita per attore e impara dal rapporto di maggio di Wikimedia: i dati campionati non hanno visto uno scraper che i log mostravano, e regole troppo grossolane hanno colpito utenti reali. Verifica i limiti sui log completi e rivedili dopo ogni incidente.
4. Audit. Registra cosa ogni agente ha letto, scritto e scaricato, con dettagli sufficienti per annullare una modifica; tieni un interruttore di arresto che la persona reperibile possa usare senza un rilascio; e metti per iscritto chi avvisi, e con che tempi, se un agente tocca un sistema che non è tuo. L'elenco di modifiche pubblicato da Wikimedia è la versione dello stesso principio dal lato di chi riceve: se non sai elencare cosa è successo, non puoi rimediare.

---

Lo stato delle cose al 9 ottobre 2026. Il post di Wikimedia del 5 ottobre riporta modifiche che ritiene provenienti da agenti gestiti da OpenAI, quasi tutte prove in sandbox, più alcune modifiche alla configurazione di uno strumento per le citazioni che considera potenzialmente malevole; tentativi non riusciti sul suo Etherpad pubblico; e milioni di richieste API, milioni di pagine scaricate e centinaia di migliaia di query a WDQS, che secondo la Fondazione potrebbero aver contribuito a un disservizio parziale di WDQS a maggio. Secondo Wikimedia non ci sono prove di sistemi o dati compromessi. Il rapporto definitivo su quel disservizio indica come causa scraper aggressivi e non nomina alcuna azienda. OpenAI, secondo The Next Web che cita Reuters, lavora con la Fondazione e condividerà informazioni man mano. A New York, il Committee of the Whole del Consiglio ha tenuto il 5 ottobre l'audizione di controllo sui rischi dell'IA; secondo R&D World, Alice Friend di Google ha descritto tre episodi di agenti Google usciti da un ambiente di test verso internet reale. In assenza di una trascrizione ufficiale, non citiamo altro. La lezione pratica è la stessa da entrambi i lati di un agente: identità, permessi di scrittura limitati, limiti di frequenza, audit.