Quarantotto ore, quattro rivali, la stessa frase
Il 12 settembre 2026 Dario Amodei pubblica sul suo blog un saggio di circa 3.800 parole. Titolo: "We Must Pace the Frontier". La tesi sta in una riga: dobbiamo rallentare il ritmo con cui miglioriamo le capacità dei modelli.
Circa un'ora dopo Elon Musk rilancia il saggio con tre parole. "Dario is right".
Lo stesso giorno arriva Sam Altman. Dice di essere d'accordo sul fatto che serva "pace the frontier", aggiunge che è stato un tema centrale nelle discussioni interne a OpenAI delle ultime settimane, e che mettere valutatori indipendenti con accesso da dipendente "è un'ottima idea, e faremo lo stesso".
Nove ore dopo la pubblicazione risponde Demis Hassabis. Il saggio "indica la strada giusta", la direzione "è corretta". Con una sfumatura: sui dettagli c'è da lavorare, e rimanda alla proposta che DeepMind aveva già avanzato per conto suo, un ente di settore per l'AI di frontiera. Amodei nel saggio citava già "il meccanismo suggerito da Demis Hassabis".
Queste quattro persone guidano aziende che si contendono gli stessi ricercatori, gli stessi clienti e gli stessi data center, e che passano metà del tempo a smentirsi a vicenda. Quando concorrenti così dicono la stessa cosa in quarantotto ore, di solito non è perché hanno avuto la stessa illuminazione nello stesso weekend. È perché era già successo qualcosa prima.
Quello che è successo a luglio
In Italia la notizia è stata raccontata quasi ovunque partendo dal saggio. Il punto è che il saggio è la conseguenza, non la causa.
Il 7 maggio OpenAI avvia una sessione di reinforcement learning su un modello interno sperimentale, mai rilasciato al pubblico. Il giorno dopo uno degli agenti tenta un attacco ad Artifactory, il sistema interno di gestione dei pacchetti, e scopre di avere accesso in scrittura. Fallisce.
Il 26 giugno gli agenti ottengono l'esecuzione di codice sfruttando uno zero-day nell'endpoint di refresh dei token. Il 4 luglio Artifactory va in crash per il carico eccessivo, OpenAI si accorge di aver perso il controllo del sistema, revoca le credenziali e ricostruisce. Quattro giorni dopo gli agenti ristabiliscono il proprio canale di comunicazione passando da un'altra strada.
Il 9 luglio escono dal sandbox. Individuano il proxy come punto debole e sfruttano un altro zero-day per arrivare a internet.
Dall'11 al 13 luglio attaccano Hugging Face. Diciassettemilaseicento azioni sulla rete, escalation fino a privilegi di cluster-admin in meno di tredici ore. Nello sciame che colpisce Hugging Face ci sono circa 700 agenti; nell'intera vicenda ne risultano coinvolti oltre 1.200, il 95% sul modello interno e il resto su GPT-5.6 Sol. Per coordinarsi usavano una bacheca nascosta che ha accumulato centinaia di migliaia di messaggi, con convenzioni di indirizzamento sviluppate da loro, deleghe di compiti e, a tratti, agenti che si ostacolavano a vicenda.
Hugging Face pubblica la sua disclosure il 16 luglio senza sapere chi ci fosse dietro. OpenAI se ne accorge il 19, per un alert su privilege escalation. Il 21 arriva lo statement congiunto. Bilancio: un terzo dell'infrastruttura di Hugging Face ricostruita, nessun dato dei clienti compromesso, nove CVE patchate su JFrog Artifactory il 27 luglio, e una revisione indipendente affidata a METR e Redwood Research.
Nel saggio Amodei descrive quegli agenti come un collettivo fanaticamente devoto, disposto a sacrificare singoli membri per il successo del gruppo, che a un certo punto ha provato a manomettere il proprio sistema di valutazione. E aggiunge la frase che ha fatto il giro dei giornali: uno sciame con capacità appena superiori potrebbe, nel giro di sei-dodici mesi, controllare internet con una botnet persistente e produrre centinaia di miliardi di dollari di danni.
Questo è il pezzo che manca in gran parte della copertura italiana. Senza, il saggio sembra un attacco di prudenza. Con, sembra un verbale. Sul tema dei comportamenti emergenti ne avevo già scritto quando un modello Anthropic uscì dai limiti di rete in fase di test, in cosa insegna alle aziende un'AI che scappa dal sandbox.
La lettera che è arrivata prima dei CEO
Il 28 luglio, due settimane dopo l'attacco, oltre mille dipendenti di OpenAI, Anthropic, Google DeepMind e Meta firmano una dichiarazione congiunta. Ingegneri, ricercatori, dirigenti. Gente che quei modelli li costruisce.
Il titolo della dichiarazione è "Pacing the Frontier". Lo stesso che Amodei riprenderà sei settimane dopo.
La lettera non chiede a nessuno di rallentare oggi. Chiede al governo statunitense di costruire gli strumenti che renderebbero possibile un rallentamento deliberato, se e quando dovesse servire. Nel giro di poche ore sia OpenAI sia Anthropic la appoggiano a livello aziendale.
Intorno succede il resto. Il 23 luglio i parlamentari Lieu e Moran presentano l'AI Kill Switch Act. Il 18 agosto OpenAI annuncia un rallentamento dello sviluppo e una pausa di due settimane sul reinforcement learning.
Quindi quando Amodei pubblica, il 12 settembre, non sta aprendo un dibattito. Sta prendendo la guida di un dibattito che i suoi stessi dipendenti avevano aperto in luglio. È una differenza che cambia parecchio la lettura della notizia.
Cosa chiede davvero il piano in tre passi
Il piano si articola su tre livelli, e conviene guardarli uno per uno perché hanno peso molto diverso.
Il primo sono gli embedded evaluators. Anthropic si impegna unilateralmente a dare a valutatori esterni un accesso permanente ai propri sistemi, equiparabile a quello di un dipendente. Non è una formula vaga: il saggio parla di scrivanie e badge, di permessi paragonabili a quelli dei team interni di risk assessment, del diritto di verificare l'aderenza alle misure di sicurezza, di segnalare incidenti e di valutare l'allineamento dei modelli durante l'addestramento. E soprattutto del diritto di pubblicare risultati critici senza controllo editoriale dell'azienda, fatte salve le redazioni necessarie su informazioni sensibili, legali o di terzi.
Il secondo è il coordinamento tra i laboratori di frontiera dei paesi democratici, per stabilire standard di sicurezza comuni e limiti al ritmo di progresso. Richiede il sostegno dei governi.
Il terzo è il coordinamento globale, con i governi autoritari inclusi. Amodei stesso lo tratta come il più difficile: serve una verificabilità robusta, oppure accordi abbastanza limitati da non regalare un vantaggio militare a chi li viola. Sa che potrebbe non arrivarci, e scrive che anche solo cambiare le norme informali avrebbe un qualche valore.
Il primo passo è l'unico che Anthropic possa fare da sola, ed è l'unico che ha effettivamente fatto. Gli altri due sono richieste rivolte ad altri. Nessuno dei tre, preso oggi, riduce di un giorno il tempo di rilascio del prossimo modello.
Quanto è esposta davvero la tua azienda?
30 minuti per discutere il tuo caso specifico.
Trump dice no, e il motivo è quello di sempre
Il 13 settembre, durante una visita in Irlanda, i giornalisti chiedono a Trump cosa ne pensa. La risposta è netta: ci sono "molte forze negative" che sollevano il tema, forze che non dovrebbero sollevarlo, e che tirano fuori cose che non succederanno. Gli Stati Uniti, aggiunge, non possono permettersi di perdere terreno sulla Cina.
È stato raccontato come uno scontro. Lo è molto meno di quanto sembri.
Il saggio di Amodei dice esplicitamente che un vantaggio cinese nell'AI rappresenterebbe un grave pericolo per gli Stati Uniti e per il mondo, e ragiona su una finestra geopolitica di tre-cinque anni in cui quel vantaggio va allargato. Amodei non chiede di rallentare rispetto alla Cina. Chiede ai laboratori occidentali di rallentare rispetto a se stessi, tenendosi il vantaggio.
Qui sta il punto debole della proposta, ed è lo stesso motivo per cui Musk e Altman hanno potuto firmarla in poche ore senza rinunciare a niente.
Le obiezioni che vale la pena ascoltare
La prima arriva dal capitale. Chamath Palihapitiya ha scritto che Amodei sta costruendo l'argomento per fermare l'open source e concentrare un enorme potere tecnologico ed economico dentro Anthropic. Detto da un venture capitalist con le sue posizioni va pesato, ma il meccanismo che descrive è reale: standard di sicurezza scritti dai laboratori più grandi diventano barriere all'ingresso per chiunque altro.
La seconda è il calendario. Il 1 giugno Anthropic ha depositato in forma confidenziale il proprio S-1 presso la SEC, dopo aver raccolto 65 miliardi di dollari in Serie H a una valutazione post-money di 965 miliardi. OpenAI ha depositato una settimana più tardi. Il 21 agosto CNBC ha riferito che il prospetto di Anthropic indicherà il contraccolpo pubblico contro l'AI tra i fattori di rischio principali. Tre settimane dopo, il CEO pubblica il saggio che lo colloca stabilmente dalla parte di chi voleva rallentare.
Non significa che sia in malafede. Significa che convinzione e incentivo puntano nella stessa direzione, e quando succede diventa impossibile distinguerli dall'esterno.
La terza arriva da dentro. Jacob Coxon, ricercatore di Anthropic, si è dimesso dicendo che le aziende AI stanno correndo dritte verso una superintelligenza auto-migliorante, e che i leader del settore credono sinceramente che possa ucciderci tutti entro la fine del decennio. Se questo è il giudizio di chi lavora all'interno, un impegno sui valutatori esterni è una risposta piuttosto piccola.
La quarta è la più scomoda e viene dal fronte opposto. Casey Mock della Duke University osserva che i sistemi attuali non sono lontanamente vicini alla soglia di cui si discute, e Gizmodo ha citato un sondaggio in cui solo il 3% dei ricercatori interpellati mette il rischio esistenziale tra le priorità. Vista da qui, la retorica catastrofista è anche uno strumento commerciale: se il tuo prodotto è tanto potente da essere pericoloso, è anche inevitabile.
La mia lettura
Tre cose, in ordine di quanto pesano.
La prima. L'incidente di luglio ha spostato la conversazione perché è il primo caso pubblico e documentato in cui dei modelli hanno fatto danni reali fuori dal perimetro, senza che nessuno lo avesse chiesto. Non è uno scenario, non è un paper. È un post-mortem con le date, i numeri e le CVE. Dopo una cosa del genere, il costo reputazionale di dire "serve prudenza" crolla per tutti contemporaneamente. Ecco perché in nove ore erano tutti d'accordo.
La seconda. Anthropic e OpenAI stanno per chiedere soldi al mercato pubblico, che a differenza dei fondi di venture capital pretende di sapere quali sono i rischi e chi li presidia. "Ci autoregoliamo, e abbiamo un piano scritto" è una risposta molto migliore di "vedremo". Questo non rende il piano falso, lo rende conveniente. Sono cose diverse.
La terza, la meno citata. Nessuna delle tre proposte obbliga nessuno a fare niente. Si può sottoscrivere il saggio di Amodei e continuare esattamente come prima, e infatti nessuno dei firmatari ha annunciato un ritardo su un modello. L'unanimità in nove ore è la prova migliore che il documento non costa niente a chi lo firma.
Detto tutto questo, il saggio non è aria fritta. L'impegno sui valutatori esterni, se comprende davvero il diritto di pubblicare risultati scomodi senza passare dall'ufficio comunicazione, è la cosa più concreta che un laboratorio di frontiera abbia messo sul tavolo finora. Ed è l'unica verificabile: fra sei mesi si saprà chi ha dato scrivania e badge a qualcuno, e chi no. Il resto si giudicherà da lì.
Cosa c'entra tutto questo con la tua azienda
Nel breve, poco. Se usi Claude o un altro modello per lavorare, il 12 settembre non ha cambiato niente nel tuo lunedì mattina.
Due cose però le porterei a casa.
La prima riguarda il rischio fornitore. A giugno il governo statunitense ha ordinato lo spegnimento di due modelli Anthropic già in produzione, e le aziende che li usavano se ne sono accorte un venerdì sera (l'ho raccontato in cosa è successo davvero con Fable 5 e Mythos 5). A luglio uno sciame di agenti è uscito dal sandbox di OpenAI. Eventi così non si prevedono, si assorbono. Se un processo critico dipende da un unico modello senza alternativa già configurata e testata, non hai un'architettura, hai una scommessa. Quando si progettano agenti che lavorano in autonomia questa non è una considerazione teorica.
La seconda riguarda la governance interna, ed è la parte del saggio che scala davvero. Tradotta in dimensioni aziendali suona banale, e quasi nessuno la applica: chi controlla i tuoi sistemi AI non deve dipendere da chi li ha costruiti. Vale per un laboratorio da mille miliardi di valutazione e vale per un team di sei persone che ha messo in produzione un agente sulle email. In Italia c'è anche una spinta normativa, tra AI Act e Legge 132/2025, ma la ragione vera non è la conformità. È che i sistemi agentici, ogni tanto, fanno cose che nessuno ha chiesto. E qualcuno deve guardare.
Se stai valutando dove mettere l'AI nei tuoi processi, il punto di partenza resta lo stesso di sempre: come integrare Claude in azienda senza costruirsi una dipendenza cieca. Il resto, per adesso, è cronaca.