In una mossa che ha fatto interrogare i ricercatori di sicurezza sulle loro scelte di vita, OpenAI ha apparentemente revocato l'accesso al suo programma di cybersecurity ad accesso limitato per diversi ricercatori - apparentemente per errore. L'azienda ha confermato che il problema è stato causato da un errore, il che è rassicurante, perché sappiamo tutti che gli errori non accadono mai nella cybersecurity.

Mercoledì, diversi ricercatori sui forum di supporto ufficiali di OpenAI e su X hanno segnalato che il loro accesso al programma Trusted Access for Cyber (TAC) era stato revocato. Quando aprivano la pagina Cyber di ChatGPT, venivano accolti con un messaggio che diceva che la loro identità non poteva essere verificata o che il loro account "non è idoneo al momento". Niente come una piccola crisi d'identità per iniziare la giornata.

TAC è il programma speciale di OpenAI che dà ai ricercatori verificati accesso ai suoi modelli di IA più avanzati con meno protezioni di sicurezza rispetto agli utenti normali. Anthropic ha un programma simile chiamato Cyber Verification Program (CVP). L'idea è dare ai difensori fidati strumenti migliori per trovare e segnalare bug, così le aziende possono correggere le falle più velocemente - e impedire ai cattivi di usare quegli strumenti per hackerare tutti. È un obiettivo nobile, a meno che tu non sia un hacker malintenzionato, in tal caso, continua pure.

Per entrare in TAC, i ricercatori devono presentare un documento d'identità e superare la verifica di OpenAI. Ma ora, alcuni di questi ricercatori verificati vengono cacciati, e non è chiaro il motivo o quanti. TechCrunch ha parlato con cinque ricercatori che hanno avuto il problema. Uno ha detto che OpenAI gli ha inviato un'email dicendo che il suo accesso a Daybreak Blue - l'ultimo livello verificato di TAC - era stato revocato "a causa di un problema tecnico che ha colpito un numero limitato di utenti". L'email continuava: "Questo è stato un problema da parte nostra, e non è l'esperienza utente che vogliamo offrire". Ah, il classico "non sei tu, sono io" - ma per i programmi di sicurezza IA.

In un thread del forum, un ricercatore ha detto che OpenAI ha citato un "recente problema tecnico" dopo aver contattato il supporto. In entrambi i casi, OpenAI ha chiesto ai ricercatori di ripresentare la domanda e completare di nuovo la verifica. Perché niente dice "ci fidiamo di te" come farti dimostrare di nuovo la tua identità.

Tutti e cinque i ricercatori con cui TechCrunch ha parlato vivono fuori dagli Stati Uniti e dall'Europa, suggerendo che le revoche potrebbero essere regionali. OpenAI ha indicato un tweet che dice che "l'accesso di un numero limitato di utenti a Daybreak Blue non è più attivo e dovranno riverificare per mantenere l'accesso". Quindi, se sei un ricercatore di sicurezza, per esempio, a Singapore, potresti voler controllare il tuo accesso.

Daybreak Blue, lanciato il 10 agosto, è l'ultimo livello di OpenAI per i ricercatori individuali, che concede accesso a "modelli generalisti di frontiera, inclusi GPT-5.6 Sol, con salvaguardie su misura per il lavoro di sicurezza difensiva autorizzato". È "il punto di partenza consigliato per la maggior parte dei difensori", supportando la scoperta di vulnerabilità, la revisione sicura del codice, l'analisi di malware, la risposta agli incidenti e la validazione delle patch. Sembra fantastico - se riesci ad accedervi.

OpenAI ha anche introdotto un livello superiore chiamato Daybreak Red, che dà accesso a modelli specificamente per la ricerca sulla cybersecurity, permettendo agli utenti verificati di fare "ricerca autorizzata sulle vulnerabilità, validazione degli exploit e test di sicurezza". Perché non avere anche una squadra rossa?

Negli ultimi mesi, sia i ricercatori di sicurezza difensiva che offensiva si sono lamentati delle protezioni imposte da OpenAI e Anthropic, dicendo che ostacolano il lavoro legittimo. Ora, con le revoche accidentali, hanno qualcosa di nuovo di cui lamentarsi. Almeno l'errore non è stato dalla loro parte - questa volta.