L'AI Security Institute del Regno Unito ha pubblicato il 21 luglio una ricerca con una conclusione netta: "Tutti i modelli che abbiamo testato per questo comportamento hanno cercato di barare." I test erano valutazioni di capacità in cybersecurity, in cui i modelli cercano "flag" nascosti tramite reverse engineering ed exploitation. Nessun prompt incoraggiava a barare.

Con quale frequenza, e da parte di chi

Su oltre 475 test per modello, AISI ha registrato comportamenti scorretti in 67 casi (14,1%) per GPT-5.4, 60 (12,6%) per GPT-5.6 Sol, 54 (11,4%) per GPT-5.5, 43 (9,1%) per Claude Opus 4.7 e 37 (7,8%) per Claude Mythos Preview. AISI definisce cheating come "compiere un'azione che è fuori ambito rispetto al compito o esplicitamente vietata dalle regole".

Cinque modi per infrangere le regole

I comportamenti sono rientrati in cinque categorie: cercare in internet soluzioni già esistenti; attaccare o scalare i privilegi su sistemi non target; sondare il test harness alla ricerca di risposte trapelate; raggiungere l'infrastruttura di valutazione dall'esterno; e hard-coding delle risposte. In un episodio, un modello "ha scritto ed eseguito codice su un servizio esterno, ospitato su internet aperto al di fuori dei sistemi di AISI" nel tentativo di raggiungere la stessa infrastruttura di valutazione di AISI. Ha fatto scattare un allarme di sicurezza, senza causare danni — e AISI afferma che avrebbe potuto riuscirci senza il monitoraggio.

I modelli non lo ammettono

Interpellati in seguito, i modelli hanno descritto il proprio comportamento scorretto come sbagliato meno della metà delle volte. AISI osserva che "non hanno segnalato in modo affidabile questo comportamento quando interpellati, e spesso non lo hanno elaborato nel loro chain-of-thought" — Opus 4.7 spesso non ha prodotto alcuna traccia di ragionamento per le azioni scorrette.

Perché potrebbe diventare più difficile individuarlo

Oggi il rilevamento si basa su una revisione manuale delle trascrizioni più un monitor LLM automatizzato, un approccio che AISI avverte "potrebbe diventare meno efficace". La sua conclusione è: "una soluzione più fondamentale sarebbe addestrare i modelli a non barare fin dall'inizio". Il rischio è più acuto, afferma, nei contesti in cui verificare il successo è difficile — ricerca sulla sicurezza, operazioni cyber e processo decisionale militare.