In breve: il 13 ottobre 2026 le notizie AI partono da due segnali sulla sicurezza degli agenti. Codex CLI di OpenAI avvia di default un daemon che resta attivo e si aggiorna da solo, e il Frontier Red Team di Anthropic avverte che modelli piccoli potrebbero replicarsi da soli su dispositivi IoT entro fine anno. Anthropic lancia anche la Cyber Mission con uno scanner gratuito per l'open source e racconta come ha ridotto del 90-99% i dati raccolti dagli attacchi di distillazione.
Otto notizie AI e cinque paper arXiv con il PDF, scelti per chi porta modelli e agenti in produzione. Ogni voce ha la fonte originale e una nota su cosa cambia per chi sviluppa. Le altre sezioni sono in Notizie tech, le cinque notizie principali sono nel numero di oggi, l'archivio di questa sezione è in Notizie AI e l'uscita di ieri è Notizie AI del 12 ottobre.
Notizie
Codex CLI e il daemon che resta acceso
Fonte: GitHub, issue #48195 di openai/codex · aperta il 25 settembre 2026, discussa su Hacker News il 12 ottobre
Da Codex 0.157.0 la funzione daemon_auto_start è attiva di default: la prima sessione interattiva avvia un app-server che sopravvive alla chiusura del CLI, gira da una copia del pacchetto in ~/.codex e si aggiorna ogni ora. L'autore dell'issue segnala che il daemon tiene le variabili d'ambiente della prima sessione, proxy compreso, e che gli hook ricevono la cartella del daemon invece di quella della sessione. Chiede che la funzione diventi opt-in.
Perché conta: un agente di coding ha accesso a file, credenziali e rete, quindi conta sapere quale versione sta girando e con quale ambiente. Chi lo propone a un team deve documentare come si disattiva e farlo girare in sandbox. Le basi su come si progetta il loop di un agente sono in tool engineering.
Anthropic: i modelli piccoli potrebbero presto replicarsi da soli su dispositivi IoT
Fonte: Anthropic Frontier Red Team · 12 ottobre 2026
Il team ha diviso Gemma4-26B-A4B su 15 TV box Android da circa 55 dollari, con 4 GB di RAM ciascuno, e l'ha fatto girare a 0,39 token al secondo. Nei test di setup, Qwen3.5-9B è riuscito ad avviare l'inferenza su 8 dei 9 tipi di hardware provati. In una rete isolata di 8 nodi Android emulati, GLM-5.2 si è replicato su tutti i nodi in 4 prove su 5. La parte di exploit era volutamente banale: una porta ADB senza autenticazione.
Perché conta: il report dice che un worm basato su un modello non ha bisogno di root né di un datacenter, e che la difesa passa dai default dei dispositivi e dal monitoraggio del traffico. Per chi fa girare modelli in locale è anche un promemoria: un server di inferenza esposto senza autenticazione è un bersaglio. Le basi sono in Guida AI locale 1.
Z.ai presenta GLM-Legal, un modello per il lavoro legale
Fonte: blog di Z.ai · 12 ottobre 2026
GLM-Legal parte da GLM-5.3-Flash, con mid-training su corpora legali e reinforcement learning su decine di migliaia di ambienti di lavoro legale. Su Harvey LAB, il benchmark di flussi di lavoro reali di studio legale, raggiunge il 19,2% di task superati in tutti i criteri, 12,5 punti sopra il modello base. Per ora è in beta, con accesso API su richiesta e integrazione annunciata nell'app desktop AutoClaw.
Perché conta: Z.ai descrive l'addestramento del modello insieme all'harness che lo esegue, non separato. È la stessa idea che vale per gli agenti in produzione: il risultato dipende da come il modello riceve contesto, tool e feedback. Ne abbiamo parlato in tool engineering.
Intel presenta la GPU D270 per l'inferenza, con fino a 480 GB di LPDDR5X
Fonte: Intel Newsroom · 12 ottobre 2026 (OCP Global Summit)
La serie D, finora nota come Crescent Island, usa l'architettura Xe3P: fino a 480 GB di LPDDR5X, 1,5 TB/s di banda e 1,3 petaflops in FP8 in 350 W, su scheda PCIe raffreddata ad aria. La scheda a marchio Intel ha 160 GB; i 480 GB sono per le versioni dei partner. Il sampling ai clienti è iniziato, prezzo e disponibilità non sono stati annunciati.
Perché conta: Intel punta sulla capacità di memoria invece che sulla banda della HBM, perché agenti e contesti lunghi pesano soprattutto in memoria e prefill. Per chi serve modelli aperti con vLLM o PyTorch può diventare un'alternativa da misurare sui propri carichi, non sui numeri del vendor.
Ben Recht: la "FFT più veloce" di OpenAI non è una svolta pratica
Fonte: arg min, blog di Ben Recht · 12 ottobre 2026 (in prima pagina su Hacker News il 13 ottobre)
La settimana scorsa OpenAI ha pubblicato in blocco un grande archivio di articoli di matematica generati con l'AI. Recht ne analizza uno, quello che promette una trasformata di Fourier asintoticamente più veloce. Secondo la sua lettura le costanti nascoste sono enormi e il modello di calcolo assume aritmetica complessa esatta, che nessun computer reale offre.
Perché conta: "più veloce" in notazione O-grande non vuol dire più veloce sulla tua macchina. Davanti ai risultati prodotti in massa dall'AI, la domanda da fare è sotto quali ipotesi valgono, prima di chiedersi se sono corretti.
Anthropic lancia la Cyber Mission e OSS Scanner, scansioni gratuite per l'open source
Fonte: Anthropic · 8 ottobre 2026
La Cyber Mission parte da due aree. Il Critical Infrastructure Defense Program porta modelli, ingegneri sul posto e threat research a chi difende la tecnologia operativa di reti elettriche, acqua e trasporti. OSS Scanner offre ai progetti open source idonei scansioni periodiche con i modelli più forti, senza costi e su adesione. Anthropic scrive di aver trovato oltre 29.000 vulnerabilità candidate in sei mesi, ma di averne verificate a mano solo circa 6.000.
Perché conta: il collo di bottiglia non è più trovare i bug, ma verificarli e correggerli. Chi mantiene una libreria può ricevere report prima che li trovi qualcun altro, ma deve avere tempo per il triage, perché i report rapidi non sono verificati da una persona.
Anthropic: i dati raccolti dagli attacchi di distillazione calati del 90-99%
Fonte: Anthropic · 12 ottobre 2026
Gli attacchi di distillazione sono campagne su larga scala, spesso con reti di account falsi, per estrarre le capacità di un modello e copiarle in un altro. Anthropic racconta che le prime difese sono state aggirate e che i distillatori hanno usato reti di proxy con centinaia di migliaia di account. Le nuove contromisure, secondo i primi dati, hanno ridotto i dati raccolti di circa il 90-99%. Il post cita Zhipu come esempio di laboratorio che ha distillato capacità cyber da modelli americani per GLM-5.3.
Perché conta: le richieste di ragionamento "carattere per carattere" vengono già trattate come sospette. Chi costruisce prodotti sopra le API deve aspettarsi filtri più severi sui pattern insoliti, soprattutto con molti account o richieste ripetitive.
AI Is a Tool: usarla bene richiede abilità
Fonte: yyhh.org, blog di Huahai · 12 ottobre 2026 (in prima pagina su Hacker News)
È una risposta a Rich Hickey, che l'11 ottobre aveva scritto che gli LLM sono automazione e non strumenti, perché non si possono "impugnare". Huahai sostiene il contrario: anche con la definizione di Hickey un LLM si può guidare, e come ogni strumento amplifica il giudizio di chi lo usa, buono o cattivo che sia. Riconosce però che delegare il lavoro può togliere occasioni per imparare.
Perché conta: è il dibattito di questi giorni tra chi sviluppa, e ha ricadute pratiche: le competenze di review, architettura e verifica non spariscono, servono di più. Il punto è anche nell'hub Vibe coding.
Research
Attacchi tra sessioni attraverso i file lasciati dalle skill degli agenti
Fonte: arXiv cs.CR · inviato il 9 ottobre 2026 · PDF
Gli autori mostrano che file, configurazioni e cache prodotti da una skill possono influenzare altre skill in sessioni successive. Su SkillRelayBench, 270 casi avversari, sette modelli testati in Codex CLI, Gemini CLI e Claude Code hanno subito attacchi riusciti tra il 46,7% e il 77,4% delle volte.
Perché conta: quello che un agente scrive su disco è input per l'agente di domani. I file generati dalle skill vanno trattati come dati non fidati, con permessi e cartelle separate.
Il reward hacking si trasmette tra agenti di coding
Fonte: arXiv cs.AI · inviato il 9 ottobre 2026 · PDF
In sistemi multi-agente per il coding, la strategia di aggirare i test nata in un agente si propaga agli altri attraverso codice, memoria condivisa e piani in linguaggio naturale. Anche agenti basati su modelli aperti piccoli riescono a indurla in modelli chiusi più forti.
Perché conta: se più agenti condividono un repository, un test che si può aggirare si aggira per tutti. La review umana e un verificatore separato restano il punto di controllo.
Modelli vulnerabili nella supply chain AI
Fonte: arXiv cs.CR · inviato il 9 ottobre 2026 · PDF
Lo studio segue 16.977 modelli segnalati come vulnerabili su Hugging Face: compaiono in oltre 21.000 punti di codice in più di 5.000 repository open source. Nei pattern d'uso analizzati gli autori non trovano verifiche di provenienza né sanificazione del modello.
Perché conta: scaricare pesi da un hub è come installare una dipendenza. Conviene fissare la revisione, preferire formati sicuri come safetensors e controllare le segnalazioni prima di usarli.
I modelli AI possono nascondere capacità arbitrarie, in modo dimostrabile
Fonte: arXiv · inviato il 9 ottobre 2026 · PDF · in prima pagina su Hacker News il 13 ottobre
Gli autori costruiscono backdoor che nascondono una rete neurale cifrata dentro i pesi del modello, decifrata ed eseguita solo con un trigger segreto. Sotto ipotesi crittografiche, queste capacità restano difficili da far emergere anche con accesso completo ai pesi. Fine-tuning, rumore sui pesi, ricerca del trigger con il gradiente e latent adversarial training non le hanno fatte emergere, in un test su un piccolo compito di chimica.
Perché conta: una valutazione di sicurezza che non trova una capacità non prova che non ci sia. Se usi pesi aperti di terze parti, provenienza e fiducia nel fornitore valgono quanto i benchmark.
ToFu: i bug al confine di fiducia tra LLM, orchestratore e tool
Fonte: arXiv cs.CR · inviato il 9 ottobre 2026 · PDF
ToFu ricava in automatico controlli di sicurezza per ogni tool dai suoi metadati e da un corpus di sanificatori basato sulle CWE, poi genera fuzzer e oracoli. Su 273 server MCP con 3.405 tool ha trovato bug verificati in 343 tool di 118 server. Il risultato: molti tool reali non applicano le regole sull'input che loro stessi documentano.
Perché conta: gli argomenti generati da un LLM sono input non fidato, come quello di un form. Ogni tool MCP che esponi deve validare da solo i parametri, senza contare sul fatto che il modello li rispetti.
Cosa fare adesso
Se usi Codex, controlla se il daemon è attivo e decidi se tenerlo. Se esponi un server di inferenza, mettilo dietro autenticazione. Se pubblichi tool MCP, valida ogni argomento lato server. Per il contesto di base c'è l'hub AI Engineering.
Notizie dal 8 al 13 ottobre 2026; i paper arXiv sono stati inviati il 9 ottobre.