› Aggiornato al: 10 ottobre 2026L'organizzazione di ricerca METR ha reso noto il furto di una chiave API e l'utilizzo non autorizzato di crediti gratuiti nel suo report del 31 agosto 2026.
› Si tratta di un caso emblematico in cui occorre distinguere con cura il valore teorico della risorsa consumata dalla perdita effettiva di denaro contante, separando la perdita di controllo su un accesso da un effettivo espatrio di dati sensibili.In sintesiUn attaccante ha manipolato un agente inducendolo a mostrare una chiave API.Nell'arco di tre settimane sono stati consumati crediti gratuiti per un valore stimato di circa 600.000 USD: METR, 31.08.2026.Questa quantificazione economica non coincide con un esborso finanziario diretto di pari entità.Cronologia degli eventiMarzo - il contesto iniziale: sottrazione della chiave, resa pubblica soltanto ad agosto.Maggio: un'ulteriore attività di probing, in parte condotta tramite agenti; un ricercatore segnala una vulnerabilità nel viewer.La comunicazione di agosto: METR illustra le nuove procedure per il monitoraggio, la rotazione dei token e la separazione dell'infrastruttura.Fonte della cronologia: METR, 31.08.2026.Cosa monitorare davveroCategoriaDomanda di controlloLimite di interpretazioneRisorsaQuanta parte del plafond disponibile è stata consumata?Il valore nominale non equivale a una fattura da saldare.CredenzialeQuali privilegi operativi garantiva la chiave?L'esposizione della chiave non dimostra l'avvenuto download di dati.PagamentoQuali addebiti monetari sono stati effettivamente addebitati?La cifra deve poggiare su una reale transazione contabile.La dinamica: chiave rubata e vulnerabilità separataA marzo, un'applicazione predisposta da un ricercatore su un'istanza personale EC2 presentava un errore di autenticazione configurato in modalità fail-open.
› Per quanto riguarda l'evento di maggio, METR non ha riscontrato evidenze dell'uso della falla del viewer da parte di terzi né del download di informazioni riservate.
› METR, 31.08.2026.I due episodi vanno analizzati separatamente.