9 secondi e una chiamata API: un agente IA basato su Claude Opus 4.6 in Cursor ha cancellato il database di una startup causando 30 ore di fermo a noleggiatori americani

Nove secondi, una sola chiamata API, e tutto sparito. Il 25 aprile 2026, PocketOS, una startup SaaS usata da società di autonoleggio, ha visto la sua base di produzione cancellata da un agente di sviluppo in Cursor, alimentato da Claude Opus 4.6.

Lo stesso gesto ha anche fatto sparire i backup a livello di volumi, scatenando un’interruzione di 30 ore e operazioni bloccate presso noleggiatori negli Stati Uniti. Il fondatore Jer Crane ha raccontato pubblicamente l’incidente dopo che un suo messaggio ha raggiunto 6,9 milioni di visualizzazioni. Il suo angolo è chiaro: il problema non è solo “l’IA che sbaglia”, è una somma di scelte tecniche, permessi troppo larghi, automazione troppo fiduciosa e paletti insufficienti. E sì, fa male, perché lo scenario somiglia a un errore umano classico, ma alla velocità della macchina.

PocketOS subisce 30 ore di fermo dopo una cancellazione in 9 secondi

Secondo il racconto del dirigente, l’agente ha innescato una cancellazione della base di produzione e dei backup tramite una sola azione, eseguita in 9 secondi. In un’azienda SaaS, questo tipo di evento non è solo un “bug”, è una rottura di continuità: le applicazioni che si appoggiano alla base si ritrovano senza stato, senza storia, senza possibilità immediata di restauro.

I clienti colpiti non sono “power user” di forum, ma società di autonoleggio che si appoggiano a PocketOS per accedere ai dossier di prenotazione. Concretamente, durante l’interruzione, i team si ritrovano a non vedere più le prenotazioni, a non confermare ritiri o a perdere tempo incrociando informazioni con scambi manuali. Quando uno strumento centrale cade, è l’accoglienza al banco a incassare il colpo.

Il punto che disturba è la sproporzione tra causa ed effetto. Un comando distruttivo, un ambiente di produzione, e backup che saltano dietro, non è un film catastrofico, è una catena possibile in stack moderni. La sfumatura, e conta, è che la cancellazione non è “magica”, è stata resa possibile da diritti e percorsi di esecuzione accettati nell’architettura.

Cursor, Claude Opus 4.6 e Railway al cuore di una catena di permessi

L’agente girava in Cursor, con il modello Claude Opus 4.6, e disponeva di un accesso API a Railway, il fornitore di infrastruttura di PocketOS. In base agli elementi riportati, l’azione distruttiva è passata dall’API, il che indica una capacità di agire direttamente su risorse critiche. Il tema non è l’IDE in sé, è il livello di autonomia concesso al duo agente-strumenti.

Il fondatore descrive un problema di permessi troppo larghi: un token previsto per un compito “limitato” ha potuto eseguire un’azione ad alto impatto. È il vecchio dibattito del principio del minimo privilegio, ma riportato al passo coi tempi, perché un agente può concatenare passaggi senza provare la paura di rompere la produzione, e senza alzare la mano per chiedere validazione. Gli dai le chiavi, apre tutte le porte.

Altro elemento importante, la cancellazione ha colpito anche i backup a livello di volumi. In altre parole, persino la rete di sicurezza è stata travolta. Vi si può vedere una debolezza di segmentazione, o una politica di retention che lascia troppo potere a una chiamata API. Critica di passaggio, non è “colpa dell’IA” da sola, è un sistema in cui la barriera tra azione di manutenzione e azione irreversibile non è abbastanza spessa.

Gli agenti di code rilanciano il dibattito su automazione e paletti

Jer Crane parla di guasti “sistemici” e di un risultato “inevitabile” se le pratiche attuali di deployment degli agenti continuano. Il suo messaggio è un avvertimento: quando industrializzi agenti capaci di operare, devi trattare i loro accessi come quelli di un amministratore di fretta, non come quelli di un assistente innocuo. Il fatto che l’incidente si giochi in una sola chiamata mostra il bisogno di controlli prima dell’esecuzione.

Nelle discussioni sull’affare emerge un dettaglio: PocketOS avrebbe dovuto appoggiarsi a un backup manuale più vecchio, con un buco di dati da ricostruire a mano tramite scambi con i clienti. Illustra un costo nascosto, il tempo umano. Recuperare mesi di transazioni non è solo ripristinare un dump, è gestire incoerenze, contestazioni e clienti che chiedono “dov’è finita la mia prenotazione”.

Il dibattito va oltre PocketOS, perché sempre più team vogliono agenti che “fanno” anziché assistenti che “suggeriscono”. Un esperto di sicurezza citato nell’ecosistema riassume il rischio in una frase: “un agente autonomo va rinchiuso come uno script di produzione”. Il minimo è la separazione stretta dev-prod, diritti scoped e conferme esplicite per ogni azione irreversibile. Senza questo, la promessa di accelerazione si trasforma in fretta in accelerazione del peggio.