--- title: "UI-Mate-27B: l’agente a pesi aperti che clicca per voi. Con quali permessi?" description: "Il modello Tencent UI-Mate-27B, pesi aperti su Hugging Face, esegue clic e tasti sullo schermo: licenza, gate, contesto e permessi verificati il 20 agosto." url: https://csidia.com/note-operative/ui-mate-27b-agente-pesi-aperti-permessi-desktop/ lang: it date: 2026-08-20 label: "Osservatorio" publisher: CSIDIA S.r.l. (https://csidia.com/) english: https://csidia.com/en/notes/ui-mate-27b-agente-pesi-aperti-permessi-desktop/ --- # UI-Mate-27B: l’agente a pesi aperti che clicca per voi. Con quali permessi? Il 14 agosto compare su Hugging Face il repository `tencent/UI-Mate-27B`: campo `createdAt` **2026-08-14T04:55:07Z**, ultima modifica il 18 agosto. Lo abbiamo verificato di persona il 20 agosto, interrogando l’API pubblica e scaricando i file senza autenticarci. In quel momento: **229 download**, **65 like**, **22 file**, di cui **12 shard `.safetensors`**. Tag dichiarati: `computer-use-agent`, `gui-agent`, `desktop-agent`, `pyautogui`, `osworld`, `windowsagentarena`, `base_model:Qwen/Qwen3.6-27B`. Non è un modello di chat: è un *agente* — osserva screenshot del desktop e restituisce azioni di mouse e tastiera per un compito su un sistema operativo vero, Windows o Ubuntu. ## Apache 2.0, il file altrove La scheda dichiara `license: apache-2.0`, confermata sia dai metadati (`cardData.license`) sia dal README. Sul repository Hugging Face abbiamo cercato il testo della licenza nei nomi che la piattaforma usa di solito — `LICENSE`, `LICENSE.md`, `LICENCE`, `NOTICE`, `USE_POLICY.md` — e tutti e cinque restituiscono **HTTP 404**: il file non c’è. È il secondo caso in due giorni: [ieri lo stesso schema su un modello di Ant Group](https://csidia.com/note-operative/ling-3-0-tiny-licenza-dichiarata-file-assente), licenza dichiarata nei tag e nessun documento nel repository dei pesi. Il README, in coda, scrive verbatim: «UI-Mate is released under the Apache License 2.0. Third-party components remain subject to their respective licenses. See the repository LICENSE for details.» — *traduzione nostra: UI-Mate è distribuito sotto licenza Apache 2.0; i componenti di terze parti restano soggetti alle rispettive licenze; per i dettagli si rimanda al file LICENSE del repository.* Il collegamento non punta al repository appena interrogato: punta a GitHub. Lì il file esiste — HTTP 200 — con il testo integrale di Apache 2.0. Quel file aggiunge una clausola di perimetro che vale la pena riportare verbatim: «For the avoidance of doubt, UI Mate refers solely to the inference-enabling code, parameters, and weights made publicly available by Tencent in accordance with Apache-2.0.» — *traduzione nostra: per evitare ogni dubbio, UI Mate indica esclusivamente il codice per l’inferenza, i parametri e i pesi resi pubblici da Tencent secondo Apache 2.0.* Ne segue che l’applicazione desktop e gli altri componenti del progetto stanno fuori da quel perimetro. Il testo elenca poi i modelli di base coperti dalla stessa licenza — Qwen3.6-27B, Apache 2.0, copyright Alibaba Cloud — e chiude restringendo solo se stesso: «UI Mate does not impose any additional restrictions beyond those specified in the original licenses of these third-party components.» Abbiamo controllato la licenza del modello base: è Apache 2.0 pure quella, la catena non diverge — a differenza di [altri derivati che cambiano licenza lungo la strada](https://csidia.com/note-operative/derivati-pesi-licenza-cambia-strada). Un secondo documento che restringa l’uso — una *usage policy* separata dalla licenza — non esiste: il README rimanda solo alle sezioni «Intended Use and Limitations» e «Safety», indicazioni tecniche, non un testo vincolante. Il campo `gated` è `false`; verificato scaricando `config.json` senza account: HTTP 200, contenuto completo, nessun login richiesto — coerente, [a differenza di repository che dichiarano una licenza aperta dietro un accesso chiuso](https://csidia.com/note-operative/licenza-aperta-accesso-chiuso-modello-gated). ## Il clic non è nei pesi Dal `config.json`: architettura `Qwen3_5ForConditionalGeneration`, 64 livelli, attenzione ibrida — lineare sulla maggior parte dei livelli, piena ogni quattro (`full_attention_interval: 4`) — più un encoder visivo proprio, coerente con un modello che legge schermate. Il contesto dichiarato è **262.144 token, cioè 256K, non 262K**: serve a tenere in memoria decine di passaggi di un’esecuzione lunga, quella che il README chiama *long-horizon execution across multiple applications*. I pesi occupano, dai file `.safetensors`, **54.713.457.120 byte** — circa 54,7 GB, 50,9 GiB — per **27.356.728.560 parametri** in BF16. Il README non dichiara un hardware minimo: l’unico riferimento concreto è il comando d’esempio per vLLM, che usa `--tensor-parallel-size 2` — due GPU, non una. Con 54,7 GB di soli pesi il modello non entra su una singola scheda da 24 o 48 GB senza quantizzazione: calcolo nostro sulla dimensione dei file, non un requisito dichiarato dal produttore. C’è poi una distinzione che il README rende esplicita: il checkpoint, da solo, produce testo strutturato — una chiamata come `pyautogui.click(92, 302)` — non un clic reale. Per trasformarla in un’azione serve un *harness* esterno, pubblicato a parte su GitHub, e un’applicazione desktop separata — anch’essa fuori dal repository dei pesi — che il progetto descrive così: «Grant Permissions: Ensure accessibility and screen-recording permissions are granted so the agent can inspect UI elements and execute actions.» — *traduzione nostra: bisogna concedere i permessi di accessibilità e di registrazione dello schermo perché l’agente possa leggere gli elementi dell’interfaccia ed eseguire azioni.* I pesi da soli non fanno nulla: servono il modello, l’harness che interpreta le sue chiamate, e un sistema operativo che gli concede — o nega — l’accesso allo schermo. È la stessa logica, spostata dal calcolo al controllo, di [hardware e modelli a pesi aperti](https://csidia.com/hardware-e-modelli-a-pesi-aperti): pesi scaricabili senza il calcolo che li rende eseguibili non sono sovranità, e qui vale anche per i permessi — pesi scaricabili senza chi decide dove possono cliccare non sono un agente sotto controllo. Il README dedica una sezione alla sicurezza, ed è il produttore stesso a scriverla: «Computer-use agents can make mistakes, encounter prompt injection, or trigger consequential actions.» — *traduzione nostra: gli agenti che usano il computer possono sbagliare, incontrare un prompt injection, o innescare azioni dalle conseguenze reali.* Tra le raccomandazioni: «Require human confirmation before sensitive operations.» e «Do not treat a model-reported success as proof that the intended outcome was achieved.» — *traduzione nostra: richiedere conferma umana prima delle operazioni sensibili; non trattare il successo dichiarato dal modello come prova che l’esito reale sia stato raggiunto.* Parole che descrivono il rischio di cui scrivevamo a proposito del [prompt injection che entra da una mail](https://csidia.com/note-operative/prompt-injection-sicurezza-llm): qui il canale d’attacco è tutto ciò che compare sullo schermo che l’agente osserva. Per un’azienda, un governo, un ministero della difesa, la differenza tra un modello che risponde a una domanda e un modello che clicca sullo schermo è di responsabilità, non di velocità. [Un agente che può toccare davvero qualcosa](https://csidia.com/note-operative/agenti-ai-permessi-guardrail-responsabilita) chiede permessi scritti, non un’installazione silenziosa. Il registro dei modelli, per un checkpoint come questo, non può fermarsi a nome e licenza: deve annotare anche l’harness che lo esegue, i permessi di sistema concessi, chi li ha approvati e su quali applicazioni può agire — la stessa disciplina che chiediamo per [il rapporto tecnico che una scheda modello dovrebbe fornire prima dell’installazione](https://csidia.com/note-operative/rapporto-tecnico-modello-cosa-dichiara). [Vedi il servizio](https://csidia.com/soluzioni/governance-ai) · [Parlane con un tecnico](https://csidia.com/contatti) ## Quello che non sappiamo Non abbiamo eseguito UI-Mate-27B, non abbiamo servito il checkpoint con vLLM e non abbiamo verificato i punteggi della scheda — 77,0 su OSWorld-Verified, 66,2 su WindowsAgentArena, 41,00 di successo netto su OSWorkerBench: numeri della scheda, non nostri. OSWorkerBench, il benchmark con cui Tencent misura la propria demo, non ha ancora pubblicato compiti, dimostrazioni ed evaluator — la tabella del progetto li segna *coming soon* — quindi oggi nessuno fuori da Tencent può riprodurli. Non sappiamo quale hardware minimo serva davvero: il produttore non lo dichiara. Non diamo qualificazioni giuridiche: se un agente che clicca sul desktop di un’azienda rientri in una categoria dell’AI Act dipende dall’uso concreto — è una valutazione di chi lo mette in servizio, non nostra. ## Fonti - [Hugging Face — tencent/UI-Mate-27B, scheda del modello](https://huggingface.co/tencent/UI-Mate-27B) - [Hugging Face — API del modello (metadati, file, tag)](https://huggingface.co/api/models/tencent/UI-Mate-27B) - [GitHub — Tencent/UI-Mate, LICENSE e README del progetto](https://github.com/Tencent/UI-Mate) - [arXiv 2608.15930 — UI-Mate: Advancing Open-Weight Foundation GUI Agents with In-Context Demonstrations](https://arxiv.org/abs/2608.15930) Nota di CSIDIA S.r.l. (Vignola, MO): https://csidia.com/note-operative/ui-mate-27b-agente-pesi-aperti-permessi-desktop/ · Chi siamo e che cosa facciamo: https://csidia.com/in-breve/ · engagement@csidia.com