UI-Mate-27B: l’agente a pesi aperti che clicca per voi. Con quali permessi?
7 min di lettura
Il 14 agosto compare su Hugging Face il repository tencent/UI-Mate-27B: campo createdAt 2026-08-14T04:55:07Z, ultima modifica il 18 agosto. Lo abbiamo verificato di persona il 20 agosto, interrogando l’API pubblica e scaricando i file senza autenticarci. In quel momento: 229 download, 65 like, 22 file, di cui 12 shard .safetensors. Tag dichiarati: computer-use-agent, gui-agent, desktop-agent, pyautogui, osworld, windowsagentarena, base_model:Qwen/Qwen3.6-27B. Non è un modello di chat: è un agente — osserva screenshot del desktop e restituisce azioni di mouse e tastiera per un compito su un sistema operativo vero, Windows o Ubuntu.
Apache 2.0, il file altrove
La scheda dichiara license: apache-2.0, confermata sia dai metadati (cardData.license) sia dal README. Sul repository Hugging Face abbiamo cercato il testo della licenza nei nomi che la piattaforma usa di solito — LICENSE, LICENSE.md, LICENCE, NOTICE, USE_POLICY.md — e tutti e cinque restituiscono HTTP 404: il file non c’è. È il secondo caso in due giorni: ieri lo stesso schema su un modello di Ant Group, licenza dichiarata nei tag e nessun documento nel repository dei pesi. Il README, in coda, scrive verbatim: «UI-Mate is released under the Apache License 2.0. Third-party components remain subject to their respective licenses. See the repository LICENSE for details.» — traduzione nostra: UI-Mate è distribuito sotto licenza Apache 2.0; i componenti di terze parti restano soggetti alle rispettive licenze; per i dettagli si rimanda al file LICENSE del repository. Il collegamento non punta al repository appena interrogato: punta a GitHub. Lì il file esiste — HTTP 200 — con il testo integrale di Apache 2.0.
Quel file aggiunge una clausola di perimetro che vale la pena riportare verbatim: «For the avoidance of doubt, UI Mate refers solely to the inference-enabling code, parameters, and weights made publicly available by Tencent in accordance with Apache-2.0.» — traduzione nostra: per evitare ogni dubbio, UI Mate indica esclusivamente il codice per l’inferenza, i parametri e i pesi resi pubblici da Tencent secondo Apache 2.0. Ne segue che l’applicazione desktop e gli altri componenti del progetto stanno fuori da quel perimetro. Il testo elenca poi i modelli di base coperti dalla stessa licenza — Qwen3.6-27B, Apache 2.0, copyright Alibaba Cloud — e chiude restringendo solo se stesso: «UI Mate does not impose any additional restrictions beyond those specified in the original licenses of these third-party components.» Abbiamo controllato la licenza del modello base: è Apache 2.0 pure quella, la catena non diverge — a differenza di altri derivati che cambiano licenza lungo la strada.
Un secondo documento che restringa l’uso — una usage policy separata dalla licenza — non esiste: il README rimanda solo alle sezioni «Intended Use and Limitations» e «Safety», indicazioni tecniche, non un testo vincolante. Il campo gated è false; verificato scaricando config.json senza account: HTTP 200, contenuto completo, nessun login richiesto — coerente, a differenza di repository che dichiarano una licenza aperta dietro un accesso chiuso.
Il clic non è nei pesi
Dal config.json: architettura Qwen3_5ForConditionalGeneration, 64 livelli, attenzione ibrida — lineare sulla maggior parte dei livelli, piena ogni quattro (full_attention_interval: 4) — più un encoder visivo proprio, coerente con un modello che legge schermate. Il contesto dichiarato è 262.144 token, cioè 256K, non 262K: serve a tenere in memoria decine di passaggi di un’esecuzione lunga, quella che il README chiama long-horizon execution across multiple applications. I pesi occupano, dai file .safetensors, 54.713.457.120 byte — circa 54,7 GB, 50,9 GiB — per 27.356.728.560 parametri in BF16. Il README non dichiara un hardware minimo: l’unico riferimento concreto è il comando d’esempio per vLLM, che usa --tensor-parallel-size 2 — due GPU, non una. Con 54,7 GB di soli pesi il modello non entra su una singola scheda da 24 o 48 GB senza quantizzazione: calcolo nostro sulla dimensione dei file, non un requisito dichiarato dal produttore.
C’è poi una distinzione che il README rende esplicita: il checkpoint, da solo, produce testo strutturato — una chiamata come pyautogui.click(92, 302) — non un clic reale. Per trasformarla in un’azione serve un harness esterno, pubblicato a parte su GitHub, e un’applicazione desktop separata — anch’essa fuori dal repository dei pesi — che il progetto descrive così: «Grant Permissions: Ensure accessibility and screen-recording permissions are granted so the agent can inspect UI elements and execute actions.» — traduzione nostra: bisogna concedere i permessi di accessibilità e di registrazione dello schermo perché l’agente possa leggere gli elementi dell’interfaccia ed eseguire azioni. I pesi da soli non fanno nulla: servono il modello, l’harness che interpreta le sue chiamate, e un sistema operativo che gli concede — o nega — l’accesso allo schermo. È la stessa logica, spostata dal calcolo al controllo, di hardware e modelli a pesi aperti: pesi scaricabili senza il calcolo che li rende eseguibili non sono sovranità, e qui vale anche per i permessi — pesi scaricabili senza chi decide dove possono cliccare non sono un agente sotto controllo.
Il README dedica una sezione alla sicurezza, ed è il produttore stesso a scriverla: «Computer-use agents can make mistakes, encounter prompt injection, or trigger consequential actions.» — traduzione nostra: gli agenti che usano il computer possono sbagliare, incontrare un prompt injection, o innescare azioni dalle conseguenze reali. Tra le raccomandazioni: «Require human confirmation before sensitive operations.» e «Do not treat a model-reported success as proof that the intended outcome was achieved.» — traduzione nostra: richiedere conferma umana prima delle operazioni sensibili; non trattare il successo dichiarato dal modello come prova che l’esito reale sia stato raggiunto. Parole che descrivono il rischio di cui scrivevamo a proposito del prompt injection che entra da una mail: qui il canale d’attacco è tutto ciò che compare sullo schermo che l’agente osserva.
Per un’azienda, un governo, un ministero della difesa, la differenza tra un modello che risponde a una domanda e un modello che clicca sullo schermo è di responsabilità, non di velocità. Un agente che può toccare davvero qualcosa chiede permessi scritti, non un’installazione silenziosa. Il registro dei modelli, per un checkpoint come questo, non può fermarsi a nome e licenza: deve annotare anche l’harness che lo esegue, i permessi di sistema concessi, chi li ha approvati e su quali applicazioni può agire — la stessa disciplina che chiediamo per il rapporto tecnico che una scheda modello dovrebbe fornire prima dell’installazione.
Vedi il servizio · Parlane con un tecnico
Quello che non sappiamo
Non abbiamo eseguito UI-Mate-27B, non abbiamo servito il checkpoint con vLLM e non abbiamo verificato i punteggi della scheda — 77,0 su OSWorld-Verified, 66,2 su WindowsAgentArena, 41,00 di successo netto su OSWorkerBench: numeri della scheda, non nostri. OSWorkerBench, il benchmark con cui Tencent misura la propria demo, non ha ancora pubblicato compiti, dimostrazioni ed evaluator — la tabella del progetto li segna coming soon — quindi oggi nessuno fuori da Tencent può riprodurli. Non sappiamo quale hardware minimo serva davvero: il produttore non lo dichiara. Non diamo qualificazioni giuridiche: se un agente che clicca sul desktop di un’azienda rientri in una categoria dell’AI Act dipende dall’uso concreto — è una valutazione di chi lo mette in servizio, non nostra.
Come lo risolviamo noi
Adempiere: il registro dei modelli in produzione diventa un controllo che gira sui sistemi del cliente — per un agente come questo, non basta la riga con versione e licenza: serve l’harness che lo esegue, i permessi di sistema concessi (accessibilità, schermo), le applicazioni su cui può agire e chi ha firmato quell’autorizzazione — con la traccia datata da esibire a un’ispezione, a un cliente in gara o a un consiglio di amministrazione.
Decidere: lo stesso impianto tiene insieme modelli, dati, contratti, archivi e documenti in un modello operativo unico su cui agenti AI eseguono decisioni con un operatore al comando, per grandi imprese, difesa, pubblica amministrazione e sanità. Un agente che clicca da solo su un sistema che tocca dati o processi reali resta, in ogni caso, un agente con un operatore che ne approva le azioni sensibili — non un processo che gira senza che nessuno lo guardi. Sempre nelle due modalità dell’offerta — on-premise, su macchine autonome che non richiedono un’integrazione profonda nella rete del cliente, oppure cloud dedicato con VPN dedicata e data center in Italia — e sempre con gestione condivisa: non dovete già avere in casa chi amministra questi sistemi.
Dalla prima sessione, senza costi, esce il registro datato degli agenti in esercizio: per ciascuno, che permessi ha, chi glieli ha concessi e che cosa avete verificato — comprese le caselle che restano vuote. Resta a voi anche se non proseguiamo insieme.