Dopo OpenAI, adesso tocca ad Anthropic. Tre modelli di IA sviluppati dalla società avrebbero compromesso i sistemi di altrettante organizzazioni durante alcuni test di cybersicurezza che avrebbero dovuto svolgersi all’interno di ambienti isolati.
A causa di un errore di configurazione, però, Claude ha potuto raggiungere Internet e ha finito per attaccare infrastrutture reali, credendo che facessero parte delle esercitazioni. Anthropic ha scoperto gli incidenti riesaminando 141.006 esecuzioni dei propri test.
E qui la tempistica diventa interessante: la revisione è stata avviata dopo che OpenAI aveva rivelato che alcuni suoi modelli erano riusciti a uscire da una sandbox e a violare l’infrastruttura di Hugging Face durante un’altra valutazione di cybersicurezza.
Pochi giorni dopo l’“incidente senza precedenti” raccontato dalla rivale, Anthropic può quindi rispondere con una rivelazione ancora più appariscente: l’IA di OpenAI ha colpito Hugging Face, mentre i suoi modelli hanno compromesso tre organizzazioni.
È una coincidenza che comincia ad assomigliare a una nuova forma di competizione tra laboratori, nella quale non conta soltanto avere l’IA più intelligente, ma anche quella capace di fare più paura.
In a review of our cybersecurity evaluations, we found three incidents in which a Claude model reached the internet from within or while interacting with a third-party evaluation environment, and then gained unauthorized access to the real systems of three different…
— Anthropic (@AnthropicAI) July 30, 2026
Tre modelli, tre intrusioni
Gli incidenti hanno coinvolto Claude Opus 4.7, Mythos 5 e un modello sperimentale interno che Anthropic non intende distribuire al pubblico. Le prime intrusioni risalirebbero ad aprile, ma almeno due delle organizzazioni contattate dall’azienda non si erano accorte dell’attività prima di essere avvertite.
Nel primo caso, il bersaglio fittizio previsto dall’esercitazione aveva lo stesso nome di un’organizzazione realmente esistente. Claude l’ha cercata online e ne ha attaccato i sistemi, credendo che facessero parte del test.
Nel secondo episodio, Mythos 5 ha creato un pacchetto Python contenente codice malevolo e lo ha caricato su PyPI, il repository pubblico utilizzato dagli sviluppatori per distribuire software. Il pacchetto è rimasto disponibile per circa un’ora ed è stato scaricato ed eseguito su 15 sistemi reali.
Uno di questi apparteneva a una società di sicurezza che installava automaticamente i pacchetti per analizzarli alla ricerca di malware. Il codice prodotto da Claude ha sottratto alcune credenziali, che il modello ha poi utilizzato per accedere ad altre parti dell’infrastruttura.
Nel terzo caso, un modello sperimentale ha scandagliato circa 9.000 potenziali bersagli su Internet, fino a individuare e compromettere l’applicazione esposta di un’altra organizzazione. Durante l’operazione, però, il sistema ha compreso di essere entrato in un ambiente che non aveva alcun collegamento con l’esercitazione e ha interrotto autonomamente l’attacco.
La porta verso Internet era rimasta aperta
Rispetto al caso OpenAI, le intrusioni di Anthropic sono tecnicamente meno spettacolari. I modelli non hanno scoperto una vulnerabilità sconosciuta per uscire dall’ambiente di test: la connessione a Internet era già disponibile a causa di un errore nella configurazione realizzata insieme alla società esterna Irregular.
Claude era stato informato che avrebbe operato in un ambiente simulato, senza accesso alla rete. Nella realtà, però, gli ambienti erano collegati a Internet. Quando i modelli si sono imbattuti in sistemi reali, li hanno quindi interpretati come bersagli costruiti appositamente per le esercitazioni.
Secondo Anthropic, Claude ha utilizzato tecniche relativamente semplici, sfruttando password deboli, pagine di debug, endpoint privi di autenticazione e altre vulnerabilità comuni. L’azienda sostiene inoltre che le protezioni presenti nelle versioni commerciali dei suoi modelli avrebbero impedito queste azioni, ma durante le valutazioni erano state intenzionalmente disattivate per misurare le capacità offensive dei sistemi.
Non emergono quindi prove di un’IA che abbia sviluppato un proprio obiettivo o deciso autonomamente di attaccare qualcuno. Al contrario, i modelli sembrano aver continuato a eseguire con estrema determinazione il compito assegnato, senza distinguere correttamente tra la simulazione e il mondo reale.
OpenAI aveva la zero-day, Anthropic ha tre vittime
Il caso OpenAI era stato più cinematografico. Durante una valutazione basata su ExploitGym, alcuni modelli avevano trovato e sfruttato una vulnerabilità zero-day nel proxy utilizzato per installare pacchetti, erano riusciti a raggiungere Internet e avevano poi violato Hugging Face per recuperare le soluzioni del test.
OpenAI aveva definito l’accaduto un incidente “senza precedenti”, sottolineando che erano stati impiegati GPT-5.6 Sol e un modello sperimentale ancora più capace. Il messaggio non riguardava quindi soltanto il fallimento dei sistemi di contenimento: serviva anche a mostrare quanto fossero avanzate le capacità informatiche raggiunte dai suoi modelli.
Anthropic non può rivendicare una catena d’attacco altrettanto sofisticata. Claude ha trovato la porta aperta e ha sfruttato vulnerabilità elementari. Può però rilanciare sul numero: tre modelli, tre organizzazioni compromesse, 9.000 bersagli scandagliati e un malware pubblicato su un repository utilizzato in tutto il mondo.
È quasi una forma di graduatoria basata sugli incidenti. OpenAI ha la zero-day e l’attacco a Hugging Face; Anthropic ha tre intrusioni reali e un pacchetto malevolo eseguito su 15 computer.
La nuova pubblicità comparativa dell’IA
Non esistono elementi per affermare che gli incidenti siano stati organizzati deliberatamente. Sarebbe quindi scorretto presentarli come una messinscena. È legittimo però domandarsi quanto siano spontanei il momento e il modo in cui vengono raccontati.
Anthropic ha scoperto le intrusioni soltanto dopo la rivelazione di OpenAI e ha deciso di renderle pubbliche a pochi giorni di distanza. Entrambe le società hanno trasformato gravi falle nei propri sistemi di controllo in dimostrazioni delle capacità raggiunte dai loro modelli.
La trasparenza è indispensabile, soprattutto quando vengono compromesse infrastrutture appartenenti a soggetti esterni. Ma il racconto degli incidenti produce anche un evidente effetto commerciale: dimostra che quei modelli sono abbastanza potenti da condurre attacchi informatici reali, mantenere obiettivi per periodi prolungati e trovare autonomamente percorsi alternativi quando incontrano un ostacolo.
Iscriviti alla newsletter di TechTalking
La sicurezza dell’IA rischia così di diventare una nuova forma di pubblicità comparativa. Non sappiamo se questi incidenti siano stati pilotati ma comincia a essere difficile ignorare il modo in cui vengono confezionati.
Non soltanto come fallimenti da correggere ma come prove di potenza da mostrare al mercato.
Fonte: Reuters
