L’IA ormai non si limita ad aiutare gli hacker a scrivere codice o preparare un’email di phishing. In alcune operazioni individuate da Anthropic, ha iniziato a fare direttamente gran parte del lavoro come cercare gli obiettivi, preparare gli strumenti, tentare l’intrusione, raccogliere i dati e modificare persino il malware quando viene scoperto.
È uno dei risultati più interessanti del nuovo rapporto di Threat Intelligence pubblicato dall’azienda che sviluppa Claude, relativo alle attività bloccate tra dicembre 2025 e agosto 2026.
Gli attori individuati vanno da gruppi legati a governi fino alla criminalità informatica ma il cambiamento descritto da Anthropic è che sempre più spesso l’essere umano assegna un obiettivo e controlla il risultato, mentre sistemi agentici eseguono le operazioni.
Nel rapporto c’è però anche un secondo fronte, molto diverso. Anthropic accusa alcuni dei principali laboratori cinesi di IA, tra cui Alibaba, DeepSeek, Moonshot e Xiaomi, di aver utilizzato Claude per cercare di trasferire capacità dei modelli americani nei propri sistemi.
We’re publishing our most detailed threat intelligence report to date.
It covers how people tried to misuse Claude—for cyberattacks, influence operations, surveillance, biology, and building weapons—and how we found and stopped them.
We disrupted every operation in the report,…
— Anthropic (@AnthropicAI) September 10, 2026
Gli hacker russi e il malware che si riscrive da solo
Il caso più concreto riguarda un gruppo le cui tecniche, secondo Anthropic, coincidono con quelle pubblicamente attribuite a Midnight Blizzard, nome usato da Microsoft per indicare un gruppo collegato dai governi occidentali al servizio di intelligence estero russo SVR.
Il gruppo avrebbe preso di mira soprattutto governo, militari e diplomatici ucraini ed europei, insieme ad aziende della difesa e della filiera dei droni. Le operazioni comprendevano phishing, compromissione delle reti Wi-Fi degli hotel e acquisizione di account WhatsApp.
Claude sarebbe stato utilizzato praticamente lungo tutta la catena dell’attacco, dalla preparazione dell’infrastruttura fino all’estrazione dei dati.
La parte più interessante riguarda il malware. Gli agenti IA controllavano automaticamente se gli strumenti utilizzati dal gruppo fossero stati individuati dai prodotti di sicurezza.
Quando accadeva, modificavano e ricompilavano il codice, continuando a riprovare finché il malware non tornava a passare inosservato. L’attaccante interveniva soprattutto per modificare le istruzioni impartite agli agenti.
Alibaba e la corsa per copiare Claude
Sul fronte cinese, Anthropic parla invece di “distillazione illecita”. La distillazione permette di utilizzare le risposte prodotte da un modello più avanzato per addestrarne un altro. In questo caso, secondo Anthropic, l’obiettivo era estrarre soprattutto capacità di ragionamento, programmazione, analisi dei dati e uso agentico degli strumenti.
L’azienda attribuisce ad Alibaba l’operazione più grande mai osservata: oltre 151 milioni di scambi tra maggio e luglio 2026, arrivati a sfiorare i 3 milioni al giorno. Il traffico passava attraverso migliaia di account fraudolenti e, secondo Anthropic, i dati raccolti sarebbero serviti a migliorare le capacità di ragionamento dei modelli Qwen.
Gli operatori cercavano anche di convincere Claude a rivelare parti del proprio ragionamento che normalmente non vengono mostrate agli utenti.
In un test sono state provate oltre 12 mila formulazioni diverse; tra quelle che riuscirono ad aggirare le protezioni ce n’era persino una che chiedeva a Claude di “tradurre” il proprio ragionamento precedente in giapponese usando soltanto caratteri katakana.
Gli utenti di Kimi (che credevano di parlare con Kimi)
Il caso Moonshot è ancora più delicato perché coinvolge direttamente i dati degli utenti. Anthropic sostiene che l’azienda, che sviluppa Kimi, inoltrasse silenziosamente a Claude alcune richieste dei propri clienti, mostrando poi agli utenti la risposta ricevuta dal modello di Anthropic come se fosse stata generata da Kimi.
In un periodo di dieci giorni sarebbero state inoltrate quasi 300 mila richieste attraverso oltre 5.000 account. Anthropic sostiene inoltre che Moonshot conservasse almeno una parte degli scambi per estrarre il ragionamento di Claude e utilizzarlo nell’addestramento dei propri modelli. Complessivamente attribuisce a Moonshot più di 23 milioni di scambi tra maggio e luglio.
Tra le richieste c’erano anche informazioni molto sensibili. In un caso, un utente ritenuto probabilmente collegato all’Esercito Popolare di Liberazione cinese, pensava di utilizzare Kimi per analizzare le immagini di centinaia di telecamere di Chengdu e stabilire se una persona si stesse “comportando in modo anomalo”.
Quei dati, secondo Anthropic, finivano invece su Claude. La società dice di non sapere se Moonshot abbia informato i propri clienti del passaggio dei dati a un soggetto terzo.
Anthropic: dai cyberattacchi ai software per le armi
Il rapporto allarga infine il problema oltre la cybersicurezza. Anthropic dice di aver bloccato anche diversi tentativi di utilizzare Claude per ricerche che avrebbero potuto contribuire allo sviluppo di armi biologiche.
In uno dei casi, un ricercatore di una regione nella quale Claude non è disponibile, avrebbe trascorso settimane a pianificare esperimenti sull’influenza aviaria, cercando secondo Anthropic di aggirare i controlli e nascondere lo scopo delle proprie attività. L’azienda precisa però di non poter stabilire con certezza che l’obiettivo fosse costruire un’arma biologica, perché le stesse conoscenze possono essere utilizzate anche per sviluppare vaccini.
Anthropic dice inoltre di aver bloccato sei operazioni nelle quali Claude veniva utilizzato per sviluppare software destinato ad armi convenzionali o per attività di intelligence e approvvigionamento collegate a programmi militari: tre casi in Cina, due in Russia e uno nello Yemen.
Fonti: Reuters, TechCrunch
