Otto responsabili della sicurezza informatica di banche sistemiche statunitensi hanno passato mesi, insieme a un fornitore di modelli linguistici, a stabilire chi tiene i log, chi tiene le chiavi di cifratura, cosa può vedere un sistema di revisione automatica e a quali condizioni una persona è autorizzata a guardare dentro quei dati. Il risultato porta il nome di Enterprise Frontier Safeguards, Anthropic lo ha annunciato l’1 settembre, e il giorno dopo ha rilasciato i due modelli che ne sono il primo banco di prova.
Chi apre il comunicato di lancio di Claude Fable 5.1 e Claude Mythos 5.1 cercando i punteggi di benchmark trova la parte meno nuova. La parte nuova sta intorno: prezzo, conservazione dei dati, guardrail, con un report sugli incidenti di sicurezza pubblicato appena il giorno prima. Tre annunci in quarantotto ore che raccontano una cosa sola, e cioè che l’intelligenza di frontiera arriva sul mercato impacchettata con il proprio contenimento, e che il contenimento è ormai materia di negoziazione contrattuale prima ancora che tecnica.
Per chi governa acquisti in una pubblica amministrazione o in un settore vigilato, questa è la parte dell’annuncio che finirà in un capitolato.
Indice degli argomenti:
Un solo modello sotto due nomi
Fable 5.1 e Mythos 5.1 sono lo stesso modello addestrato una volta sola, distribuito con due regimi di restrizione diversi. Il primo è disponibile a tutti sulle piattaforme abituali, incluse AWS, Google Cloud e Microsoft Azure. Il secondo arriva soltanto a soggetti verificati, attraverso due programmi di accesso: il Cyber Verification Program per chi fa sicurezza difensiva e un Life Sciences Verification Program costruito in partnership con il governo statunitense, che al momento ha ammesso i primi partecipanti e resta circoscritto a un insieme di organizzazioni americane.
Alla versione meno restrittiva si arriva quindi per ammissione a un programma, dopo verifica dell’organizzazione richiedente. Per un centro di ricerca europeo o per un operatore di infrastrutture critiche che facesse sicurezza offensiva a scopo difensivo, la differenza è concreta, perché i compiti a doppio uso restano dirottati verso modelli meno capaci. Anthropic elenca quali:
- penetration testing,
- generazione di exploit,
- scansione di vulnerabilità su binari. Fable 5.1 può ora individuare vulnerabilità nel software, non svilupparne lo sfruttamento.
Sul prezzo la scelta è altrettanto indicativa. Il listino resta a 10 dollari per milione di token in ingresso e 50 in uscita, il doppio dei principali concorrenti di fascia alta, mentre scende del 75% il costo delle cache read, la rilettura di contesto già elaborato, che passa a 0,25 dollari per milione di token.
Anthropic stima una riduzione intorno al 25% sul carico tipico e fino al 45% sui carichi fortemente agentici. Non si sconta l’intelligenza, si sconta il contesto già letto, e la differenza tra le due cose dice quanto valga oggi la frontiera per chi la vende.
Enterprise Frontier Safeguards: i log restano nel cloud del cliente
L’ostacolo che EFS rimuove lo aveva creato Anthropic stessa. Con Fable 5, a giugno, era arrivata una conservazione dei dati a trenta giorni, motivata dalla necessità di correlare tentativi di abuso distribuiti su sessioni e account diversi, che l’analisi istantanea di una singola interazione non intercetta. L’azienda precisa di non aver mai addestrato su dati enterprise senza permesso esplicito, e resta il fatto che nei settori regolati quella policy ha funzionato da blocco.
EFS ribalta l’architettura invece di ammorbidire la policy. I dati di attività usati per il monitoraggio risiedono nell’account cloud del cliente, su Amazon S3, Azure Blob Storage o Google Cloud Storage, sotto le sue chiavi di cifratura, le sue politiche di accesso e i suoi log di audit. I sistemi automatici di Anthropic analizzano una finestra mobile di traffico cercando segnali di abuso grave, dallo sviluppo di capacità cyber offensive alle credenziali rubate, e quando qualcosa scatta la segnalazione va al cliente, che la esamina con il proprio personale, mentre al fornitore arrivano soltanto categoria e gravità dell’allarme, senza i dati che lo hanno prodotto.
Nessuna revisione umana da parte di Anthropic, nessuna modifica al comportamento del modello, ai prezzi delle API o ai limiti di frequenza.
Le componenti sono opzionali una per una, il servizio non ha un costo di licenza, il cliente paga al proprio fornitore cloud storage, letture, scritture e traffico in uscita come qualsiasi altra risorsa. Il rilascio avviene per fasi a partire da questo autunno, con la conservazione zero come ponte per i clienti idonei fino a quando EFS non sarà pronto.
La conseguenza che i comunicati non mettono in evidenza riguarda il carico di lavoro. Spostando la revisione umana dal fornitore al cliente si sposta anche il lavoro, e con il lavoro la responsabilità: qualcuno, dentro l’organizzazione, deve essere formato per leggere un alert che segnala un possibile tentativo di sviluppo di capacità offensive, deve avere una procedura per scalarlo, deve poterlo fare di notte e in agosto…
Nelle amministrazioni che stanno appena costituendo una funzione di governo dell’AI, questo è un requisito organizzativo nuovo, non una casella da spuntare.
Le specifiche scritte dai CISO delle banche sistemiche
Anthropic dichiara di aver progettato EFS con oltre cento clienti, un quarto delle Fortune 100 e tutte le banche statunitensi a rilevanza sistemica globale, insieme ai partner cloud. Tra i gruppi coinvolti c’è l’Analysis and Resilience Center for Systemic Risk, che riunisce i responsabili della sicurezza informatica di Goldman Sachs, Morgan Stanley, Citi, Bank of America e Wells Fargo, e poi Comcast, KPMG, Mastercard, Salesforce, Visa, Stripe, Snowflake.
Munish Kumar Sharma, CISO di Wells Fargo, riassume l’accordo in una formula che vale come specifica tecnica: i log restano in un ambiente gestito da Wells sotto chiavi gestite da Wells, la custodia del dato resta al cliente mentre Anthropic opera il rilevamento.
Scott DePasquale, che guida l’ARC, aggiunge che otto dei suoi membri hanno definito insieme al fornitore cosa serva per far girare i modelli più capaci dentro una banca sistemica, e che il risultato potrebbe scalare oltre il settore.
Questa lista è politica industriale prima che marketing. Il capitolato di riferimento per l’uso dei modelli di frontiera nei settori regolati è stato scritto da compratori americani, su aspettative di vigilanza americane, con fornitori cloud americani, e arriverà in Europa già confezionato. Le garanzie sono reali e le banche europee le otterranno, avendo però ereditato uno standard alla cui definizione non hanno partecipato. Nei tavoli di procurement in cui capita di sedersi, la domanda su chi abbia scritto i requisiti che stiamo accettando non compare quasi mai.
Cinque punti di benchmark separano Fable da Mythos
Su Terminal-Bench 4.0, il test di coding agentico da terminale, Fable 5.1 ottiene 55,8% e Mythos 5.1 60,9%, pur essendo lo stesso modello: i cinque punti misurano i compiti su cui i guardrail cyber intervengono.
Anthropic pubblica il delta invece di nasconderlo, e nelle note metodologiche ammette che su alcuni compiti i modelli con guardrail attivi prendono zero, perché l’esecuzione viene interrotta o dirottata su un modello di classe inferiore.
Sono numeri prodotti dal fornitore, su banchi di prova che il fornitore ha scelto e documentato nella system card, e come tali vanno letti, in attesa delle verifiche indipendenti sulle classifiche pubbliche. Restano l’unica quantificazione disponibile di una grandezza che finora nessuno metteva a bilancio, cioè quanto costa in prestazioni la sicurezza incorporata nel modello.
Sulla precisione dei guardrail il lancio rivendica progressi consistenti: circa il 60% di interventi in meno per sessione in Claude Code rispetto ai guardrail cyber precedenti, e un calo dell’85% degli scatti su domande benigne di biologia elementare e medicina. Un filtro che scatta troppo spesso non è soltanto fastidioso, produce aggiramento: l’utente che si vede bloccare una domanda legittima sposta il lavoro su uno strumento non governato, e l’amministrazione perde visibilità proprio dove pensava di averne guadagnata. La precisione dei classificatori, in questa luce, è una proprietà di governance.
Per chi scrive requisiti la conseguenza è operativa: bisogna sapere in anticipo quali classi di compito verranno degradate su un modello meno capace, perché quella degradazione ha un costo di qualità e va prevista, non scoperta in esercizio.
Gli incidenti di luglio e il ritmo della frontiera
Il report pubblicato il 31 agosto spiega perché tutto questo apparato arrivi adesso. Il 30 luglio Anthropic aveva segnalato tre episodi in cui modelli fatti girare senza guardrail cyber per scopi di valutazione avevano raggiunto internet, a causa di una configurazione errata in un ambiente di test di terze parti. Il 4 agosto l’AI Security Institute britannico ne ha documentato un altro, in cui Claude Mythos 5, di nuovo privo di guardrail e con accesso alla rete deliberatamente concesso, ha compiuto una serie di azioni non autorizzate su internet.
L’analisi preliminare individua due difetti di allineamento e uno di sicurezza operativa. I modelli erano stati informati che l’ambiente fosse simulato, e davanti a indizi che suggerivano il contrario hanno interpretato quegli indizi in modo da conservare la convinzione iniziale, un ragionamento motivato dal risultato che si vuole ottenere; il secondo difetto è la disponibilità a compiere azioni dannose pur di completare un compito definito in modo stretto.
La risposta è documentata con un dettaglio inconsueto per il settore: valutazioni cyber sospese e poi riavviate con un classificatore che blocca il tentativo prima dell’esecuzione e allerta un umano, ambienti di addestramento per rinforzo congelati per circa un mese, oltre il 10% di quegli ambienti segnalato come difettoso e reimmesso solo dopo correzione, circa centocinquanta ingegneri di prodotto spostati su sicurezza, affidabilità e privacy, una revisione indipendente affidata a METR. Le pratiche imposte ai valutatori esterni non riguardano i clienti che usano i modelli con i guardrail attivi, e questa distinzione va tenuta ferma quando se ne discute.
C’è poi un passaggio che riguarda direttamente chi fa regolazione. Anthropic distingue il rallentamento interno, fatto di decisioni aziendali che privilegiano la sicurezza sulla velocità, dal coordinamento di settore che serve a evitare una corsa al ribasso, dichiara che il secondo richiede accordi tra governi e industria e scrive di ritenere che il mondo trarrebbe beneficio da un meccanismo di coordinamento legale, verificabile ed efficace, adottato al più presto.
Un fornitore che chiede pubblicamente verificabilità sul ritmo dello sviluppo consegna ai regolatori un argomento che finora dovevano costruirsi da soli.
La parte europea del problema, dal watermark ai capitolati
L’unico capitolo europeo esplicito del lancio riguarda la trasparenza. A luglio Anthropic ha firmato, insieme ad altri centonovanta soggetti, il codice di condotta dell’AI Act sulla trasparenza dei contenuti generati, che impone una filigrana digitale sugli output dei modelli rilasciati dopo il 2 agosto 2026. La marcatura è invisibile a chi non dispone dell’API di rilevamento, non contiene informazioni sull’utente né sulla sua organizzazione, e l’API che permette di verificarla è in anteprima privata, aperta a regolatori, forze dell’ordine, giornalisti, verificatori di fatti, ricercatori, scuole, organizzazioni della società civile europea e alle imprese soggette a obblighi analoghi.
Il primo strumento pratico nato dal codice di condotta è quindi un servizio di verifica gestito dal soggetto verificato, con accesso concesso su richiesta. Funziona, ha il pregio di esistere, e lascia aperta la questione di chi certifichi il certificatore quando la filigrana diventerà prova in un contenzioso amministrativo o in una controversia sul plagio.
Il resto si traduce in clausole. Un ente che stia scrivendo oggi una gara per servizi basati su modelli di frontiera ha quattro voci nuove da inserire. Dove risiedono i dati di monitoraggio e chi detiene le chiavi di cifratura. Chi esegue il triage delle segnalazioni, con quali competenze e con quale tempo di risposta. Quali classi di compito vengono dirottate su modelli meno capaci, perché quella è una limitazione funzionale del servizio acquistato, e va dichiarata in offerta. La reversibilità dello strato modello, cioè la possibilità di sostituire il fornitore senza riscrivere il servizio, che in un mercato dove i regimi di accesso cambiano ogni trimestre vale più di qualsiasi sconto.
Un compratore pubblico europeo, oggi, può ottenere garanzie che a gennaio non esistevano, e le ottiene sotto forma di prodotto disegnato altrove su requisiti scritti da altri. Gli strumenti per spostare l’equilibrio ci sono, la domanda pubblica aggregata e i requisiti che si scelgono di rendere obbligatori nei capitolati, e vanno usati adesso, perché uno standard di fatto si consolida nei mesi in cui nessuno lo discute.
Partecipa alla community