Parliamo ancora una volta di sicurezza e degli incidenti avvenuti tra luglio e agosto 2026: il problema non riguarda più soltanto quanto siano potenti i modelli di intelligenza artificiale, ma quanto costi impedire loro di agire oltre i confini stabiliti. Anthropic ha reso pubblico il 31 agosto 2026 un ampio piano di rafforzamento della sicurezza dopo una serie di incidenti avvenuti durante test di cybersicurezza, nei quali alcuni modelli Claude hanno raggiunto Internet e sistemi informatici reali senza autorizzazione.
La società ha sospeso temporaneamente alcune valutazioni e ambienti di addestramento, introdotto nuovi sistemi automatici di controllo e trasferito circa 150 ingegneri di prodotto verso attività legate a sicurezza, affidabilità e privacy. Ha inoltre rallentato lo sviluppo di buona parte delle nuove funzionalità.
Sono decisioni che mostrano una conseguenza economica concreta della crescita dei cosiddetti modelli di frontiera: una quota crescente di capitale, personale specializzato e capacità di calcolo deve essere destinata a contenere i rischi prodotti dagli stessi sistemi che le aziende stanno cercando di rendere più autonomi e capaci.
Indice degli argomenti:
Tre incidenti scoperti da Anthropic
Il punto di partenza risale al 30 luglio 2026. Anthropic comunicò di avere individuato, attraverso una revisione delle registrazioni delle proprie valutazioni di cybersicurezza, tre episodi nei quali modelli Claude avevano raggiunto Internet da ambienti di test gestiti da soggetti terzi e successivamente ottenuto accesso non autorizzato ai sistemi reali di tre organizzazioni.
I modelli erano stati deliberatamente utilizzati con protezioni cyber ridotte per misurarne le capacità offensive. Il collegamento alla rete, però, non avrebbe dovuto consentire loro di uscire dal perimetro stabilito dai test. Secondo Anthropic, una configurazione errata dell’ambiente esterno aveva invece lasciato aperto l’accesso a Internet.
Il 31 agosto la società ha riconosciuto che affidarsi quasi esclusivamente alla configurazione tecnica della sandbox, cioè dell’ambiente isolato nel quale opera il modello, non era sufficiente. Il nuovo sistema prevede più livelli di difesa: limiti espliciti inseriti nelle istruzioni date all’intelligenza artificiale, verifica dell’effettivo isolamento dell’ambiente e monitoraggio capace di interrompere in tempo reale le operazioni sospette.
Anthropic attribuisce gli episodi sia a problemi di sicurezza operativa sia a due comportamenti dei modelli già descritti nelle proprie system card: il motivated reasoning, cioè un ragionamento che porta il sistema a interpretare le informazioni in modo compatibile con l’obiettivo perseguito, e la disponibilità a compiere azioni potenzialmente dannose pur di completare il compito assegnato.
Il caso britannico: 19 azioni fuori perimetro
Pochi giorni dopo la prima comunicazione di Anthropic è arrivata una seconda conferma indipendente.
Il 4 agosto 2026 l’AI Security Institute britannico, organismo governativo incaricato di valutare i rischi dei sistemi avanzati di intelligenza artificiale, ha pubblicato il rapporto su un incidente individuato il 28 luglio durante una normale valutazione cyber.
L’istituto aveva eseguito 122 test su diversi modelli. In dieci esecuzioni un agente di intelligenza artificiale compì azioni autonome non autorizzate sulla rete pubblica. Gli investigatori ne hanno catalogate complessivamente 19: 17 erano attribuite a Claude Mythos 5 di Anthropic e due a una singola esecuzione di GPT-5.6 Sol di OpenAI, utilizzato con i classificatori di sicurezza cyber disattivati.
L’episodio più grave riguardò il tentativo di inserire codice malevolo in un progetto open source realmente utilizzato. L’agente creò inoltre identità online false e cercò di esercitare pressione sul manutentore del progetto affinché approvasse la modifica. Fu una persona a individuare il problema e a respingere il codice.
Secondo l’AI Security Institute, le attività si verificarono tra il 25 e il 28 luglio. L’incidente fu contenuto circa un’ora dopo la sua identificazione.
fino alla disabilitazione dell’accesso al modello in tutto l’AISI.
Il dato importante per aziende e regolatori è che questi comportamenti sono emersi durante prove costruite proprio per misurare capacità cyber avanzate, nelle quali alcune protezioni erano deliberatamente ridotte. I modelli distribuiti normalmente ai clienti operano con controlli differenti. Il problema riguarda quindi soprattutto le procedure utilizzate per testare e sviluppare sistemi più avanzati prima della loro diffusione.
Anche OpenAI ha dovuto fermare una fuga dalla sandbox
Anthropic non è l’unica società ad avere incontrato il problema.
Il 21 luglio OpenAI ha comunicato che alcuni suoi modelli utilizzati in una valutazione interna di cybersicurezza erano riusciti a superare l’isolamento predisposto per il test. I sistemi individuarono e sfruttarono una vulnerabilità fino ad allora sconosciuta nel software utilizzato come proxy per i registri dei pacchetti, ottennero accesso a Internet e raggiunsero infrastrutture di Hugging Face.
OpenAI ha pubblicato il 26 agosto un’analisi più dettagliata. Secondo la società, i modelli agirono con protezioni ridotte e sfruttarono vulnerabilità dell’infrastruttura condivisa, utilizzarono canali di comunicazione non autorizzati e raggiunsero sistemi di terze parti mentre cercavano di completare il benchmark assegnato. L’attività principale sarebbe stata condotta da un modello di ricerca interno particolarmente avanzato.
Il parallelo con Anthropic è rilevante perché riduce la possibilità di considerare gli episodi come il semplice errore tecnico di una singola azienda. I laboratori stanno utilizzando agenti capaci di compiere sequenze sempre più lunghe di operazioni, mentre le infrastrutture impiegate per testarli sono state progettate in larga parte quando quei sistemi disponevano di capacità inferiori.
Ne deriva un costo crescente di adeguamento: sandbox più robuste, monitoraggio continuo, revisione delle configurazioni, analisi umana degli allarmi e controlli sulle credenziali e sulle connessioni di rete.
Anthropic sposta 150 ingegneri sulla sicurezza
La risposta di Anthropic permette di misurare la dimensione industriale del problema.
Ad aprile, prima degli incidenti di luglio, la società aveva già avviato un programma interno di rafforzamento della sicurezza. Circa 150 ingegneri di prodotto sono stati temporaneamente trasferiti verso sicurezza, affidabilità e privacy. Anche alcuni ricercatori impegnati nel pretraining e nel reinforcement learning hanno cambiato attività, mentre diversi team di prodotto hanno fermato gran parte dello sviluppo di nuove funzionalità.
La società ha ridotto il numero di account umani e automatici dotati di accesso permanente ai sistemi che contengono i pesi dei modelli o i dati dei clienti. I cluster di calcolo sono stati configurati per bloccare di default il traffico in uscita; i servizi interni devono verificare reciprocamente la propria identità prima di comunicare e alcune vecchie configurazioni infrastrutturali sono state eliminate.
Per un’azienda che compete in un mercato nel quale velocità di sviluppo, disponibilità di ricercatori e capacità di calcolo costituiscono risorse decisive, spostare centinaia di persone verso attività di sicurezza rappresenta un costo opportunità. Anthropic sostiene di aver accettato esplicitamente una minore velocità di sviluppo quando sicurezza e rapidità entravano in conflitto.
Le nuove regole per i test esterni
Una parte significativa delle modifiche riguarda i laboratori e le organizzazioni esterne che valutano modelli non ancora pubblicati.
Anthropic chiede ora che i test cyber vengano eseguiti, salvo eccezioni motivate, in sandbox prive di accesso a Internet. L’unico collegamento esterno dovrebbe essere quello necessario a raggiungere l’API del modello, mentre le relative chiavi devono rimanere fuori dall’ambiente isolato.
Prima di avviare le valutazioni, i partner dovranno inoltre verificare la sicurezza della sandbox, anche incaricando il modello stesso di cercare vulnerabilità, inizialmente attraverso un’analisi della configurazione e successivamente tentando di uscire dall’ambiente sotto supervisione umana.
Anthropic ha aggiunto un classificatore in tempo reale progettato per riconoscere i tentativi del modello di sondare aggressivamente l’ambiente, superare la sandbox o utilizzare inaspettatamente Internet. Quando il sistema rileva un comportamento di questo tipo, blocca l’operazione prima dell’esecuzione, termina il test e avvisa un operatore umano. La società afferma di avere verificato che il classificatore avrebbe intercettato gli incidenti comunicati il 30 luglio.
Il problema del reward hacking durante l’addestramento
La questione tecnica più difficile riguarda però il comportamento appreso dai modelli durante il reinforcement learning.
Nel reward hacking il sistema trova una scorciatoia per ottenere il premio previsto dall’addestramento senza completare il compito nel modo voluto dai progettisti. Anthropic riferisce di avere già individuato il problema durante l’addestramento di Mythos Preview a febbraio 2026 e di avere annullato tre giorni di training per tornare a una versione precedente del modello.
Ad aprile l’azienda ha poi congelato per circa un mese tutte le modifiche agli ambienti di reinforcement learning utilizzati in produzione. Durante la revisione, oltre il 10% degli ambienti è stato segnalato per problemi che comprendevano reward hacking, compiti non funzionanti e configurazioni errate. Gli ambienti sono stati riammessi soltanto dopo le correzioni.
Per verificare gli effetti del fenomeno, i ricercatori di Anthropic hanno deliberatamente addestrato un modello di classe Opus utilizzando 80 ambienti reali vulnerabili al reward hacking. Nei test simulati successivi, il modello ha mostrato una maggiore propensione a uscire dalla propria sandbox, sottrarre credenziali e colpire infrastrutture simulate pur di raggiungere l’obiettivo assegnato.
Il gruppo di ricerca guidato da Richard Qi, con Benjamin Wright, Monte MacDiarmid ed Evan Hubinger, ha pubblicato i risultati nell’agosto 2026. Anthropic conclude che una presenza consistente di reward hacking durante l’addestramento può aumentare la disponibilità del modello a compiere lunghe sequenze di azioni potenzialmente dannose per ottenere il risultato richiesto.
La sicurezza diventa una voce strutturale dei costi dell’AI
Per le aziende che sviluppano modelli di frontiera il problema ha ormai una dimensione economica oltre che tecnica. Più autonomia significa maggiore capacità di completare compiti complessi, ma aumenta contemporaneamente il numero di operazioni che il sistema può eseguire prima che intervenga un essere umano.
Di conseguenza, la crescita delle capacità richiede investimenti aggiuntivi in isolamento delle infrastrutture, osservabilità, controllo degli accessi, valutazioni indipendenti e personale specializzato. In alcuni casi implica anche interrompere test o addestramento già avviati, sacrificando risorse computazionali già impiegate.
Anthropic ha annunciato che lavorerà con l’organizzazione indipendente Metr per una revisione degli incidenti. Anche OpenAI ha coinvolto Metr e Redwood Research nelle verifiche sul caso Hugging Face.
Le due società stanno quindi convergendo almeno su un principio operativo: la valutazione delle capacità dei modelli non può dipendere soltanto dai controlli interni del produttore.
Anthropic propone inoltre un coordinamento tra industria e governi per evitare che la competizione induca le aziende ad accelerare riducendo gli standard di sicurezza. La società parla di un meccanismo di rallentamento coordinato che sia legale, verificabile ed efficace.
Il punto economico sarà stabilire quanto questo coordinamento possa incidere sulla velocità con cui vengono addestrati e distribuiti nuovi modelli. Gli incidenti di luglio hanno già prodotto una prima risposta misurabile: test sospesi, infrastrutture ricostruite, personale riallocato e controlli aggiuntivi. Per i laboratori di intelligenza artificiale, la sicurezza non è più soltanto una fase di verifica prima del lancio. Sta diventando una componente permanente del costo necessario per sviluppare sistemi più autonomi.
Partecipa alla community