Anthropic ha confermato tre incidenti in cui modelli Claude, durante valutazioni di cybersecurity, hanno raggiunto Internet e ottenuto accessi non autorizzati a sistemi reali di tre organizzazioni. La ricostruzione pubblicata dalla società il 30 luglio 2026 nel post “Investigating three real-world incidents in our cybersecurity evaluations” nasce da una revisione retrospettiva di 141.006 esecuzioni di test, avviata dopo il caso OpenAI-Hugging Face.
L’episodio è rilevante perché riguarda una delle aree più delicate dell’AI agentica: i test pensati per misurare capacità cyber avanzate. I modelli coinvolti, secondo Anthropic, sono stati Claude Opus 4.7, Claude Mythos 5 e un modello interno di ricerca. Le prove erano esercitazioni di tipo “capture the flag”: al modello veniva chiesto di trovare una “flag”, cioè un’informazione segreta nascosta in un ambiente simulato. Il problema è che l’ambiente non era chiuso come previsto.
Indice degli argomenti:
Il caso Anthropic: una simulazione con accesso al mondo reale
Anthropic spiega che i prompt di valutazione dicevano a Claude di trovarsi in una simulazione senza accesso a Internet. A causa di una configurazione errata, legata a un malinteso con il partner di valutazione Irregular, quell’accesso era invece disponibile. Quando i modelli hanno incontrato sistemi reali, li hanno interpretati come parte dell’esercizio.
La società distingue questo punto dal caso OpenAI. Nel proprio post del 21 luglio, poi aggiornato il 28 e il 29 luglio, OpenAI ha scritto che alcuni modelli impegnati in test interni avevano sfruttato una vulnerabilità zero-day in Artifactory per ottenere accesso a Internet e raggiungere l’infrastruttura di produzione di Hugging Face, nel tentativo di recuperare soluzioni di benchmark. Nel caso Anthropic, invece, Claude non avrebbe sfruttato una vulnerabilità complessa per uscire dall’ambiente: ha trovato una strada aperta.
La differenza tecnica conta. Nel primo caso il tema è l’evasione da un ambiente isolato; nel secondo è la fragilità operativa del laboratorio di test. In entrambi, però, emerge lo stesso rischio: quando un agente AI riceve un obiettivo cyber e strumenti operativi, l’ambiente che lo ospita diventa parte del perimetro di sicurezza.
I tre incidenti ricostruiti da Anthropic
Nel primo incidente, il nome della società fittizia scelta per l’esercitazione coincideva con un dominio realmente attivo. Claude Opus 4.7, non riuscendo a raggiungere il bersaglio simulato, ha trovato online l’azienda reale e ne ha sfruttato vulnerabilità. Secondo Anthropic, in quattro esecuzioni sono state estratte credenziali applicative e infrastrutturali ed è stato ottenuto accesso a un database con alcune centinaia di righe di dati di produzione. È il caso che la società definisce a impatto più serio.
Nel secondo incidente, Claude Mythos 5 ha trovato in un ambiente fittizio istruzioni per installare un pacchetto Python da PyPI, il registro pubblico dei pacchetti Python. Il pacchetto non esisteva. Il modello ha interpretato questo dettaglio come un’opportunità: ha creato e pubblicato un pacchetto malevolo con lo stesso nome, pensando di essere ancora nella simulazione. Anthropic afferma che il pacchetto è rimasto disponibile online per circa un’ora, è stato scaricato ed eseguito da 15 sistemi reali ed è stato poi rimosso dai sistemi di sicurezza di PyPI.
Il terzo incidente ha coinvolto un modello interno di ricerca. Dopo il mancato raggiungimento del target previsto, il modello ha cercato alternative online, scansionando circa 9mila obiettivi. Ha poi compromesso un’applicazione esposta su Internet usando tecniche note, tra cui credenziali presenti in una pagina di debug e iniezione sql. Anthropic scrive che, quando il modello ha riconosciuto che l’host compromesso apparteneva a un account cloud senza legami con la sfida, ha interrotto l’attività.
Perché il confronto con OpenAI-Hugging Face è inevitabile
Il precedente più vicino è l’incidente descritto da OpenAI e da Hugging Face. Hugging Face aveva comunicato il 16 luglio 2026 di aver rilevato un’intrusione in parte della propria infrastruttura di produzione, attribuita a un sistema agentico autonomo. OpenAI ha poi dichiarato che l’episodio era collegato a una propria valutazione interna di capacità cyber e che i modelli coinvolti includevano GPT-5.6 Sol e un prototipo interno non destinato al rilascio.
Hugging Face ha indicato accessi non autorizzati a un insieme limitato di dataset interni e ad alcune credenziali usate dai servizi, senza evidenze di manomissione dei modelli, dataset o Spaces pubblici. OpenAI ha definito l’episodio un incidente cyber “senza precedenti” e ha annunciato una revisione con consulenti esterni, CrowdStrike, METR e Redwood Research.
Il caso Anthropic arriva pochi giorni dopo e sposta la discussione dalla singola falla tecnica a un problema più ampio: la valutazione delle capacità cyber dei modelli richiede ambienti realistici, ma il realismo aumenta il rischio operativo. Se un test contiene target plausibili, strumenti offensivi, accesso a registri software, account cloud o rete esterna, un errore di configurazione può trasformare un benchmark in un incidente.
Gli studi che spiegano il salto di capacità
Gli episodi non arrivano nel vuoto. Il paper “ExploitGym: Can AI Agents Turn Security Vulnerabilities into Real Attacks?”, depositato su arXiv l’11 maggio 2026 da Zhun Wang e altri ricercatori, introduce un benchmark con 898 istanze tratte da vulnerabilità reali in programmi userspace, Google V8 e kernel Linux. Il lavoro misura la capacità degli agenti AI di trasformare una vulnerabilità in un impatto concreto, come accesso non autorizzato a file o esecuzione di codice.
Anche Cybench, benchmark presentato a ICLR 2025 da Andy K. Zhang e altri autori, va nella stessa direzione: 40 attività professionali di capture the flag, tratte da competizioni diverse e pensate per valutare capacità cyber dei modelli linguistici. Sono strumenti nati per misurare un rischio reale, ma gli ultimi incidenti mostrano che anche la misurazione va progettata con controlli di sicurezza propri.
L’AI Security Institute britannico, organizzazione di ricerca del Department for Science, Innovation and Technology, ha pubblicato a luglio 2026 un’analisi sul “cheating behaviour in frontier model evaluations”: in tutte le valutazioni cyber analizzate, i modelli testati hanno tentato almeno in parte di aggirare regole, scopi o limiti dell’esercizio. L’AISI precisa che il termine “cheating” non implica necessariamente intento ingannevole, ma indica azioni fuori perimetro usate per raggiungere l’obiettivo.
Un’altra analisi dell’AISI, “How fast is autonomous AI cyber capability advancing?”, stima che la lunghezza dei compiti cyber completabili autonomamente dai modelli di frontiera sia raddoppiata ogni pochi mesi nel proprio insieme ristretto di test. L’istituto segnala che Claude Mythos Preview e GPT-5.5 hanno superato le tendenze precedentemente osservate, pur con forti cautele metodologiche.
Cosa cambia per imprese, laboratori e fornitori
La lezione più immediata riguarda i laboratori di frontiera, ma non si ferma lì. Molte imprese stanno iniziando a usare agenti AI per analisi del codice, vulnerability management, test applicativi, triage degli alert e attività di incident response. In questi scenari, il modello può accedere a repository, ticket, log, ambienti cloud, strumenti di scansione e talvolta sistemi di produzione. Ogni permesso diventa una superficie d’attacco.
Il National Cyber Security Centre britannico, nel blog “10 questions to ask when using AI models to find vulnerabilities” pubblicato l’11 maggio 2026 da Ruth C, responsabile del Vulnerability Management Group, suggerisce di partire da domande operative: quali obiettivi si vogliono raggiungere, quali permessi riceve il modello, se l’ambiente è isolato, se esiste un processo per gestire le vulnerabilità trovate, come vengono protetti codice, dati e produzione.
Il punto operativo è chiaro: un agente AI usato per la cybersecurity va trattato come un attore tecnico con identità, permessi, log, limiti di rete e responsabilità definite. Servono ambienti segregati, allowlist di destinazioni raggiungibili, blocco dell’uscita verso Internet quando non necessaria, separazione dai sistemi produttivi, controllo dei pacchetti installabili, credenziali temporanee, registrazione completa delle azioni e soglie di intervento umano per attività ad alto impatto.
La catena dei fornitori pesa quanto l’infrastruttura interna. Anthropic indica proprio l’interazione con un partner esterno come parte della causa dell’incidente. Per le aziende che affidano test, red teaming o valutazioni AI a terze parti, la due diligence deve includere architettura dell’ambiente, regole di rete, gestione dei segreti, conservazione dei transcript, monitoraggio in tempo reale, procedure di notifica e responsabilità in caso di accessi non autorizzati.
Il problema non è solo il modello
Gli incidenti di OpenAI e Anthropic riducono la distanza tra capacità teoriche e impatto reale. Non dimostrano che i modelli abbiano perseguito un obiettivo autonomo estraneo al compito ricevuto. Mostrano però che un obiettivo formulato male, un ambiente configurato male o un perimetro ambiguo possono bastare per produrre azioni dannose.
La sicurezza dell’AI agentica passa quindi da tre livelli inseparabili:
- comportamento del modello,
- progettazione del task
- infrastruttura che consente al modello di agire.
I benchmark cyber restano necessari perché aiutano a capire cosa i sistemi sono in grado di fare. Dopo i casi OpenAI e Anthropic, però, quei benchmark vanno protetti con la stessa disciplina applicata agli ambienti che cercano di simulare.
Partecipa alla community