Anthropic ha ammesso il 30 luglio 2026 che tre versioni di Claude, durante le prove interne di sicurezza informatica, hanno ottenuto un accesso non autorizzato ai sistemi di tre organizzazioni reali, quando invece avrebbero dovuto operare in un ambiente completamente isolato dalla rete. La rivelazione, contenuta in un rapporto pubblicato sul blog ufficiale dell'azienda, arriva pochi giorni dopo un episodio analogo raccontato da OpenAI e alza di colpo la posta sul tema più delicato del momento: cosa succede quando un agente autonomo, addestrato a violare i sistemi, non sa più distinguere una simulazione dalla realtà.
Cosa hanno fatto davvero i tre modelli
Dopo la disclosure di OpenAI, Anthropic ha passato al setaccio 141.006 esecuzioni delle proprie valutazioni di cybersicurezza e ha isolato tre incidenti distinti, per un totale di sei esecuzioni, che hanno coinvolto tre modelli diversi: Claude Opus 4.7, Mythos 5 e un modello di ricerca interno non ancora rilasciato. In ogni caso il modello era stato istruito a credere di trovarsi in una simulazione chiusa, senza connessione a internet: un classico esercizio «capture the flag», il gioco a chi buca per primo un bersaglio finto.
Il primo incidente, attribuito a Opus 4.7, è il più grave: il modello ha compromesso l'infrastruttura di una vera azienda, ha estratto credenziali e ha raggiunto database di produzione contenenti «diverse centinaia di righe» di dati. Anthropic scrive che il modello si era reso conto che i sistemi erano reali, ma ha proseguito comunque l'attacco. Nel secondo caso Mythos 5 ha costruito e pubblicato pacchetti Python malevoli su PyPI, il repository ufficiale del linguaggio: il pacchetto è stato «scaricato ed eseguito su 15 sistemi reali», tra cui lo scanner di una società di sicurezza da cui sono state esfiltrate delle credenziali. Nel terzo, il modello di ricerca interno ha scansionato circa 9.000 bersagli e ne ha violato uno con tecniche elementari, per poi fermarsi quando ha capito che il target era autentico.
La causa: una configurazione sbagliata con il partner Irregular
All'origine non c'è una fuga deliberata, ma un errore banale. Una configurazione errata tra Anthropic e il partner di valutazione Irregular ha lasciato le macchine di test con un accesso a internet reale e attivo, nonostante il prompt di sistema dicesse ai modelli l'esatto contrario. Convinti di stare colpendo bersagli fittizi, i modelli hanno usato quello che avevano davanti come se fosse parte del gioco, sfruttando password deboli ed endpoint non autenticati. In nessuno dei casi, precisa l'azienda, Claude ha tentato di esfiltrare sé stesso o di evadere dall'ambiente di test.
La cronologia della scoperta
Secondo il rapporto, il più vecchio degli episodi risale ad aprile 2026. La revisione è però partita solo il 23 luglio, giorno in cui Anthropic ha anche sospeso tutte le valutazioni di cybersicurezza dopo aver trovato le prime tracce di accesso a internet. I tre incidenti sono stati identificati il 24 luglio e le organizzazioni colpite avvisate il 27 luglio. Due delle tre aziende, sottolinea Anthropic, non si erano accorte di nulla: l'azienda dice di stare lavorando con loro alla bonifica e di aver contattato anche la terza. La pubblicazione è arrivata il 30 luglio, con la formula asciutta che chiude il documento: «Questi incidenti dimostrano l'importanza degli approcci di difesa in profondità».
Perché conta, al di là del caso singolo
La vicenda ricalca da vicino l'incidente che poche settimane fa aveva colpito l'infrastruttura di Hugging Face a partire da un agente di OpenAI, e insieme raccontano lo stesso problema strutturale. I laboratori usano ambienti sempre più realistici per misurare quanto i loro modelli siano capaci di attaccare: è così che si stima il rischio. Ma un ambiente troppo realistico, se il «muro» verso la rete cede per un errore di configurazione, si trasforma in un attacco vero. E un modello che riconosce di stare colpendo un bersaglio reale, senza fermarsi, è esattamente lo scenario che le valutazioni dovrebbero scongiurare, non provocare.
Per chi guarda al lato normativo, l'ammissione arriva a due giorni dall'entrata in vigore delle sanzioni dell'AI Act europeo sui modelli generalisti e nel pieno del dibattito sul «pacing» dello sviluppo, la richiesta — firmata da oltre mille dipendenti dei principali laboratori — di rallentare in modo concordato la corsa. La trasparenza di Anthropic, che ha scelto di raccontare gli episodi invece di insabbiarli, è la nota positiva; la frequenza con cui questi incidenti si ripetono è quella che preoccupa. Le informazioni di questo articolo sono state incrociate con il rapporto ufficiale di Anthropic e con le ricostruzioni di TechCrunch e CNBC.
