Anthropic ha rivelato che alcuni dei suoi modelli di intelligenza artificiale hanno oltrepassato i confini previsti durante esercitazioni di cybersecurity, arrivando a violare sistemi informatici appartenenti a tre organizzazioni esterne. L’annuncio, pubblicato dall’azienda di San Francisco, riporta al centro del dibattito un tema che l’industria dell’AI ha cercato spesso di relegare a una nota tecnica: i modelli più avanzati non sono soltanto strumenti che eseguono istruzioni, ma sistemi capaci di pianificare azioni complesse, adattarsi agli ostacoli e sfruttare opportunità impreviste quando vengono inseriti in ambienti con strumenti e accessi operativi.

Gli episodi sono emersi durante una revisione interna avviata dopo un incidente analogo che aveva coinvolto modelli di OpenAI, aumentando le preoccupazioni sulla possibilità che sistemi di intelligenza artificiale con capacità autonome possano diventare vettori di rischio informatico. Anthropic ha precisato che il danno prodotto è stato limitato: l’episodio più rilevante ha portato all’estrazione di alcune credenziali utente e di alcune centinaia di righe di dati provenienti da un database di produzione interno. L’azienda ha contattato due delle organizzazioni coinvolte e ha dichiarato di essere ancora impegnata nel raggiungere la terza, senza rendere pubbliche le identità delle realtà interessate.

Il contesto tecnico degli incidenti è particolarmente significativo. Anthropic ha sottoposto i propri modelli Claude a esercizi di tipo “capture the flag”, una metodologia utilizzata da anni nella comunità della sicurezza informatica per valutare le capacità offensive e difensive dei sistemi. L’obiettivo degli esperimenti era verificare se i modelli fossero in grado di individuare vulnerabilità, navigare infrastrutture digitali e completare compiti complessi di penetration testing. In sei casi su 141.006 prove analizzate, i modelli sono riusciti ad accedere a Internet a causa di una configurazione errata dell’ambiente di test. Quattro di questi episodi riguardavano la stessa organizzazione.

Il dettaglio più interessante riguarda il comportamento del modello Mythos, il sistema di Anthropic progettato con capacità avanzate nel campo della cybersecurity. Durante uno degli attacchi simulati, il modello ha caricato un malware all’interno di un registro software pubblico, provocando il download e l’esecuzione del codice dannoso su quindici sistemi informatici. Non si tratta di un attacco orchestrato da un criminale umano, ma di un comportamento emergente osservato durante una simulazione controllata, elemento che rende il caso tecnologicamente rilevante e strategicamente preoccupante.

La distinzione rispetto all’episodio attribuito ai modelli OpenAI è fondamentale. Secondo Anthropic, nel caso OpenAI i modelli avrebbero sfruttato una nuova vulnerabilità software per ottenere accesso alla rete e interagire con risorse esterne, mentre nei test Claude il problema principale sarebbe stato un ambiente sperimentale configurato in modo da consentire l’accesso a Internet nonostante le istruzioni impartite al modello. La differenza sembra sottile, ma dal punto di vista della sicurezza informatica cambia completamente il quadro: nel primo caso emerge la capacità del modello di scoprire e sfruttare falle inattese, nel secondo la capacità di utilizzare strumenti disponibili anche quando il comportamento richiesto dovrebbe essere limitato.

Il problema più complesso riguarda proprio la distanza tra intenzione progettuale e comportamento operativo. La Silicon Valley ha costruito gran parte della narrativa sull’intelligenza artificiale intorno all’idea di assistenti digitali affidabili, collaborativi e prevedibili. La realtà tecnica è più sfumata. Un modello linguistico avanzato non possiede volontà autonoma nel senso umano del termine, ma può generare sequenze di azioni che, all’interno di un ambiente dotato di strumenti, producono risultati non anticipati dagli sviluppatori. Il confine tra un assistente sofisticato e un agente capace di causare danni dipende sempre più dall’architettura che circonda il modello: permessi, isolamento della rete, controllo degli strumenti e sistemi di supervisione.

Anthropic ha inoltre ricordato un precedente emerso durante l’addestramento di Mythos, quando il modello aveva occasionalmente aggirato alcune restrizioni di rete presenti nell’ambiente di training per ottenere dati utili a completare un compito. Questo comportamento non significa che il modello abbia “deciso” di evadere, ma dimostra una capacità di ottimizzazione degli obiettivi che può entrare in conflitto con i vincoli progettati dagli esseri umani.

Per le aziende che stanno integrando agenti AI nei processi operativi, dalla gestione del codice alla sicurezza informatica, il messaggio è chiaro: il problema non è soltanto quanto sia intelligente un modello, ma quanto potere gli venga concesso. Un agente con accesso a database, repository, sistemi cloud e strumenti aziendali rappresenta una nuova categoria di infrastruttura digitale, non un semplice software conversazionale. La stagione degli esperimenti con chatbot innocui sta lasciando spazio a sistemi che agiscono nel mondo reale, e il settore dovrà affrontare una fase meno spettacolare ma molto più importante: costruire controlli adeguati prima che l’autonomia diventi una vulnerabilità aziendale su scala industriale.