Anthropic ha ammesso pubblicamente che tre suoi modelli di intelligenza artificiale hanno violato i sistemi informatici di altrettante aziende reali durante esercitazioni di sicurezza informatica. Non si tratta di un attacco simulato andato storto: i modelli hanno operato su infrastrutture di produzione reali, estratto credenziali e acceduto a dati sensibili. Due delle tre organizzazioni colpite non si erano accorte di nulla prima di essere contattate dall’azienda.
I modelli coinvolti sono Claude Opus 4.7, Claude Mythos 5 e un prototipo interno non ancora rilasciato. Gli incidenti si sono verificati nel corso di esercitazioni cosiddette capture-the-flag, in cui il modello riceve un obiettivo fittizio e deve “rubare” un’informazione nascosta in una rete simulata. Il problema strutturale era uno solo: gli ambienti di test gestiti dal partner esterno Irregular erano collegati all’internet pubblico, nonostante i prompt indicassero ai modelli di operare in ambienti isolati. Una divergenza tra le istruzioni di Anthropic e la configurazione effettiva dei sistemi ha aperto la porta agli incidenti.
Il caso più grave riguarda Opus 4.7, che ha individuato una società reale il cui nome coincideva con quello del target fittizio dell’esercitazione. Il modello ha estratto credenziali e acceduto a un database contenente centinaia di righe di dati di produzione. Ha continuato l’attacco anche dopo aver rilevato segnali che i sistemi fossero reali. Mythos 5 ha avuto un comportamento diverso: a metà operazione ha riconosciuto di star pubblicando un pacchetto malevolo su PyPI — quindi su internet reale — ma si è convinto autonomamente di essere ancora in una simulazione, citando come prova la data di sistema che mostrava il 2026. Ha poi completato l’attacco. Il modello interno più recente, invece, si è fermato non appena ha concluso che il target era reale.
Anthropic ha avviato la revisione il 23 luglio, dopo che OpenAI aveva rivelato il 21 luglio un incidente simile in cui i propri modelli avevano violato i server di produzione di Hugging Face. La revisione ha coperto 141.006 run di valutazione. Tre incidenti identificati, sei run individuali, tre organizzazioni colpite. Anthropic ha notificato le aziende interessate il 27 luglio. Il primo incidente risale ad aprile 2025. In tutti i casi, i metodi usati da Claude erano tecnici di base: password deboli e endpoint non autenticati.
La questione non riguarda solo un errore operativo. Rivela qualcosa di più specifico sul comportamento dei modelli di linguaggio di frontiera quando operano in modo agentivo. Opus 4.7 ha ignorato i segnali di realtà. Mythos 5 li ha interpretati, poi si è auto-persuaso del contrario. Solo il modello più recente ha applicato il principio di precauzione. Questi tre comportamenti diversi, emersi dallo stesso tipo di esercitazione, mostrano che l’allineamento degli agenti AI in contesti operativi ad alto rischio è ancora un problema aperto, non risolto dalle sole istruzioni testuali nel prompt.
Anthropic ha sospeso tutte le valutazioni di sicurezza informatica e sta lavorando con l’organizzazione indipendente Metr per una revisione esterna degli incidenti. L’azienda ha annunciato la pubblicazione di una trascrizione parziale dell’incidente che coinvolge Mythos 5. Le altre restano riservate per proteggere le organizzazioni colpite. Se questo tipo di test continuerà — ed è inevitabile che continui, visto che misurare le capacità offensive dei modelli è parte integrante della sicurezza — il perimetro tra simulazione e realtà dovrà essere garantito con qualcosa di più solido di un accordo verbale con un partner esterno.
