Un modello non deve inventare un nuovo attacco per cambiare la sicurezza digitale. Può rendere più rapido cercare una porta aperta, capire un ambiente sconosciuto, adattare uno script e ordinare i dati rubati. È la conseguenza più concreta del rapporto pubblicato da Anthropic il 10 settembre, che ricostruisce attività individuate fra dicembre 2025 e agosto 2026. L’azienda divide i casi in sette aree: operazioni cyber, influenza, sorveglianza, truffe e frodi, ricerca biologica a doppio uso, sviluppo di armi convenzionali e distillazione illecita di modelli. Anthropic afferma di avere bloccato gli account coinvolti, rafforzato le difese e condiviso informazioni con autorità e partner quando appropriato. La cautela editoriale è essenziale. Sono casi selezionati dall’azienda che vende il servizio e gestisce i segnali tecnici; molti soggetti restano indicati con codici interni e alcune intenzioni non sono dimostrabili. Anthropic stessa dice che non sono abusi tipici, ma i più notevoli e nuovi. Il rapporto non fornisce quindi una percentuale di utenti dannosi né prova che ogni tentativo abbia raggiunto l’obiettivo.
Perché è importante
- Anthropic afferma di avere individuato e interrotto attività dannose in sette aree, dai cyberattacchi alla sorveglianza e alla ricerca biologica a doppio uso.
- Nei casi cyber l’AI non era soltanto un consulente: alcuni attori usavano framework con più agenti per ricognizione, sfruttamento, modifica del malware ed esfiltrazione.
- Il rapporto è prodotto dall’azienda che gestisce Claude e raccoglie casi eccezionali, non tipici; documenta segnali reali ma non misura quanto spesso l’abuso riesca nell’intero mercato.
Sette categorie di abuso, otto mesi di casi interrotti
Secondo Anthropic, la maggioranza delle operazioni cyber descritte usava l’AI per eseguire direttamente o coordinare parti della catena: ricognizione, accesso, elaborazione, sfruttamento ed esfiltrazione. Gli esseri umani sceglievano i bersagli e controllavano i dati sottratti, ma intervenivano meno nei singoli passaggi. È una forma di automazione del crimine, non autonomia senza un mandante. Un caso attribuito in modo compatibile con il gruppo russo Midnight Blizzard avrebbe automatizzato phishing, acquisizione dell’infrastruttura, persistenza e modifica del malware quando i prodotti di sicurezza lo riconoscevano. Un altro insieme associato a ShinyHunters cercava credenziali e chiavi API su larga scala. Anthropic precisa che le chiavi erano state rubate negli ambienti dei clienti, non attraverso una compromissione dei sistemi Anthropic. Questo sposta il controllo dai soli contenuti all’architettura. Bloccare una frase pericolosa non basta se un agente può aprire Internet, eseguire codice e usare una credenziale. La guida sugli agenti OpenAI che usarono pagine wiki come canale imprevisto arriva alla stessa regola: rete, lettura, scrittura e identità sono permessi differenti e devono restare osservabili.
Anthropic descrive cinque casi di ricercatori che avrebbero aggirato restrizioni geografiche o nascosto lo scopo dell’attività. In uno, Claude era stato coinvolto nella preparazione di una richiesta di finanziamento per ricerca gain-of-function sul virus chikungunya, destinata secondo l’azienda a un istituto militare. Lo stesso lavoro può sostenere vaccini e terapie oppure aumentare la pericolosità di un patogeno. Associated Press riporta che Anthropic non può assicurare che i modelli più recenti siano incapaci di aiutare ricerca biologica complessa. I casi descritti riguardavano modelli precedenti, salvo una campagna di distillazione, e l’azienda dice di avere introdotto restrizioni più forti nelle famiglie recenti. Questo non dimostra che sia stata prodotta un’arma biologica né chiarisce l’intenzione finale dei ricercatori. Il dilemma non si risolve cercando una singola parola vietata. Un progetto legittimo e uno pericoloso possono condividere tecniche, pubblicazioni e richieste apparentemente normali. Contano identità, istituzione, sequenza delle domande, strumenti collegati e revisione qualificata. I controlli devono riconoscere il percorso senza impedire automaticamente ricerca sanitaria lecita.
Cosa puoi farci concretamente
- Separare per ogni agente lettura, esecuzione, rete e credenziali; nessun account umano condiviso e nessuna chiave lunga dentro codice o applicazioni mobili.
- Attivare rotazione dei token, accessi con scadenza, limiti di spesa e allarmi per volume, geografia, orari e azioni insolite prima di aumentare l’autonomia.
- Provare il sistema con istruzioni malevole, credenziali esposte e obiettivi ambigui in un ambiente isolato; registrare che cosa blocca, che cosa esegue e quando chiede aiuto.
La lezione per imprese e sviluppatori: proteggere il sistema, non solo il modello
Per una piccola impresa il rischio più vicino non è la progettazione di un missile. È una chiave API lasciata in un repository, un account condiviso, un connettore con accesso eccessivo o un agente che può esportare dati senza soglia. Le operazioni del rapporto mostrano che credenziali e integrazioni rubate diventano moltiplicatori: un singolo accesso può aprire clienti, tenant e fornitori collegati. Il controllo minimo assegna un’identità tecnica a ogni agente, usa credenziali brevi, limita domini e volumi, conserva log e richiede approvazione per esportazioni, modifiche e invii. La checklist sugli account nominativi e gli agenti AI offre il punto di partenza. Va aggiunto un test di arresto: l’agente deve fermarsi quando il contesto contraddice l’obiettivo o quando la fonte dell’istruzione non è affidabile. Il rapporto Anthropic non dimostra che i modelli siano la causa unica delle campagne né che le difese abbiano eliminato il problema. Dimostra qualcosa di più pratico: gli attori stanno già usando l’AI per ridurre lavoro e competenze necessari in attività dannose. La risposta non è trattare ogni automazione come un nemico, ma rendere costosi l’accesso improprio, l’espansione dei privilegi e l’uscita silenziosa dei dati.
Il mercato sta passando dalla sperimentazione all’integrazione nei processi. In questa fase la differenza non viene più dalla capacità di ottenere una risposta sorprendente, ma dalla continuità con cui il sistema produce risultati controllabili su dati, utenti e situazioni differenti. Nel caso di “Claude usato per cyberattacchi e ricerca biologica: cosa prova il rapporto Anthropic”, questo significa leggere la novità oltre l’annuncio e capire quali parti del lavoro vengono realmente modificate. Il rischio principale è confondere la qualità linguistica con l’affidabilità operativa. Un output convincente può contenere omissioni o usare una fonte inadatta. Per questo valutazioni, permessi e supervisione devono essere progettati insieme alla funzione, prima che il volume renda gli errori difficili da osservare. Nei prossimi mesi conteranno soprattutto integrazione, trasparenza e costo per risultato. I modelli continueranno a cambiare, mentre processi, dati e responsabilità rimarranno asset dell’organizzazione. Le imprese che costruiscono oggi queste fondamenta potranno sostituire la tecnologia senza perdere il lavoro svolto. La notizia è quindi un indicatore di una trasformazione più ampia, che va seguita attraverso risultati e condizioni operative anziché con la sola successione degli annunci.
Il punto, oltre l’annuncio
Separare per ogni agente lettura, esecuzione, rete e credenziali; nessun account umano condiviso e nessuna chiave lunga dentro codice o applicazioni mobili. Questo primo passo serve a trasformare il tema in un perimetro verificabile: un responsabile, un input conosciuto, un risultato atteso e una misura precedente con cui confrontarsi. Senza questi elementi il progetto rimane una dimostrazione difficile da valutare. Attivare rotazione dei token, accessi con scadenza, limiti di spesa e allarmi per volume, geografia, orari e azioni insolite prima di aumentare l’autonomia. L’azione deve essere documentata insieme ai criteri di controllo, indicando quali casi possono procedere e quali devono fermarsi. È così che l’esperienza delle persone diventa una regola applicabile e migliorabile nel tempo. Provare il sistema con istruzioni malevole, credenziali esposte e obiettivi ambigui in un ambiente isolato; registrare che cosa blocca, che cosa esegue e quando chiede aiuto. Prima di estendere il metodo è utile raccogliere correzioni, tempi e costi per alcune settimane. Gli errori vanno raggruppati per causa: dati, istruzioni, strumenti o eccezioni del processo. Ogni categoria richiede un intervento diverso. Anthropic afferma di avere individuato e interrotto attività dannose in sette aree, dai cyberattacchi alla sorveglianza e alla ricerca biologica a doppio uso. È il punto da cui partire perché definisce l’effetto più immediato per professionisti e imprese. La sua importanza va misurata sul lavoro quotidiano: quante attività coinvolge, quali persone tocca e cosa accade quando il risultato non è corretto.
Nei casi cyber l’AI non era soltanto un consulente: alcuni attori usavano framework con più agenti per ricognizione, sfruttamento, modifica del malware ed esfiltrazione. Questo secondo elemento chiarisce perché non basta scegliere un prodotto. Servono un processo, dati affidabili e una responsabilità finale. L’adozione diventa sostenibile quando la tecnologia può essere osservata e corretta senza interrompere l’operatività. Il rapporto è prodotto dall’azienda che gestisce Claude e raccoglie casi eccezionali, non tipici; documenta segnali reali ma non misura quanto spesso l’abuso riesca nell’intero mercato. Il terzo punto indica la prospettiva di medio periodo. La decisione migliore non è necessariamente quella con più funzioni, ma quella che mantiene valore, controllo e possibilità di evoluzione quando cambiano modelli, prezzi o requisiti.
Fonti
Documenti, comunicati e pubblicazioni consultati per ricostruire dati e contesto.
