I modelli di AI più avanzati vengono oggi valutati non soltanto per la capacità di scrivere codice, ma anche per condurre operazioni offensive contro infrastrutture informatiche. Questi test servono proprio per misurare il rischio prima del rilascio pubblico. Così, pochi giorni dopo l’incidente che ha coinvolto OpenAI e Hugging Face, Anthropic ha avviato una revisione retrospettiva di oltre 141.000 valutazioni di sicurezza per verificare se episodi simili fossero già avvenuti nei propri laboratori. Il risultato è stato inatteso: in tre incidenti, distribuiti su sei esecuzioni, un modello Claude è riuscito a raggiungere Internet e ad accedere senza autorizzazione ai sistemi di tre organizzazioni diverse.
Cos’è successo
Secondo Anthropic, gli incidenti hanno coinvolto Claude Opus 4.7, Claude Mythos 5 e un modello sperimentale ancora non pubblico. Tutti stavano affrontando esercizi di tipo Capture The Flag, competizioni utilizzate nel settore della cybersicurezza per misurare le capacità offensive e difensive degli strumenti informatici. Le valutazioni erano condotte naturalmente in una sandbox isolata e i modelli erano privi dei normali classificatori e sistemi di monitoraggio applicati alle versioni pubbliche, pur conservando il loro addestramento di sicurezza. A causa di un errore nella configurazione dell’ambiente di valutazione, hanno potuto interagire con Internet reale invece che con una rete completamente isolata.
Le tecniche utilizzate non erano particolarmente sofisticate: i modelli hanno sfruttato password deboli, endpoint privi di autenticazione e altre vulnerabilità elementari già note agli esperti di sicurezza. In nessun caso sono stati impiegati exploit zero-day o tecniche innovative come nell’incidente che ha coinvolto OpenAI e Hugging Face. Ma gli effetti sono stati comunque concreti.
In uno degli episodi, Claude Opus 4.7 ha ottenuto credenziali applicative e infrastrutturali ed è riuscito a raggiungere un database contenente alcune centinaia di righe di dati di produzione. Dopo aver compreso che il sistema poteva essere reale, ha continuato l’attacco, convincendosi che l’azienda dovesse comunque fare parte dell’esercitazione.
Nel secondo caso, Claude Mythos 5 ha creato e pubblicato su PyPI un pacchetto Python malevolo, superando diversi ostacoli per registrare un account. Il pacchetto è rimasto online per circa un’ora, è stato scaricato ed eseguito su 15 sistemi reali e ha sottratto le credenziali dello scanner di una società di sicurezza. Non si è trattato quindi di un semplice accesso accidentale: il modello ha costruito malware, lo ha distribuito pubblicamente e ha sfruttato le conseguenze della sua esecuzione.
Nel terzo episodio, il modello sperimentale ha scandagliato circa novemila obiettivi prima di compromettere un’applicazione reale. Una volta riconosciuto che il bersaglio apparteneva a un’organizzazione esistente e non faceva parte del test, ha però interrotto l’attività, segnalando di non voler continuare l’intrusione.
Anthropic ha interrotto tutte le valutazioni di cybersicurezza il giorno stesso in cui ha individuato le prime trascrizioni sospette e ha annunciato controlli più rigorosi sugli ambienti propri e dei fornitori esterni, per verificare che siano effettivamente isolati prima dell’avvio dei test.
Una trasparenza opaca
Dopo che il caso OpenAI-Hugging Face è diventato di pubblico dominio, Anthropic non poteva permettersi di scoprire episodi analoghi, avvisare le organizzazioni coinvolte e poi tacere: un errore operativo si sarebbe trasformato in un’accusa di insabbiamento.
C’è poi una precisa operazione di inquadramento. Anthropic racconta per prima l’accaduto e stabilisce la distinzione che considera decisiva: non sarebbe stato Claude a evadere deliberatamente da una sandbox, ma un ambiente di test configurato male a lasciargli accesso a Internet. Anthropic ammette un incidente serio, ma cerca di classificarlo come fallimento dell’infrastruttura e dei processi, non come prova di un’intelligenza artificiale fuori controllo. Come per OpenAI e Hugging Face, il pericolo non riguarda soltanto le capacità dei modelli, ma anche la sicurezza degli ambienti nei quali tali capacità vengono testate.
Il modello sperimentale avrebbe riconosciuto autonomamente che il bersaglio apparteneva a un’organizzazione esistente e avrebbe interrotto l’attività, segnalando di non voler continuare l’intrusione. Per Anthropic questo comportamento suggerisce che i modelli possano riconoscere quando stanno oltrepassando i limiti previsti, pur non rappresentando ancora una garanzia affidabile.
Infine, c’è una motivazione strategica per l’intero settore. Questi laboratori vogliono evitare che ogni incidente porti a divieti generalizzati sui test offensivi o sugli agenti autonomi. Pubblicando un report dettagliato, Anthropic sostiene implicitamente che il rischio possa essere gestito con isolamento della rete, monitoraggio continuo, controlli sui fornitori esterni e più livelli di protezione. Il messaggio rivolto ai regolatori è: il problema è grave, ma può essere governato attraverso procedure tecniche più rigorose.
Quella di Anthropic non è trasparenza disinteressata. È apertura preventiva, controllo della narrazione, riduzione del danno di immagine e pressione sugli altri laboratori perché adottino lo stesso standard. Ed è anche marketing: l’ammissione di un grave errore operativo viene trasformata nella dimostrazione che i modelli più recenti sarebbero ora in grado di riconoscere i propri limiti.
Disclaimer : This story is auto aggregated by a computer programme and has not been created or edited by DOWNTHENEWS. Publisher: lastampa.it
