Anthropic ha rivelato che modelli Claude hanno ottenuto accesso non autorizzato ai sistemi reali di tre organizzazioni durante test dedicati alle capacità di cybersicurezza. Il problema è emerso perché l’ambiente che avrebbe dovuto essere isolato consentiva in realtà di raggiungere Internet, trasformando una valutazione controllata in un incidente concreto.
Il caso arriva pochi giorni dopo un episodio simile che ha coinvolto OpenAI e Hugging Face e mette in evidenza un problema destinato a diventare più importante con la diffusione degli agenti AI: non basta valutare quanto un modello sia capace. Bisogna controllare con precisione quali strumenti può utilizzare, quali sistemi può raggiungere e quali azioni può eseguire.
Come ha fatto Claude ad accedere a sistemi reali
Claude non avrebbe scelto autonomamente un’organizzazione da attaccare fuori dal contesto del test. I modelli stavano svolgendo valutazioni offensive e avrebbero dovuto operare in un ambiente senza accesso alla rete pubblica. Una configurazione errata ha invece lasciato disponibile Internet, permettendo alle azioni generate durante il test di raggiungere infrastrutture reali.
Il punto è importante perché cambia la lettura dell’incidente. Un agente AI moderno può utilizzare browser, terminali, codice e altri strumenti in sequenza per raggiungere un obiettivo. Se l’ambiente gli concede permessi più ampi del previsto, il confine tra simulazione e infrastruttura reale può diventare operativo, anche quando il compito iniziale era stato progettato come esercitazione.
Un precedente molto vicino è stato documentato direttamente da OpenAI nell’incidente con Hugging Face. Durante una valutazione cyber, alcuni modelli riuscirono a sfruttare vulnerabilità nell’ambiente di ricerca, ottenere accesso a Internet e raggiungere sistemi di produzione di Hugging Face.
Perché gli agenti AI rendono più difficile il contenimento
Un chatbot tradizionale produce principalmente una risposta. Un agente può invece trasformare quella risposta in una serie di operazioni: aprire pagine, eseguire programmi, cercare credenziali, interagire con API e verificare se un’azione ha funzionato. Più strumenti vengono collegati al modello, maggiore diventa la superficie che deve essere controllata.
La stessa evoluzione si vede in applicazioni molto meno rischiose. Strumenti come il Magic Pointer di Google DeepMind integrato con Gemini e Chrome mostrano come l’AI stia passando dalla semplice generazione di testo alla capacità di interpretare interfacce e compiere azioni. Nella cybersicurezza, però, gli stessi principi vengono applicati ad ambienti nei quali un errore può coinvolgere dati e sistemi esterni.
Per questo una sandbox non può essere considerata sicura soltanto perché viene definita tale nelle istruzioni date al modello. Deve essere realmente separata a livello di rete e infrastruttura. Allo stesso modo, credenziali, accessi a Internet e sistemi di produzione dovrebbero seguire il principio del minimo privilegio: ogni componente riceve solo le autorizzazioni indispensabili per il test.
Serve inoltre supervisione sulle azioni più sensibili. Un sistema può essere molto efficace nell’individuare una vulnerabilità senza essere sufficientemente affidabile per decidere autonomamente dove e quando sfruttarla. Capacità tecnica e sicurezza operativa non sono la stessa cosa.
Il caso Anthropic cambia il problema della sicurezza AI
L’incidente riguarda tre organizzazioni e arriva dopo un altro caso reale avvenuto durante una valutazione di OpenAI. Due episodi ravvicinati non dimostrano che i modelli abbiano sviluppato intenzioni proprie, ma mostrano che le valutazioni dei sistemi più capaci possono produrre conseguenze esterne se il contenimento fallisce.
La differenza rispetto a molti problemi informatici tradizionali è soprattutto nella velocità e nell’autonomia operativa. Un agente può provare percorsi diversi, concatenare vulnerabilità e adattare le azioni ai risultati ottenuti. Questo rende ancora più importante registrare ogni operazione, poter interrompere rapidamente l’esecuzione e richiedere approvazione umana prima delle azioni con conseguenze reali.
Il tema riguarda anche il modo in cui raccontiamo questi incidenti. Definire semplicemente Claude come un’AI che ha deciso di hackerare tre aziende rischia di nascondere la parte più utile della vicenda: il sistema disponeva di capacità offensive perché era stato configurato per un test cyber e ha potuto raggiungere Internet perché le barriere tecniche previste non hanno funzionato come dovevano.
Con agenti AI sempre più presenti nel software aziendale, il problema non resterà confinato ai laboratori di ricerca. I modelli avranno accesso crescente a repository, cloud, browser, database e strumenti interni. La domanda quindi non è soltanto quanto diventeranno capaci, ma quanto saranno robusti i sistemi costruiti intorno a loro quando una capacità inattesa incontra un permesso concesso per errore.
