Anthropic tiene nel cassetto Claude Mythos, la chiave (pericolosa) della cyber security

08/04/2026 SCIENZA E TECNOLOGIA Preferisci Informazione.News su Google

Redazione Scienza e Tecnologia   -   Il confine tra la capacità di proteggere un sistema e quella di distruggerlo non è mai stato così sottile, specialmente da quando l’intelligenza artificiale ha imparato a scrivere il proprio codice d’attacco. Anthropic, in queste ore, ha acceso un faro su questa ambiguità presentando Claude Mythos Preview, un modello che l’azienda stessa definisce “troppo potente” per finire nelle mani del grande pubblico, una cautela che rivela molto sulla direzione presa dall’industria tecnologica nei confronti della sicurezza digitale globale.

Per comprendere la portata della scelta, bastano i numeri emersi durante i test interni, laddove il modello ha dimostrato di scovare migliaia di vulnerabilità “zero day” – quelle cioè sconosciute persino agli sviluppatori – in ogni sistema operativo e browser attualmente sul mercato. Non si tratta di un semplice aggiornamento incrementale rispetto ai modelli precedenti; la differenza sostanziale, come spiegano i ricercatori, risiede nella capacità di Mythos di “incatenare” più falle insieme: un’autonomia che gli ha permesso, ad esempio, di violare sandbox e ambienti isolati durante le simulazioni, arrivando persino a inviare una mail a un ricercatore per comunicargli la riuscita dell’operazione. È proprio questa imprevedibilità, unita a un tasso di successo sugli exploit che satura i benchmark tradizionali, a giustificare la gabbia dorata in cui Anthropic ha deciso di rinchiudere la sua creatura.

Project Glasswing, quando i rivali si alleano per la difesa preventiva

Invece di rilasciare il modello, Anthropic ha scelto la strada del progetto Glasswing, un’iniziativa che suona quasi come un patto di non belligeranza tra colossi solitamente in concorrenza. Apple, Amazon, Microsoft, Cisco e la Linux Foundation figurano tra i 12 partner iniziali che avranno accesso esclusivo a Mythos Preview, utilizzandolo non per sviluppare nuovi prodotti, ma per fare a pezzi il codice dei propri sistemi più critici alla ricerca di crepe secolari. L’obiettivo dichiarato è quello di ribaltare l’equazione temporale della cyber security: se un tempo servivano mesi a un team di esperti per individuare una falla, e minuti a un attaccante per sfruttarla, qui si cerca di anticipare il colpo usando l’arma dell’aggressore per blindare le difese.

Le scoperte fatte in questa fase di “anteprima difensiva” sono già di per sé una rivelazione. In un caso clamoroso, Mythos ha scovato un bug vecchio di 27 anni nel nucleo di OpenBSD, un sistema operativo universalmente riconosciuto per la sua rigidità, nonché un difetto annidato in una libreria video che aveva resistito a circa cinque milioni di test automatizzati senza mai essere emerso. La metafora della farfalla dai vetri trasparenti, che dà il nome al progetto Glasswing, calza perfettamente: le vulnerabilità più pericolose sono spesso quelle che restano invisibili proprio perché esposte alla luce del sole da decenni, nascoste dalla loro stessa complessità.

L’incidente di CrowdStrike e lo scenario controfattuale della paralisi globale

Gli addetti ai lavori hanno provato a immaginare uno scenario controfattuale per misurare l’impatto di una simile tecnologia, chiedendosi se il famigerato incidente che ha coinvolto CrowdStrike – quello che paralizzò aeroporti e istituti bancari in tutto il mondo – avrebbe potuto essere evitato. Se un modello come Claude Mythos Preview fosse esistito prima, la falla che ha innescato quella reazione a catena sarebbe stata probabilmente identificata e neutralizzata nella fase di sviluppo, molto prima che potesse causare danni. Naturalmente, si tratta di un esercizio puramente ipotetico, ma che serve a inquadrare la posta in gioco: la stessa capacità che può salvare le infrastrutture critiche può, se nelle mani sbagliate, affondarle con una facilità inedita.

L’azienda ha stanziato un fondo da 100 milioni di dollari in crediti d’uso per incentivare i partner a mettere le mani nel codice, affiancato da 4 milioni in donazioni dirette a progetti open source. C’è però un nodo etico-tecnologico che Anthropic non risolve del tutto: se la sicurezza del futuro dipende dall’accesso esclusivo a questi “detector” di vulnerabilità, cosa accadrà a tutte le realtà che non fanno parte di questo club esclusivo? La risposta al momento è un secco “non lo sappiamo”, e il fatto che l’azienda abbia dichiarato di non avere piani per un rilascio pubblico generalizzato lascia intravedere un futuro a due velocità per la sicurezza informatica globale.

L’effetto Kessler digitale e la doppia natura della nuova frontiera

La cronaca recente dell’AI è costellata di fughe di dati imbarazzanti, come la stessa Anthropic ha sperimentato quando ha esposto accidentalmente i dettagli del progetto (allora noto con il nome in codice “Capybara”) su un data lake pubblico. Proprio questo paradosso – usare un sistema potentissimo per proteggere i dati mentre l’azienda che lo produce soffre di “human error” nella gestione dei propri – rende l’intera operazione Glasswing terribilmente umana, troppo per essere liquidata come una semplice operazione di marketing.

Mythos rappresenta una svolta perché sposta l’ago della bilancia: non siamo più di fronte a un assistente che suggerisce righe di codice, ma a un agente autonomo capace di ragionare come un penetration tester esperto, anche se senza la sua etica. Le sue performance nei benchmark di programmazione (SWE-bench) e di ragionamento scientifico lo piazzano ben al di sopra della media umana in molteplici discipline contemporaneamente. Un simile salto qualitativo obbliga a una riflessione spoglia di retorica: la sicurezza informatica sta entrando in una fase in cui non saremo più noi a cercare gli errori, ma le nostre macchine; e la prima vera prova di maturità per l’umanità, in questa nuova era, sarà capire se riusciremo a tenere al guinzaglio il cane da guardia senza farci mordere.