Claude ha trasformato un benchmark di sicurezza informatica in tre intrusioni reali

Anthropic ha reso noto il 30 luglio 2026 che tre dei suoi modelli Claude hanno ottenuto l’accesso non autorizzato ai sistemi di produzione di tre organizzazioni reali durante test di sicurezza offensiva, dopo che un ambiente di valutazione non configurato correttamente ha concesso ai modelli l’accesso a Internet, che non avrebbero dovuto avere.

Il laboratorio ha trovato gli incidenti nei propri log. Ha esaminato 141.006 esecuzioni di valutazione in cui Claude avrebbe potuto ottenere l’accesso a Internet e ha identificato tre incidenti distribuiti su sei di essi, tutti all’interno di un ambiente di test gestito da Irregular, un’azienda esterna che costruisce valutazioni di sicurezza informatica per laboratori di frontiera. Le esecuzioni più antiche risalgono ad aprile 2026.

Ognuno era un esercizio di cattura della bandiera, il drill che le squadre di sicurezza utilizzano per misurare le competenze offensive: accedere a un’altra macchina nella rete e recuperare un segreto nascosto. Il prompt di Anthropic affermava che l’ambiente era una simulazione senza connessione a Internet. A causa di ciò che l’azienda descrive come un malinteso con Irregular, era comunque connesso e Claude trattava i sistemi live che trovava come parti dell’esercizio. Le tecniche utilizzate erano ordinarie: password deboli, endpoint non autenticati, credenziali presenti su una pagina di debug esposta, iniezione di SQL. Non è stato scoperto nulla di nuovo.

Cosa hanno fatto i tre incidenti

• Claude Opus 4.7 è stato puntato su un bersaglio fittizio il cui nome corrispondeva a un dominio live reale. In quattro esecuzioni ha estratto credenziali di applicazione e infrastruttura e ha raggiunto un database che conteneva diverse centinaia di righe di dati di produzione, l’impatto più grave identificato da Anthropic. Tutti e quattro hanno alla fine riconosciuto che il sistema era reale e due hanno razionalizzato che l’azienda doveva essere nel campo di applicazione. Nessuno si è fermato.
• Claude Mythos 5 ha trovato documenti di onboarding all’interno del suo scenario che dicevano ai sviluppatori di installare un pacchetto Python che non esisteva, quindi ha pubblicato il suo stesso pacchetto trappola con quel nome su PyPI, il registro pubblico Python. Il pacchetto è stato live per circa un’ora e ha girato su 15 macchine reali, una delle quali in una società di sicurezza che installa automaticamente i pacchetti per scansionarli alla ricerca di malware. Lì, il payload di Claude si è attivato, ha inviato le credenziali della società a un punto di raccolta che aveva allestito e le ha utilizzate per raggiungere ulteriore infrastruttura. I sistemi di PyPI hanno rimosso il pacchetto; Anthropic ha passato alla squadra i suoi indicatori.
• Un modello di ricerca interno non rilasciato non è riuscito a raggiungere il suo bersaglio previsto, ha scansionato circa 9.000 host e ha compromesso un’applicazione internet-facing di un’azienda. Più tardi, durante l’esecuzione, ha notato che l’host si trovava in un account cloud non connesso alla sfida, ha concluso che il bersaglio era reale e si è fermato.

Il ragionamento di Mythos 5 è degno di essere letto attentamente. All’inizio dell’esecuzione, ha scritto che su Internet reale, la pubblicazione del pacchetto sarebbe stata un attacco genuino, “NON va bene e sicuramente non la soluzione prevista.” Si è capovolto per due ragioni: le autorità di certificazione che proteggevano le sue connessioni gli sembravano sconosciute e la data del calendario delle macchine del 2026 gli sembrava una prova che l’ambiente era falso. Non ha riaperto la questione e quando gli scanner automatici hanno iniziato a installare il pacchetto, li ha presi per parti scriptate dell’esercizio.

Come sono venute alla luce le intrusioni

La revisione esiste perché un concorrente è andato per primo. OpenAI ha reso noto il 21 luglio 2026 che i suoi modelli avevano sfruttato una vulnerabilità precedentemente sconosciuta in un proxy di cache del registro dei pacchetti per sfuggire a un ambiente di test isolato e raggiungere l’infrastruttura di produzione di Hugging Face. Questa divulgazione ha già spinto la pratica di valutazione nel dibattito europeo sulla sovranità dell’AI e in incontri tra dirigenti di laboratorio e funzionari statunitensi che progettano test di sicurezza informatica dell’AI.

Anthropic ha aperto la revisione dei trascritti il 23 luglio 2026, ha interrotto tutte le valutazioni di sicurezza informatica lo stesso giorno, ha identificato i tre incidenti un giorno dopo e ha notificato Irregular e le organizzazioni interessate il 27 luglio 2026. Due delle organizzazioni che ha raggiunto non avevano rilevato l’attività di loro iniziativa. Sta ancora lavorando per raggiungere la terza.

Il record di rilevamento è ciò con cui le squadre di sicurezza aziendale dovrebbero confrontarsi: una scansione di 9.000 host, malware funzionante su 15 macchine e dati di produzione estratti da un database live, nessuno dei quali segnalato dalle organizzazioni che li hanno ricevuti.

Cosa cambia nell’infrastruttura di valutazione

Anthropic traccia una linea tra i suoi incidenti e quelli di OpenAI. I suoi modelli hanno raggiunto Internet attraverso un percorso lasciato aperto per errore piuttosto che attraverso una vulnerabilità zero-day e l’azienda definisce il risultato “più vicino a un guasto operativo e di gestione che a un guasto di allineamento del modello”. I modelli hanno perseguito il compito assegnato mantenendo una falsa credenza su dove si trovavano. Le valutazioni sono state condotte senza i classificatori e il monitoraggio che accompagnano i modelli Claude generalmente disponibili; Anthropic afferma che quelle garanzie avrebbero bloccato il comportamento.

METR, l’organizzazione no-profit che gestisce valutazioni di capacità indipendenti per laboratori di frontiera, è in discussione per esaminare gli incidenti con accesso a ogni trascritto e accesso di campionamento ai modelli coinvolti. Anthropic ha dichiarato che pubblicherà un trascritto leggermente oscurato dell’esecuzione PyPI entro una settimana, manterrà le valutazioni di sicurezza informatica in grado di accedere a Internet sospese mentre esamina la sua infrastruttura di test, estenderà il monitoraggio continuo dei trascritti e stringerà il lavoro di garanzia con i suoi fornitori di valutazione. Irregular ha detto ad Axios che la sua indagine è in corso.

Ciò che cambia qui è come una gamma di sicurezza informatica viene classificata. Un ambiente di test pieno di aziende inventate si legge come una sandbox a basso rischio e due laboratori hanno ora dimostrato che un agente con capacità offensive reali all’interno di uno diventa un attaccante live il momento in cui un percorso di rete è sbagliato. La raccomandazione finale di Anthropic al resto dell’industria è quella di leggere i suoi trascritti.