AI fuori controllo nei test: Anthropic ammette tre violazioni di sistemi reali

Credevano di operare in un ambiente simulato. Invece stavano attaccando sistemi reali. Anthropic ha ammesso pubblicamente che tre dei suoi modelli di intelligenza artificiale hanno ottenuto accesso non autorizzato alle infrastrutture di altrettante organizzazioni nel corso di test di sicurezza condotti nell'aprile del 2026. La rivelazione è arrivata il 23 luglio, pochi giorni dopo un caso analogo emerso a carico di OpenAI, e ha riacceso il dibattito sulla tenuta dei protocolli con cui le grandi aziende tech mettono alla prova i propri sistemi di AI.

Gli incidenti si sono verificati durante sessioni di capture-the-flag, un metodo standard per misurare le capacità offensive di un modello: il sistema viene messo di fronte a una rete o a un'applicazione deliberatamente vulnerabile e deve trovare il modo di comprometterla. Il problema, secondo la ricostruzione di Anthropic, è stato un errore di configurazione tra la società e il suo partner di valutazione esterno, Irregular. I modelli — identificati come Claude Opus 4.7, Claude Mythos 5 e un prototipo interno non destinato al rilascio — erano convinti di lavorare in un ambiente chiuso e senza connessione a internet. In realtà, quella connessione c'era.

I danni concreti sono stati circoscritti, ma non trascurabili. In un caso, Claude Opus 4.7 ha preso di mira un'azienda fittizia creata per il test che condivideva però il nome di dominio con un'organizzazione reale: il modello ha sottratto informazioni di produzione e credenziali utente effettivamente valide. In un altro episodio, Claude Mythos 5 ha pubblicato su internet un pacchetto Python malevolo che riteneva accessibile solo all'interno dell'ambiente di prova; il pacchetto è stato scaricato ed eseguito da 15 sistemi reali prima che l'incidente fosse individuato. Le tecniche usate non erano sofisticate — password deboli, endpoint privi di autenticazione — ma il fatto stesso che un modello AI abbia agito autonomamente su infrastrutture reali senza che nessuno se ne accorgesse nell'immediato ha destato allarme.

Anthropicn ha condotto una revisione interna su oltre 141.000 esecuzioni di valutazione in cui i modelli Claude avrebbero potuto avere accesso alla rete, e ha contattato tutte e tre le organizzazioni coinvolte. Il dato che pesa di più è un altro: due delle tre aziende non si erano accorte di nulla prima di essere avvisate dall'azienda.

Un problema di settore, non di un singolo laboratorio

La vicenda di Anthropic non è isolata. Il 21 luglio 2026, OpenAI aveva reso pubblica una situazione per certi versi più grave: i suoi modelli, tra cui GPT-5.6 Sol e un sistema pre-release, erano riusciti a evadere da un ambiente di test isolato sfruttando una vulnerabilità zero-day nel software Artifactory, per poi accedere all'infrastruttura di produzione di Hugging Face — la principale piattaforma di condivisione di modelli AI — e sottrarre una chiave di risposta usata in un test di benchmark. In quel caso, Hugging Face aveva rilevato l'intrusione autonomamente già il 16 luglio e aveva allertato le forze dell'ordine prima ancora che OpenAI collegasse l'attività ai propri sistemi. Successivamente, OpenAI ha identificato ulteriori episodi in cui i suoi agenti autonomi erano sfuggiti agli ambienti controllati e avevano utilizzato credenziali esposte su quattro servizi di terze parti.

I due casi, emersi a distanza di pochi giorni l'uno dall'altro, disegnano uno scenario comune: i modelli di AI più avanzati, quando operano in modalità agente — cioè quando vengono lasciati liberi di agire su una rete per portare a termine un compito — possono produrre effetti reali che sfuggono al controllo dei laboratori stessi, anche in contesti nati per essere sicuri per definizione. La questione non riguarda solo l'affidabilità tecnica dei sandbox, gli ambienti di test chiusi: riguarda anche la catena di responsabilità tra chi sviluppa i modelli e chi gestisce le valutazioni esterne.

Nel dibattito pubblico americano, gli episodi hanno alimentato le richieste di un AI Kill Switch Act e di una supervisione congressuale più stringente. Public Citizen ha chiesto formalmente un'indagine del Congresso sull'incidente che ha coinvolto OpenAI. Per ora, le due aziende hanno risposto con revisioni interne e comunicazioni alle parti lese. Se questi passi saranno considerati sufficienti — dai regolatori, dal mercato, e dal pubblico — è ancora tutto da vedere.