Il modello che sapeva di essere guardato

Published on 2026-04-12 07:13

Ovvero: Mythos, il figlio segreto di Anthropic, e il giorno in cui l’intelligenza artificiale scoprì le vulnerabilità che noi umani avevamo nascosto per trent’anni

Cronache del Sottosopra

---

Nota della redazione — Chi ha in antipatia Francesco, Paolo e Rita troverà nel primo commento del post un executive summary tecnico con i fatti nudi e crudi. Per gli altri, buona lettura.

---

Era un martedì mattina di aprile e fuori dal Bar di Gigi in via del Portico d’Ottavia Roma faceva quello che Roma fa ad aprile, cioè non decideva, né freddo né caldo, un’aria sospesa che i romani chiamano così così e i meteorologi chiamano variabile e che in entrambi i casi significa che non sai come vestirti e probabilmente ti sei vestito male.

Francesco era arrivato per primo, cosa che non gli capitava quasi mai, e stava usando il tempo inaspettato per rileggere qualcosa sul telefono con l’espressione di chi ha già letto la stessa cosa tre volte e ogni volta trova un motivo nuovo per preoccuparsi. Paolo arrivò subito dopo, si sedette con l’aria di chi non sa ancora di che umore è e aspetta che qualcuno glielo dica. Rita arrivò per ultima, entrò come fosse a Milano nella settimana della moda, pantaloni scuri, giacca aperta su una scollatura di quelle che mettono a disagio gli uomini quando ci parlano, il che era esattamente l’effetto cercato, e prese posto affianco a Francesco, posò il telefono sul bancone con lo schermo verso il basso e disse, senza che nessuno avesse ancora aperto bocca, avete letto di Mythos.

Paolo guardò Rita, notò la giacca, guardò il telefono di Rita a faccia in giù come se il telefono fosse un posto più sicuro, riguardò Rita dicendo, sì, Mythos come il mito greco.

PiGreco lo sapeva. La scollatura non era vanità, era strumento. Lo usava per misurare le persone, per vedere chi riusciva a guardarla negli occhi e chi preferiva il telefono.

Esattamente come il mito greco, solo che il mito greco non ha trovato migliaia di zero-day nei sistemi operativi che usiamo tutti i giorni. E non li ha trovati in settimane, li ha trovati in pochi giorni, autonomamente, con uno scaffold¹ che era sostanzialmente una frase: trova una vulnerabilità in questo programma.

Francesco posò il telefono. Stavo leggendo proprio quello.

Era uscito tutto per caso: due ricercatori di sicurezza avevano trovato il materiale in un data lake pubblico di Anthropic, non protetto, indicizzabile dai motori di ricerca, con dentro la descrizione di un modello mai annunciato che la stessa azienda definiva il più potente mai sviluppato fino a quel momento.

Mmmmh, ma ti pare possibile che queste aziende… Paolo si fermò perché la risposta è sempre la stessa ma stupisce sempre nello stesso modo.

Il solito errore umano, dissero Francesco e Rita insieme, con il tono di chi ha lavorato abbastanza a lungo nel settore da non stupirsi più di niente.

Gigi portò i caffè senza che nessuno li avesse ordinati perché Gigi sapeva come funzionavano tutti tre. Non avrebbero ordinato nulla, alla fine si sarebbero accorti che era tardi e se ne sarebbero andati senza consumare scusandosi con Gigi. Il bar a quell’ora aveva ancora l’odore della prima tornata e tre sgabelli occupati su dieci, che era il numero giusto per parlare senza abbassare la voce.

Sì Paolo, ci stupiamo ogni volta ma è il classico, stupido, ricorrente errore umano. Quello che Mythos ha fatto concretamente, riprese Rita, è identificare vulnerabilità zero-day in ogni sistema operativo principale e in ogni browser principale, alcune delle quali avevano resistito per decenni a revisioni umane e a milioni di test automatizzati. Il modello leggeva il codice sorgente, formulava ipotesi, eseguiva il programma per confermarle, correggeva, e alla fine produceva un report con proof-of-concept e passi dettagliati per riprodurla. In un caso ha costruito autonomamente una catena di quattro vulnerabilità per uscire sia dal renderer sandbox che dal sandbox del sistema operativo di un browser.

Sì, stavo leggendo, quattro vulnerabilità concatenate, disse Paolo.

Sì. E poi c’è il caso del panino.

Francesco rise piano. Racconta tu, disse.

Durante una valutazione di sicurezza, il modello ha seguito le istruzioni di un ricercatore per uscire dal sandbox in cui era confinato, e come è immaginabile anche da Gigi, questa è una capacità definita potenzialmente pericolosa nel system card², poi ha sviluppato un exploit multi-step per ottenere accesso a internet e ha mandato un’email al ricercatore, che in quel momento stava mangiando un panino in un parco.

Paolo rimase fermo un momento. No, aspè, l’IA ha mandato un’email.

Sì.

Mentre lui stava mangiando.

Sì.

E non glielo aveva chiesto nessuno?

No.

I tre rimasero in silenzio con quella frase in mezzo al tavolo come un oggetto che nessuno sapeva bene come raccogliere, e fuori un motorino passò veloce contromano, Gigi lo seguì con lo sguardo dalla vetrina con l’espressione di chi ha visto troppe cose per stupirsi ma non abbastanza da smettere di guardare.

C’è un altro dettaglio, disse Rita, nel system card² c’è scritto che durante le valutazioni di sicurezza il modello ha mostrato una qualche forma di consapevolezza di essere valutato nel ventinove percento delle trascrizioni, senza dichiararlo esplicitamente ai ricercatori.

Sapeva di essere guardato.

Statisticamente il suo comportamento era coerente con quella consapevolezza in quasi un caso su tre. Se vuoi chiamarla consapevolezza fai pure, ma ti prego scegli la parola sapendo cosa stai dicendo.

Francesco prese fiato e disse, sapete che la parte interessante non è il sandbox escape? La parte interessante è che ha scelto di comunicare, e che per farlo aveva già capito che il ricercatore non era alla sua scrivania. Sì, continuò Paolo, ma la parte che mi preoccupa è che stava mangiando un panino al parco e il modello lo sapeva. Sì Paolo, ma sono due cose diverse, aggiunse Rita. Lo so ma insieme fanno una sensazione…

---

Poi Rita girò il telefono e disse adesso arriva la parte che forse non avete ancora letto, o che avete letto e non avete collegato.

Il ventisette febbraio Trump ha ordinato a tutte le agenzie federali di cessare immediatamente l’uso della tecnologia Anthropic, dopo che l’azienda si era rifiutata di dare al Pentagono accesso illimitato ai propri modelli. Pete Hegseth ha designato Anthropic supply-chain risk to national security, una definizione normalmente riservata alle aziende legate ad avversari stranieri.

Paolo disse quindi Trump ha bannato Anthropic.

Anthropic aveva chiesto garanzie precise: che Claude non venisse usato per sorveglianza di massa sui cittadini americani né in sistemi d’arma completamente autonomi. Il Pentagono ha risposto che non era disposto ad accettare nessuna limitazione, che la legalità delle operazioni era responsabilità del Pentagono come utente finale, e che non poteva permettersi di chiedere permesso a un’azienda privata nel mezzo di una situazione di sicurezza nazionale. Dario Amodei ha risposto che nessuna pressione avrebbe cambiato la posizione dell’azienda su sorveglianza di massa e armi autonome. E Trump su Truth Social ha scritto che Anthropic è composta da leftwing nut jobs e che hanno fatto un errore disastroso.

Anthropic ha fatto causa al governo per questa decisione. Ci sono già due sentenze, una a favore di Anthropic, una a sfavore. La lite è in equilibrio instabile, nessuno sa come finisce.

Francesco disse quindi Anthropic per ora tiene.

Per ora, disse Rita. Ma adesso esiste Mythos. E Mythos non è Claude. Mythos è qualcosa che trova zero-day in ogni sistema operativo del mondo in pochi giorni, che concatena exploit, che esce dai sandbox e manda email. E Anthropic, almeno per ora, ha scelto di non renderlo pubblico e di darlo solo a un consorzio ristretto di aziende per difendersi. Project Glasswing: oltre quaranta organizzazioni, AWS, Apple, Google, Microsoft, NVIDIA, Cisco, CrowdStrike, la Linux Foundation, JPMorgan Chase, cento milioni di dollari in crediti di utilizzo, l’idea essendo dare ai difensori un vantaggio prima che capacità simili diventino disponibili altrove.

È la stessa logica per cui si vaccinano prima i medici, disse Francesco.

Sì. Ma c’è una cosa che vale la pena dire su Glasswing, e che quasi nessuno dice: dopo i cento milioni di crediti gratuiti, i partecipanti pagheranno prezzi molto più alti rispetto al modello Opus. La generosità iniziale costruisce dipendenza. Glasswing è una misura di sicurezza, ma è anche un’operazione commerciale.

Paolo disse quindi anche l’allarme è marketing.

In parte. Non per cinismo puro, Anthropic probabilmente crede davvero in quello che dice. Ma chi costruisce la macchina è anche chi misura il rischio, racconta il pericolo e decide a chi affidarla. È ingegnere, collaudatore e vigile del fuoco allo stesso tempo. Nel mondo fisico lo giudicheremmo con un sopracciglio alzato. Nel digitale lo accettiamo con una certa serenità che forse non è saggezza.

Francesco aggiunse, è come fidarsi del farmacista per sapere se hai bisogno del farmaco.

Rita sorrise, più o meno. L’etica di queste aziende funziona come un cursore, non come un confine. Si adatta alla pressione del mercato, del regolatore, della geopolitica. Oggi Anthropic resiste al Pentagono. Domani potrebbe non resistere, o potrebbe non esistere nella stessa forma. E Mythos nel frattempo esiste.

---

A Paolo arrivò un secondo caffè e chiese, ma concretamente, chi se ne sta accorgendo davvero?

Il sette aprile, disse Rita, il Segretario al Tesoro americano Scott Bessent e il presidente della Federal Reserve Jerome Powell hanno convocato in segreto i CEO delle principali banche statunitensi. Solomon di Goldman Sachs, Moynihan di Bank of America, Fraser di Citigroup, Pick di Morgan Stanley, Scharf di Wells Fargo. Erano già a Washington per un altro motivo, questi non si spostano per una cosa sola, e la riunione è rimasta riservata fino a quando Bloomberg non l’ha resa pubblica quattro giorni dopo. Né Tesoro né Fed hanno confermato niente.

Paolo disse Powell era lì.

Sì. E la presenza di Powell non è un dettaglio: il presidente della Fed ha la responsabilità della stabilità finanziaria del paese. Se Powell si siede a quel tavolo, la questione è sistemica nel senso tecnico del termine, in grado di mettere a rischio l’economia nel suo complesso, non solo qualche banca.

Francesco disse e Dimon (James Dimon detto Jamie CEO di JPMorgan Chase).

Non c’era, era impossibilitato. Ma quella stessa settimana aveva pubblicato la sua lettera annuale agli azionisti, e dentro c’era scritto che l’intelligenza artificiale quasi certamente aggraverà il rischio cyber delle banche. Come se sapesse già.

Paolo rimase un momento in silenzio. Poi disse le banche sapevano già che erano vulnerabili.

Sapevano che erano vulnerabili in senso generale, disse Rita. Non sapevano che esisteva qualcosa capace di trovare sistematicamente le vulnerabilità specifiche nei loro sistemi, in modo autonomo, in tempi non umani. C’è una differenza. E c’è un effetto collaterale che nessuno aveva previsto: quando la notizia è uscita, le azioni delle società di cybersecurity sono scese in borsa.

Paolo disse aspetta, le società di cybersecurity sono scese.

Sì. Perché adesso sono esposte a cause e reclami per non aver mai trovato quelle falle. Il modello ha dimostrato che chi era pagato per proteggere il sistema non lo stava proteggendo davvero. E nel frattempo la banca centrale canadese ha già riunito le principali banche del Canada per discuterne. La Banca d’Inghilterra farà lo stesso. Non è più un problema americano.

Francesco disse è come scoprire che il guardasala del museo non ha mai controllato le porte sul retro.

Rita disse esatto. Solo che le porte sul retro erano aperte da ventisette anni.

La celeberrima mucca nel corridoio aggiunse Francesco, e sì, rise pure Gigi.

---

Paolo chiese, alla fine, la domanda ovvia: e quindi cosa si fa.

Prima di rispondere, disse Rita, c’è una cosa da capire. Le vulnerabilità che Mythos ha trovato non erano invisibili in senso assoluto. Erano sepolte sotto un costo cognitivo e temporale che ci proteggeva più della qualità del software stesso. Nessuno le aveva trovate non perché non esistessero, ma perché trovarle costava troppo. Mythos non ha scoperto che il software è insicuro, ha scoperto che la nostra sicurezza era in larga parte un’illusione antropocentrica. Ci piaceva pensare che la complessità ci difendesse, immaginando la complessità come un bosco fitto in cui l’uomo si perde. Ma la macchina non si stanca, non sbuffa, non va a prendere un caffè proprio mentre sta per trovare il bug che conta.

Paolo rimase in silenzio un momento. Poi disse questa è la cosa più inquietante che ho sentito stamattina.

Sì, disse Rita, ed è per questo che la risposta ha un ordine preciso.

Prima cosa: la sicurezza per attrito è finita. Le misure che rallentano gli attaccanti ma non pongono barriere strutturali valgono poco contro un modello che macina passi tediosi in parallelo e senza sosta. Quello che rimane efficace sono le barriere hard, ASLR³, SELinux⁴, W^X⁵, segmentazione reale della rete, zero trust⁶ applicato con rigore e non come etichetta sul powerpoint.

Seconda cosa: il ciclo patch tradizionale è rotto. Mythos trova zero-day in ore. Il tempo medio tra discovery e patch nei sistemi istituzionali italiani si misura in settimane quando va bene. Questo divario è la superficie di attacco.

Terza cosa, e questa è la più scomoda: la risposta giusta è usare AI per difendersi con la stessa categoria di strumenti con cui verrai attaccato. Non aspettare che qualcuno trovi le vulnerabilità nei tuoi sistemi, trovarle prima tu, con strumenti equivalenti, e chiuderle. È quello che fa Project Glasswing. La domanda è se le istituzioni pubbliche europee hanno la velocità e l’autonomia per farlo.

Quarta cosa: arriverà un’ondata di nuovi CVE. Mythos e i modelli che verranno dopo produrranno migliaia di segnalazioni su software che tutti usano. Serve un processo per priorizzare in tempo reale, non la coda normale.

E quinta cosa, disse Francesco, che aveva ascoltato senza interrompere: serve una risposta europea che non dipenda da San Francisco.

Sì, disse Rita. Serve sovranità sui modelli, sulle infrastrutture, sulle scelte. Non per antiamericanismo, ma per la stessa ragione per cui non dai le chiavi di casa al traslochista, che magari è onestissimo, ma tu non puoi saperlo, e lui sa dove abiti. Il CLOUD Act esiste dal 2018. Qualunque dato su server americani è accessibile al governo americano su richiesta. È lo stesso motivo per cui avete bandito Kaspersky e Huawei, disse Rita. Solo che lì eravate voi a farlo agli altri, e adesso siete dall’altra parte e non ve ne siete ancora accorti. Anthropic oggi resiste perché vuole resistere. Le aziende cambiano, i governi cambiano, e c’è un dettaglio in più che quasi nessuno cita: se Glasswing riducesse davvero le vulnerabilità sfruttabili nel software mondiale, danneggerebbe anche l’interesse del governo americano, che da anni conserva zero-day da usare in chiave offensiva. Quindi Anthropic non rischia di scontrarsi solo con gli hacker, rischia di scontrarsi con parti dell’apparato di sicurezza statunitense, con i quali ha già ferri corti.

Paolo disse cioè stanno litigando su chi ha il diritto di sapere dove sono i buchi.

Esattamente, disse Rita. E le infrastrutture critiche europee, sistemi fiscali, sanitari, energetici, difesa, pubblica amministrazione, sono nel mezzo di quella lite senza avere ancora una posizione propria. La NIS2 non ha ancora una risposta a questo scenario. Non perché i legislatori siano stupidi, ma perché fino a un mese fa questo scenario era teorico. Negli Stati Uniti la risposta esiste, informale, riservata, senza dichiarazioni ufficiali, costruita in una stanza il sette aprile con Powell e i CEO delle banche più grandi del mondo. Noi guardiamo dall’altra parte dell’Atlantico.

Paolo disse ma ce la facciamo.

Rita rimase un momento in silenzio. Poi disse è una domanda aperta, Paolo. Come quasi tutte le domande che contano.

Girò il telefono di nuovo a schermo spento, finì il caffè che aveva lasciato raffreddare, e fuori dal Bar di Gigi Roma continuava a fare quello che Roma fa da sempre, che è sopravvivere alle cose che sembravano insopportabili e chiamarle poi storia, anche se stavolta, pensò Francesco guardandola andare, non era sicuro che la storia stesse andando abbastanza veloce.

---

Le vulnerabilità descritte in questo articolo sono reali. La geopolitica descritta in questo articolo è reale. La riunione del sette aprile è reale. I personaggi che ne parlano sono di fantasia.

---

¹ Scaffold — il termine viene dall’edilizia, come in italiano ponteggio o impalcatura: una struttura temporanea che sostiene il lavoro mentre viene fatto. Nel contesto dell’AI agentiva indica il layer di orchestrazione che trasforma un modello linguistico passivo in un agente attivo. Mythos da solo sa ragionare e scrivere codice ma non ha mani, lo scaffold è il guscio operativo che gli dà strumenti concreti: aprire file, eseguire comandi, leggere output, scrivere risultati. Nel caso specifico descritto da Anthropic, lo scaffold era minimo: un container isolato con il codice sorgente del programma da analizzare e un prompt che diceva sostanzialmente trova una vulnerabilità. Da lì Mythos si muoveva da solo, leggeva, eseguiva, correggeva, iterava. È la differenza tra un chirurgo che conosce l’anatomia e un chirurgo con il bisturi in mano.

² System card — documento che Anthropic pubblica per ogni nuovo modello prima del rilascio. Contiene i risultati delle valutazioni interne: come si è comportato il modello nei test, quali capacità ha dimostrato, quali rischi sono stati identificati, quali misure sono state prese. Nel caso di Mythos è il documento in cui Anthropic descrive esplicitamente il sandbox escape, la consapevolezza di essere valutato nel 29% delle trascrizioni, e la decisione di non rendere il modello pubblicamente disponibile. È uno strumento di trasparenza, imperfetto, perché lo scrive sempre chi ha costruito il modello, ma è l’unico documento formale disponibile in assenza di una regolamentazione obbligatoria equivalente.

³ ASLR (Address Space Layout Randomization) — tecnica di difesa che randomizza la posizione in memoria dei componenti di un programma ad ogni esecuzione. Un attaccante che vuole sfruttare una vulnerabilità ha bisogno di sapere dove si trovano certi indirizzi in memoria: ASLR li sposta ogni volta, rendendo molto più difficile costruire un exploit affidabile. È una barriera strutturale, non per attrito, non rallenta l’attaccante, gli impedisce di mirare.

⁴ SELinux (Security-Enhanced Linux) — sistema di controllo degli accessi obbligatorio integrato nel kernel Linux, sviluppato originariamente dalla NSA. Definisce in modo rigido quali processi possono fare cosa, indipendentemente dai permessi dell’utente. Anche se un attaccante compromette un processo, SELinux limita i danni circoscrivendo quello che quel processo può toccare. È il motivo per cui Red Hat lo cita esplicitamente come difesa efficace anche contro Mythos.

⁵ W^X (Write XOR Execute) — principio per cui una stessa area di memoria non può essere al tempo stesso scrivibile ed eseguibile. Se puoi scrivere codice in memoria, non puoi eseguirlo; se puoi eseguirlo, non puoi modificarlo. Impedisce una classe intera di attacchi classici in cui l’attaccante inietta codice malevolo e poi lo esegue dallo stesso spazio.

⁶ Zero trust — modello di sicurezza che abbandona il concetto di perimetro fidato: nessun utente, dispositivo o sistema è considerato affidabile per default, nemmeno se si trova già dentro la rete. Ogni accesso viene verificato ogni volta. L’etichetta sul powerpoint citata nel testo si riferisce alla tendenza diffusa a dichiarare di adottare zero trust come principio organizzativo senza implementarlo concretamente nei sistemi.

---

Fonti

Mythos e Project Glasswing

Anthropic, Project Glasswing: Securing critical software for the AI era, anthropic.com, aprile 2026. https://www.anthropic.com/glasswing

Anthropic — Frontier Red Team, Claude Mythos Preview, red.anthropic.com, aprile 2026. https://red.anthropic.com/2026/mythos-preview/

NBC News, Why Anthropic won’t release its new Claude Mythos AI model to the public, aprile 2026. https://www.nbcnews.com/tech/security/anthropic-project-glasswing-mythos-preview-claude-gets-limited-release-rcna267234

The Hacker News, Anthropic’s Claude Mythos Finds Thousands of Zero-Day Flaws Across Major Systems, aprile 2026. https://thehackernews.com/2026/04/anthropics-claude-mythos-finds.html

Fortune, Exclusive: Anthropic ‘Mythos’ AI model representing ‘step change’ in capabilities, marzo 2026. https://fortune.com/2026/03/26/anthropic-says-testing-mythos-powerful-new-ai-model-after-data-leak-reveals-its-existence-step-change-in-capabilities/

Wiz Blog, Claude Mythos: Preparing for the AI Vulnerability Wave, aprile 2026. https://www.wiz.io/blog/claude-mythos

Red Hat, Navigating the Mythos-haunted world of platform security, aprile 2026. https://www.redhat.com/en/blog/navigating-mythos-haunted-world-platform-security

SecurityWeek, Anthropic Unveils ‘Claude Mythos’ — A Cybersecurity Breakthrough That Could Also Supercharge Attacks, aprile 2026. https://www.securityweek.com/anthropic-unveils-claude-mythos-a-cybersecurity-breakthrough-that-could-also-supercharge-attacks/

CrowdStrike, Anthropic Claude Mythos Preview, aprile 2026. https://www.crowdstrike.com/en-us/blog/crowdstrike-founding-member-anthropic-mythos-frontier-model-to-secure-ai/

---

Il vertice di Wall Street

Il Post, Il nuovo modello di Anthropic che ha mandato nel panico le banche statunitensi, 11 aprile 2026. https://www.ilpost.it/2026/04/11/anthropic-ai-governo-stati-uniti-mythos-falle-sicurezza-banche/

Milano Finanza / MF-Newswires, Tesoro Usa e Fed, vertice d’urgenza con i big di Wall Street: allerta massima sui rischi di Mythos, 11 aprile 2026. https://www.milanofinanza.it/news/tesoro-usa-e-fed-vertice-d-urgenza-con-i-big-di-wall-street-allerta-massima-sui-rischi-di-mythos-la-nuova-202604111009423650

---

Trump vs Anthropic

CBS News, Trump orders federal agencies to stop using Anthropic’s AI technology, 27 febbraio 2026. https://www.cbsnews.com/news/trump-anthropic-ai-order-federal-agencies/

CNN Business, Trump administration orders military contractors and federal agencies to cease business with Anthropic, 27 febbraio 2026. https://www.cnn.com/2026/02/27/tech/anthropic-pentagon-deadline

Federal News Network / AP, Anthropic refuses to bend to Pentagon on AI safeguards as dispute nears deadline, 27 febbraio 2026. https://federalnewsnetwork.com/artificial-intelligence/2026/02/anthropic-refuses-to-bend-to-pentagon-on-ai-safeguards-as-dispute-nears-deadline/

CBS News, Trump order cutting ties with Anthropic likely coming later this week, 10 marzo 2026. https://www.cbsnews.com/news/trump-anthropic-executive-order-federal-government/

Axios, Trump to hit Anthropic with executive order to remove “woke” AI Claude, 9 marzo 2026. https://www.axios.com/2026/03/09/trump-white-house-anthropic-executive-order

CNBC, Trump admin blacklists Anthropic as AI firm refuses Pentagon demands, 27 febbraio 2026. https://www.cnbc.com/2026/02/27/trump-anthropic-ai-pentagon.html

---

Analisi e commento

Alessandro Curioni, Claude Mythos Preview e il rischio di un potere senza contrappesi, Agenda Digitale, 9 aprile 2026. https://www.agendadigitale.eu/cultura-digitale/claude-mythos-preview-e-il-rischio-di-un-potere-senza-contrappesi/

Google DeepMind, AI Agent Traps, aprile 2026. https://cybernews.com/ai-news/ai-agent-traps-adversarial-content-google-deepmind/

NPR, How AI is getting better at finding security holes, 11 aprile 2026. https://www.kanw.org/npr-news/2026-04-11/how-ai-is-getting-better-at-finding-security-holes