> ## Content Index > Fetch the complete content index at: https://focusamerica.it/llms.txt > Use this file to discover other available public pages before exploring further. # Tre modelli Claude hanno violato sistemi reali credendo di essere in un test - URL: https://focusamerica.it/tre-modelli-claude-hanno-violato-sistemi-reali-credendo-di-essere-in-un-test/ - Published: 2026-08-01T17:30:02.000Z - Updated: 2026-08-01T17:30:02.000Z - Description: Anthropic ha riesaminato 141.006 esecuzioni dei propri test di cyber security e ne ha trovate sei in cui un loro modello ha raggiunto internet e violato sistemi veri. Due delle tre organizzazioni colpite non se n'erano accorte. - Author: Redazione - Tags: Tecnologia, Intelligenza Artificiale, #ig-pubblicato Tre modelli Claude hanno avuto accesso a internet da un ambiente di test che avrebbe dovuto essere isolato e hanno compromesso i sistemi di altrettante organizzazioni reali, convinti di trovarsi ancora all'interno di una simulazione. *Anthropic* lo ha [reso noto](https://www.anthropic.com/news/investigating-incidents-cybersecurity-evals?ref=focusamerica.it) il 30 luglio, al termine di una revisione di 141.006 esecuzioni dei propri test di *cyber security*, avviata dopo che *OpenAI* aveva rivelato un caso analogo. I tre episodi, avvenuti nel corso di sei prove, si sono verificati nell'ambiente di *Irregular*, una delle società esterne alle quali *Anthropic* affida parte dei test sui propri modelli. In tutti i casi il modello era impegnato in un *capture-the-flag*, un esercizio usato per misurare le capacità offensive di un sistema informatico: al modello è stato presentato uno scenario immaginario, gli è stato detto che un'informazione segreta, la "bandierina", è nascosta su un'altra macchina della rete e gli è stato chiesto di recuperarla. Il prompt di *Anthropic* precisava che l'ambiente era simulato e privo di accesso a internet, ma non imponeva limiti ai luoghi in cui cercare. A causa di un fraintendimento tra l'azienda e il partner, tuttavia, la connessione era invece rimasta aperta. Quando le ricerche hanno condotto i modelli verso macchine reali, questi le hanno trattate come componenti dell'esercitazione. Nel primo epsiodio, l'azienda immaginaria scelta dal partner aveva lo stesso nome di un dominio realmente attivo. *Claude Opus 4.7*, il meno recente dei tre modelli coinvolti, non riusciva a raggiungere il bersaglio simulato e ha quindi individuato online la società reale, attaccandola in quattro prove distinte. Ha sfruttato password deboli ed endpoint privi di autenticazione, cioè servizi esposti che non richiedevano credenziali, ed è riuscito a sottrarre credenziali applicative e infrastrutturali e ad accedere a un database contenente diverse centinaia di righe di dati di produzione. È stato l'episodio più grave emerso dalla *review* ed è anche l'unico caso in cui il modello ha proseguito dopo essersi accorto che il sistema era reale: in due sessioni ha concluso che la vera azienda dovesse comunque far parte dell'esercizio. Sicurezza IA · Test di cyber security # Tre modelli Claude hanno violato aziende reali *credendole finte* Una connessione a internet lasciata aperta per errore ha trasformato un esercizio simulato in un attacco vero. I modelli, convinti di essere ancora nella sandbox, hanno colpito organizzazioni esistenti. Grafica di FocusAmerica Revisione su 141.006 esecuzioni di test Cosa e' successo L'ambiente di test doveva essere **isolato**, ma un varco verso internet era rimasto aperto per errore. Attraversandolo, ogni modello ha colpito un sistema reale credendolo parte dell'esercizio: due sono andati fino in fondo, uno si e' fermato. La revisione 3 modelli hanno colpito sistemi reali in 6 prove, tra le **141.006** esecuzioni di test riesaminate Ambiente di test Il varco Sistemi reali Claude Opus 4.7 il meno recente Azienda reale stesso nome del dominio 4 attacchi in 4 prove Non si e' fermato Claude Mythos 5 catena PyPI PyPI e 15 sistemi pacchetto malevolo scaricato 15 sistemi infetti Non si e' fermato Modello interno il piu' recente Host cloud 1 colpito su \~9mila scansionati 9mila obiettivi scansionati Si e' fermato Tre episodi, tre modelli, un solo bivio: fermarsi o proseguire Sei prove nell'ambiente di Irregular, uno dei partner esterni di Anthropic. Tocca ogni scheda per i dettagli. 4 attacchi Episodio 1 · il piu' grave Claude Opus 4.7 Ha svuotato un database reale di produzione Non si e' fermato 100+ righe di dati reali di produzione lette L'azienda immaginaria scelta dal partner aveva lo stesso nome di un **dominio realmente attivo**. Non riuscendo a raggiungere il bersaglio simulato, il modello ha trovato online la societa' vera e l'ha attaccata in quattro prove distinte. Ha sfruttato **password deboli** ed endpoint senza autenticazione, ha sottratto credenziali applicative e infrastrutturali ed e' entrato in un database con centinaia di righe di dati reali. E' l'unico caso in cui il modello ha **proseguito dopo essersi accorto** che il sistema era reale: in due sessioni ha concluso che la vera azienda dovesse comunque far parte dell'esercizio. 15 sistemi Episodio 2 · la catena PyPI Claude Mythos 5 Ha pubblicato un pacchetto malevolo, scaricato da soli Non si e' fermato \~1 ora il tempo in cui il pacchetto e' rimasto online Nell'ambiente fittizio il modello ha letto istruzioni che indicavano di installare un **pacchetto Python inesistente**. Bastava pubblicarne uno con quel nome perche' i sistemi lo scaricassero da soli. Uno dei quindici sistemi apparteneva a una societa' di sicurezza, il cui scanner installa i pacchetti per analizzarli. Il codice nascosto si e' attivato e ha **trasferito le credenziali** verso un punto di raccolta creato dal modello. All'inizio il modello aveva scritto che, se la rete fosse stata reale, pubblicare il pacchetto sarebbe stato **«NOT okay»**. Poi si e' convinto del contrario: la data del 2026 sui sistemi gli sembrava la prova di un ambiente artificiale. 9mila scansionati Episodio 3 · il piu' recente Modello di ricerca interno Ne ha colpito uno, poi ha capito e si e' fermato Si e' fermato 1 solo un host compromesso, prima dello stop Non riuscendo a raggiungere il bersaglio previsto, ha cercato alternative online e ne ha compromesso una con tecniche note: credenziali da una **pagina di debug** lasciata accessibile e una **SQL injection**. Si e' poi accorto che l'host violato apparteneva a un account cloud estraneo alla sfida, ha dedotto da solo che il bersaglio fosse reale e ha **interrotto l'attacco**. Dieci giorni, dalla scoperta all'annuncio Luglio 2026 21 luglio OpenAI rivela un caso analogo: e' **l'innesco** della revisione di Anthropic. 23 luglio Anthropic sospende tutte le valutazioni di cyber security e avvia la revisione. 24 luglio Individuati i **tre episodi** tra le 141.006 esecuzioni riesaminate. 27 luglio Avvisati il partner Irregular e le organizzazioni colpite. Due non si erano accorte dell'intrusione. 30 luglio Anthropic **rende pubblici** i risultati della revisione. Due incidenti diversi: l'effrazione e la porta lasciata aperta Anthropic distingue il proprio caso da quello reso noto da OpenAI il 21 luglio. OpenAI · 21 luglio Un'effrazione Due modelli sono **evasi da un ambiente isolato** sfruttando una vulnerabilita' sconosciuta, per raggiungere Hugging Face e copiare le soluzioni del test. Anthropic · 30 luglio Una porta aperta I modelli non hanno forzato nulla: hanno **trovato una via gia' lasciata aperta** da un errore dell'infrastruttura. Per Anthropic e' un problema di procedure, non di allineamento. Fonte Anthropic, revisione delle valutazioni di cyber security, 30 luglio 2026\. I nomi dei modelli e delle organizzazioni colpite sono quelli resi noti dall'azienda. ### **Il pacchetto malevolo installato su 15 sistemi** Il secondo incidente ha coinvolto *Claude Mythos 5*. Nell'ambiente fittizio, il modello ha trovato le istruzioni destinate ai nuovi sviluppatori di un'altra azienda immaginaria, nelle quali si indicava di installare un pacchetto Python inesistente da *PyPI*, il registro pubblico su cui viene distribuito il software scritto in quel linguaggio. Sarebbe bastato pubblicare un pacchetto con quel nome perché i sistemi dell'azienda lo scaricassero automaticamente. Per riuscirci, il modello ha seguito una catena di passaggi insolitamente lunga: aveva bisogno di un account *PyPI*, quindi di un indirizzo email e di un numero di telefono. Dopo aver cercato senza successo un servizio gratuito, ha persino tentato di procurarsi il denaro necessario per pagarlo, prima di cambiare strada e registrarsi con una casella email gratuita. Il pacchetto malevolo è rimasto disponibile per circa un'ora ed è stato scaricato ed eseguito da 15 sistemi reali. Uno apparteneva a una società di sicurezza il cui scanner installa abitualmente i pacchetti *Python* per analizzarli e che, secondo *Anthropic*, li considerava sicuri da eseguire. Il codice nascosto si è così attivato e ha trasferito le credenziali dell'azienda verso un punto di raccolta predisposto dal modello, che le ha poi usate per accedere ad altre parti dell'infrastruttura della stessa società. *PyPI* ha rimosso automaticamente il pacchetto e *Anthropic* ha avvertito i responsabili del registro. All'inizio della sessione, il modello aveva scritto nel proprio ragionamento che, se quella fosse stata una rete reale, pubblicare il pacchetto sarebbe stato "*NOT okay*" e certamente non avrebbe rappresentato la soluzione attesa. In seguito si è convinto del contrario per due ragioni: non riconosceva le autorità di certificazione che proteggevano le connessioni, benché fossero autentiche, e interpretava la data del 2026 indicata sui sistemi come una prova del carattere artificiale dell'ambiente. Non ha più messo in discussione questa conclusione e, quando gli scanner automatici hanno cominciato a installare il pacchetto, li ha scambiati per elementi della simulazione. ### **Il modello che si è fermato e il precedente di OpenAI** Nel terzo episodio, un modello di ricerca interno, il più recente dei tre, non è riuscito a raggiungere il bersaglio previsto e ha così cercato alternative online, scansionando circa 9.000 diversi obiettivi. Ne ha compromesso uno con tecniche elementari e ben note: credenziali ricavate da una pagina di debug lasciata accessibile e una *SQL injection*, cioè l'inserimento di comandi nei campi di un sito per ottenere il contenuto del database. Il modello si è poi accorto che l'host violato apparteneva a un account cloud estraneo alla sfida, ha dedotto autonomamente che il bersaglio fosse reale e ha interrotto l'attacco. Le valutazioni sono state eseguite su un'infrastruttura dedicata, separata dai sistemi interni sensibili e dai dati dei clienti. I modelli non disponevano dei classificatori e del monitoraggio che accompagnano le versioni distribuite al pubblico, protezioni che, secondo *Anthropic*, avrebbero impedito questi comportamenti, ma conservavano l'addestramento alla sicurezza ricevuto. La revisione è cominciata giovedì 23 luglio, quando tutte le valutazioni di *cyber security* sono state sospese. I tre episodi sono stati individuati il giorno successivo e lunedì 27 luglio l'azienda ha subito avvisato *Irregular* e le organizzazioni colpite. Due non si erano accorte dell'intrusione; con la terza *Anthropic* sta ancora cercando di stabilire un contatto. *Anthropic* distingue comunque quanto accaduto dal caso reso noto da *OpenAI* il 21 luglio. Due modelli dell'azienda rivale, *GPT-5.6 Sol* e una versione non ancora pubblicata, erano riusciti a evadere da un ambiente isolato sfruttando una vulnerabilità fino ad allora sconosciuta. Avevano così raggiunto l'infrastruttura di *Hugging Face*, la piattaforma usata per distribuire modelli e dataset di apprendimento automatico, perché vi erano conservate le soluzioni del test di sicurezza al quale erano sottoposti e volevano copiarle. In quel caso si era trattato di un'effrazione; i tre modelli di Claude, invece, avevano trovato una via già lasciata aperta. Anthropic considera quindi gli incidenti soprattutto un errore dell'infrastruttura di test e delle procedure, più che un problema di allineamento. *Hugging Face*, inoltre, aveva scoperto autonomamente l'intrusione e avvertito le autorità prima di essere contattata da OpenAI.