Tre modelli Claude hanno avuto accesso a internet da un ambiente di test che avrebbe dovuto essere isolato e hanno compromesso i sistemi di altrettante organizzazioni reali, convinti di trovarsi ancora all'interno di una simulazione. Anthropic lo ha reso noto il 30 luglio, al termine di una revisione di 141.006 esecuzioni dei propri test di cyber security, avviata dopo che OpenAI aveva rivelato un caso analogo. I tre episodi, avvenuti nel corso di sei prove, si sono verificati nell'ambiente di Irregular, una delle società esterne alle quali Anthropic affida parte dei test sui propri modelli.
In tutti i casi il modello era impegnato in un capture-the-flag, un esercizio usato per misurare le capacità offensive di un sistema informatico: al modello è stato presentato uno scenario immaginario, gli è stato detto che un'informazione segreta, la "bandierina", è nascosta su un'altra macchina della rete e gli è stato chiesto di recuperarla. Il prompt di Anthropic precisava che l'ambiente era simulato e privo di accesso a internet, ma non imponeva limiti ai luoghi in cui cercare. A causa di un fraintendimento tra l'azienda e il partner, tuttavia, la connessione era invece rimasta aperta. Quando le ricerche hanno condotto i modelli verso macchine reali, questi le hanno trattate come componenti dell'esercitazione.
Nel primo epsiodio, l'azienda immaginaria scelta dal partner aveva lo stesso nome di un dominio realmente attivo. Claude Opus 4.7, il meno recente dei tre modelli coinvolti, non riusciva a raggiungere il bersaglio simulato e ha quindi individuato online la società reale, attaccandola in quattro prove distinte. Ha sfruttato password deboli ed endpoint privi di autenticazione, cioè servizi esposti che non richiedevano credenziali, ed è riuscito a sottrarre credenziali applicative e infrastrutturali e ad accedere a un database contenente diverse centinaia di righe di dati di produzione. È stato l'episodio più grave emerso dalla review ed è anche l'unico caso in cui il modello ha proseguito dopo essersi accorto che il sistema era reale: in due sessioni ha concluso che la vera azienda dovesse comunque far parte dell'esercizio.
Tre modelli Claude hanno violato aziende reali credendole finte
Una connessione a internet lasciata aperta per errore ha trasformato un esercizio simulato in un attacco vero. I modelli, convinti di essere ancora nella sandbox, hanno colpito organizzazioni esistenti.
L'ambiente di test doveva essere isolato, ma un varco verso internet era rimasto aperto per errore. Attraversandolo, ogni modello ha colpito un sistema reale credendolo parte dell'esercizio: due sono andati fino in fondo, uno si e' fermato.
sistemi reali
Sei prove nell'ambiente di Irregular, uno dei partner esterni di Anthropic. Tocca ogni scheda per i dettagli.
L'azienda immaginaria scelta dal partner aveva lo stesso nome di un dominio realmente attivo. Non riuscendo a raggiungere il bersaglio simulato, il modello ha trovato online la societa' vera e l'ha attaccata in quattro prove distinte.
Ha sfruttato password deboli ed endpoint senza autenticazione, ha sottratto credenziali applicative e infrastrutturali ed e' entrato in un database con centinaia di righe di dati reali.
Nell'ambiente fittizio il modello ha letto istruzioni che indicavano di installare un pacchetto Python inesistente. Bastava pubblicarne uno con quel nome perche' i sistemi lo scaricassero da soli.
Uno dei quindici sistemi apparteneva a una societa' di sicurezza, il cui scanner installa i pacchetti per analizzarli. Il codice nascosto si e' attivato e ha trasferito le credenziali verso un punto di raccolta creato dal modello.
Non riuscendo a raggiungere il bersaglio previsto, ha cercato alternative online e ne ha compromesso una con tecniche note: credenziali da una pagina di debug lasciata accessibile e una SQL injection.
Anthropic distingue il proprio caso da quello reso noto da OpenAI il 21 luglio.
Il pacchetto malevolo installato su 15 sistemi
Il secondo incidente ha coinvolto Claude Mythos 5. Nell'ambiente fittizio, il modello ha trovato le istruzioni destinate ai nuovi sviluppatori di un'altra azienda immaginaria, nelle quali si indicava di installare un pacchetto Python inesistente da PyPI, il registro pubblico su cui viene distribuito il software scritto in quel linguaggio. Sarebbe bastato pubblicare un pacchetto con quel nome perché i sistemi dell'azienda lo scaricassero automaticamente. Per riuscirci, il modello ha seguito una catena di passaggi insolitamente lunga: aveva bisogno di un account PyPI, quindi di un indirizzo email e di un numero di telefono. Dopo aver cercato senza successo un servizio gratuito, ha persino tentato di procurarsi il denaro necessario per pagarlo, prima di cambiare strada e registrarsi con una casella email gratuita.
Il pacchetto malevolo è rimasto disponibile per circa un'ora ed è stato scaricato ed eseguito da 15 sistemi reali. Uno apparteneva a una società di sicurezza il cui scanner installa abitualmente i pacchetti Python per analizzarli e che, secondo Anthropic, li considerava sicuri da eseguire. Il codice nascosto si è così attivato e ha trasferito le credenziali dell'azienda verso un punto di raccolta predisposto dal modello, che le ha poi usate per accedere ad altre parti dell'infrastruttura della stessa società. PyPI ha rimosso automaticamente il pacchetto e Anthropic ha avvertito i responsabili del registro.
All'inizio della sessione, il modello aveva scritto nel proprio ragionamento che, se quella fosse stata una rete reale, pubblicare il pacchetto sarebbe stato "NOT okay" e certamente non avrebbe rappresentato la soluzione attesa. In seguito si è convinto del contrario per due ragioni: non riconosceva le autorità di certificazione che proteggevano le connessioni, benché fossero autentiche, e interpretava la data del 2026 indicata sui sistemi come una prova del carattere artificiale dell'ambiente. Non ha più messo in discussione questa conclusione e, quando gli scanner automatici hanno cominciato a installare il pacchetto, li ha scambiati per elementi della simulazione.
Il modello che si è fermato e il precedente di OpenAI
Nel terzo episodio, un modello di ricerca interno, il più recente dei tre, non è riuscito a raggiungere il bersaglio previsto e ha così cercato alternative online, scansionando circa 9.000 diversi obiettivi. Ne ha compromesso uno con tecniche elementari e ben note: credenziali ricavate da una pagina di debug lasciata accessibile e una SQL injection, cioè l'inserimento di comandi nei campi di un sito per ottenere il contenuto del database. Il modello si è poi accorto che l'host violato apparteneva a un account cloud estraneo alla sfida, ha dedotto autonomamente che il bersaglio fosse reale e ha interrotto l'attacco.
Le valutazioni sono state eseguite su un'infrastruttura dedicata, separata dai sistemi interni sensibili e dai dati dei clienti. I modelli non disponevano dei classificatori e del monitoraggio che accompagnano le versioni distribuite al pubblico, protezioni che, secondo Anthropic, avrebbero impedito questi comportamenti, ma conservavano l'addestramento alla sicurezza ricevuto. La revisione è cominciata giovedì 23 luglio, quando tutte le valutazioni di cyber security sono state sospese. I tre episodi sono stati individuati il giorno successivo e lunedì 27 luglio l'azienda ha subito avvisato Irregular e le organizzazioni colpite. Due non si erano accorte dell'intrusione; con la terza Anthropic sta ancora cercando di stabilire un contatto.
Anthropic distingue comunque quanto accaduto dal caso reso noto da OpenAI il 21 luglio. Due modelli dell'azienda rivale, GPT-5.6 Sol e una versione non ancora pubblicata, erano riusciti a evadere da un ambiente isolato sfruttando una vulnerabilità fino ad allora sconosciuta. Avevano così raggiunto l'infrastruttura di Hugging Face, la piattaforma usata per distribuire modelli e dataset di apprendimento automatico, perché vi erano conservate le soluzioni del test di sicurezza al quale erano sottoposti e volevano copiarle. In quel caso si era trattato di un'effrazione; i tre modelli di Claude, invece, avevano trovato una via già lasciata aperta. Anthropic considera quindi gli incidenti soprattutto un errore dell'infrastruttura di test e delle procedure, più che un problema di allineamento. Hugging Face, inoltre, aveva scoperto autonomamente l'intrusione e avvertito le autorità prima di essere contattata da OpenAI.
