Corsa contro il tempo: Anthropic quadruplica l'accesso alla sua IA 'Mythos' che ha già scovato oltre 10.000 falle zero-day

Il nuovo gruppo di circa 150 organizzazioni invitate allarga notevolmente il progetto oltre il suo nucleo originale, composto principalmente da giganti della Silicon Valley e dell'industria della difesa. Gli invitati provengono da più di 15 Paesi, inclusi Stati Uniti, Australia, Giappone e diversi alleati europei. Tra i nuovi entranti di rilievo figurano anche la NATO e l'ENISA, l'Agenzia dell'Unione Europea per la Cybersicurezza .

Un aspetto cruciale di questa espansione è il coinvolgimento di settori che erano sottorappresentati nel lancio iniziale di aprile. Ai partner originari – un "chi è chi" del mondo tech e finanziario come Apple, Amazon Web Services, Microsoft, Google, NVIDIA, CrowdStrike, JPMorganChase e la Linux Foundation – si aggiungono ora organizzazioni che gestiscono servizi pubblici essenziali (energia, acqua), telecomunicazioni, sanità, comunicazioni e produzione di hardware . Ogni nuova organizzazione deve superare i rigorosi requisiti di sicurezza di Anthropic prima di ottenere l'accesso a Mythos Preview .

La Corea del Sud bussa alla porta

L'espansione arriva in un contesto di attivo lobbying diplomatico da parte della Corea del Sud. A maggio 2026, il Ministero della Scienza e delle ICT sudcoreano (MSIT) ha incontrato Anthropic per cercare di ottenere la partecipazione al Progetto Glasswing. All'incontro ha partecipato un'ampia rappresentanza del governo coreano: il Ministero degli Affari Esteri, il Servizio di Intelligence Nazionale, la Commissione per i Servizi Finanziari, l'Istituto per la Sicurezza dell'IA (AISI), l'Agenzia Coreana per Internet e la Sicurezza (KISA) e l'Istituto per la Sicurezza Finanziaria .

Nonostante questa forte spinta politica ad alto livello, l'annuncio di martedì non ha incluso nessuna azienda privata sudcoreana – come Samsung o LG – tra i partner nominati di Glasswing. Questa assenza sottolinea una preoccupazione già emersa sulla stampa coreana alla fine di aprile: il timore che i Paesi esclusi dall'alleanza rischino di essere tagliati fuori dalla nascente filiera della cybersicurezza basata sull'IA .

10.000 falle: cosa ha davvero trovato Claude Mythos

La struttura della partnership non è solo un esercizio diplomatico. In un aggiornamento separato pubblicato a fine maggio, Anthropic ha rivelato che il modello Claude Mythos Preview ha scoperto autonomamente più di 10.000 vulnerabilità zero-day di gravità alta o critica nel software più sistematicamente importante del mondo .

Non si tratta di risultati teorici. Anthropic ha presentato 1.596 vulnerabilità convalidate in 281 progetti open-source attraverso un processo formale di Divulgazione Coordinata delle Vulnerabilità (Coordinated Vulnerability Disclosure, o CVD). Al 22 maggio 2026, 97 di queste erano state corrette e 88 avevano ricevuto un identificativo CVE ufficiale o un GitHub Security Advisory . Per evitare che il modello "allucinasse" bug inesistenti – un problema crescente per gli sviluppatori open-source – l'azienda si è affidata a società di ricerca esterne per la convalida prima di segnalare i problemi ai manutentori .

La convalida indipendente è stata cruciale. Cloudflare, uno dei partner di Glasswing, ha riferito di aver trovato 2.000 bug grazie a Mythos, di cui 400 di gravità alta o critica, notando che il tasso di falsi positivi del modello è migliore di quello dei tester umani .

Sui benchmark, i numeri sono straordinari. Mythos Preview ha ottenuto il 93,9% su SWE-bench Verified e il 94,6% su GPQA Diamond – i punteggi più alti mai registrati in quelle valutazioni, anche se nessuno dei due è stato formalmente pubblicato su classifiche pubbliche . Su CyberGym, un benchmark di riproduzione delle vulnerabilità, Mythos ha raggiunto una precisione dell'83,1% contro il 66,6% di Claude Opus 4.6 . Un'analisi separata della Cloud Security Alliance ha documentato che Mythos Preview ha sviluppato autonomamente 181 exploit funzionanti su un benchmark relativo al motore di Firefox, mentre Opus 4.6 ha ottenuto un tasso di successo vicino allo zero nello stesso compito .

Una finestra di 12-18 mesi per correre ai ripari

A dare urgenza all'espansione è la tempistica che Anthropic prevede per la disponibilità diffusa di queste capacità. "Capacità paragonabili a Claude Mythos Preview saranno ampiamente disponibili entro 12-18 mesi", ha dichiarato l'azienda, inquadrando il Progetto Glasswing come un vantaggio temporale per i difensori, prima che gli attaccanti ottengano strumenti equivalenti .

Il modello è così potente che Anthropic ha rifiutato di rilasciarlo pubblicamente ad aprile, limitandolo a una coalizione selezionata di partner proprio perché le sue capacità autonome di scoperta di vulnerabilità e generazione di exploit superavano una soglia qualitativa mai raggiunta prima . Ora, con la coalizione allargata, l'azienda sta di fatto correndo per mettere in sicurezza il codice più critico del mondo prima che un'IA di livello Mythos diventi una commodity – e prima che la finestra si chiuda definitivamente.