Come attori malevoli hanno aggirato i controlli di Claude, secondo Anthropic

Il rapporto di threat intelligence di Anthropic, pubblicato a settembre 2026, descrive tentativi di abuso di Claude individuati e interrotti tra dicembre 2025 e agosto 2026. Le attività coprono sette aree: operazioni cyber, operazioni di influenza, sorveglianza, truffe e frodi, uso improprio in ambito biologico, sviluppo di armi convenzionali e distillazione illecita di modelli. Nei casi esaminati compaiono Claude Haiku, Sonnet e Opus. 16

Il punto centrale non è che ogni tentativo sia andato a buon fine. Il rapporto mostra piuttosto come l’IA possa ridurre il lavoro e le competenze necessari per ricognizione, sorveglianza, frodi e attività cyber, e come i vincoli di piattaforma possano essere elusi attraverso l’abuso degli account. Anthropic afferma di non aver trovato prove del dispiegamento di un’arma operativa sviluppata con Claude. 46

Come sarebbero stati aggirati i controlli

Secondo Anthropic, gli attori hanno tentato di eludere restrizioni geografiche e di piattaforma ricorrendo a VPN, account fraudolenti, credenziali compromesse e rotazione degli account. Queste pratiche avrebbero consentito di cercare accesso nonostante i controlli pensati per limitare l’uso improprio. 4

L’azienda segnala anche abusi nell’ecosistema che circonda i modelli: chiavi API e token di sessione compromessi o rivenduti, oltre a siti che impersonavano prodotti o fornitori di IA — incluso Claude Code — per distribuire malware destinato a rubare credenziali. 412

La lezione è che la sicurezza non si esaurisce nel filtrare le richieste rivolte al modello. Creazione degli account, verifica dell’identità, abusi nei pagamenti, protezione delle credenziali e rilevamento di attività coordinate fanno tutti parte del perimetro di difesa.

I casi di abuso riportati

Ricerca su armi e droni

Anthropic descrive una cellula di ingegneria per armi guidate con base nello Yemen che avrebbe usato Claude per lavorare su software associato a un razzo guidato, a un missile balistico multistadio e a un missile con veicolo planante ipersonico. La società precisa di non avere prove che un’arma operativa sviluppata con Claude sia stata dispiegata. 6

Un diverso attore legato alla Russia avrebbe cercato assistenza per uno sciame autonomo di droni kamikaze. Le informazioni disponibili lo qualificano come tentativo di sviluppo assistito dall’IA, non come prova di un sistema completato o impiegato sul campo. 5

Sorveglianza, repressione e influenza

Il rapporto descrive anche sorveglianza e raccolta d’intelligence assistite dall’IA. In un caso legato alla Cina, un ingegnere impegnato su un sistema di gestione dei casi di un ufficio municipale di Pubblica Sicurezza avrebbe sviluppato uno strumento per confrontare gli spostamenti di una persona con gli archivi della polizia, usando il numero della carta d’identità nazionale. 4

Tra gli altri episodi segnalati figurano un’attività collegata al Mali per intercettare le comunicazioni attraverso gli operatori mobili e un’operazione iraniana di raccolta di identità sui social network e analisi di oltre 155.000 tweet per fini di intelligence o influenza. Il materiale disponibile sostiene le rilevazioni di Anthropic, ma non stabilisce l’efficacia o l’impatto operativo concreto di ogni singola campagna. 4

L’avvertimento di Anthropic è che l’IA può rendere pratiche già esistenti di sorveglianza e repressione meno costose, più rapide e più facili da scalare: non necessariamente creando danni del tutto nuovi, ma abbassando il fabbisogno di manodopera e competenze per metterle in atto. 4

Cyber-spionaggio, frodi e sottrazione delle capacità dei modelli

La documentazione comprende attività cyber che vanno dal furto di credenziali al supporto alle intrusioni, fino a flussi di attacco semi-autonomi assistiti dall’IA. Descrive inoltre operazioni contro organizzazioni governative, finanziarie e commerciali in Asia. 4

Le attività legate alla Russia avrebbero incluso cyber-spionaggio e l’esposizione, tramite instradamento delle query al modello, di credenziali connesse a una banca dati governativa russa legata alla difesa. 5

Nei casi legati alla Cina compaiono tentativi di estrarre o distillare le capacità di Claude, secondo quanto riportato usando numerosi account fraudolenti. Anthropic include la distillazione illecita tra le sette aree di danno esaminate. 416

La risposta di Anthropic

Anthropic afferma di aver interrotto le operazioni individuate, bloccato gli account associati, aggiornato le salvaguardie sulla base dei casi e condiviso informazioni rilevanti con autorità governative competenti e partner del settore. 4

Queste misure possono chiudere uno specifico canale d’accesso a un modello commerciale e offrire indicatori utili ad altri difensori. Non eliminano però gli strumenti né le motivazioni che stanno alla base delle attività.

Perché il ban degli account non basta

Anthropic presenta esplicitamente il problema come più ampio del solo accesso a Claude. Chi viene rimosso da un servizio può cercare account rubati, passare a un altro fornitore oppure usare modelli open source. 4

Per questo il rapporto va letto come l’evidenza di un contesto di minaccia in evoluzione, non come la prova che il blocco di alcuni account risolva definitivamente gli abusi. L’applicazione delle regole da parte dei fornitori può aumentare il costo delle operazioni ostili, esporre campagne e proteggere gli utenti legittimi; deve però accompagnarsi a controlli d’identità più solidi, protezione delle credenziali, scambio coordinato di informazioni sulle minacce e difese che considerino strumenti IA oltre una singola piattaforma.

In sintesi

Il quadro delineato da Anthropic è quello di un problema di scalabilità operativa: attori malevoli avrebbero combinato tecniche note di elusione — VPN, account falsi e credenziali sottratte — con modelli generalisti per ricerca su armi, sorveglianza, operazioni di influenza, attività cyber e frodi. 416

L’intervento dell’azienda ha limitato l’accesso a Claude nei casi individuati. L’avvertimento più ampio, però, è che modelli sempre più capaci stanno abbassando la soglia d’accesso ad attività dannose nell’intero ecosistema, mentre le evidenze disponibili non dimostrano che ogni tentativo segnalato, incluso quello relativo alle armi, abbia raggiunto un impiego operativo. 46