Caccia Senza Esclusione di Colpi: Smantellate in 24 Ore le Difese dell'IA Più Protetta di Anthropic

Anthropic ha presentato Claude Fable 5 il 9 giugno 2026, celebrandolo come il suo primo modello di classe Mythos accessibile al pubblico. Una categoria così potente che l'azienda stessa aveva in precedenza giudicato troppo pericolosa per un accesso senza restrizioni . L'architettura di sicurezza era senza precedenti: classificatori IA dedicati monitoravano le richieste ad alto rischio in materia di cybersicurezza, biologia, chimica e distillazione di modelli, reindirizzando silenziosamente qualsiasi domanda sospetta al meno potente Claude Opus 4.8 . Anthropic aveva dichiarato pubblicamente che oltre 1.000 ore di test esterni di bug bounty e red-teaming non erano riuscite a produrre un singolo jailbreak universale .

Questa affermazione ha retto per circa un giorno.

Il 10 giugno, il red-teamer conosciuto con lo pseudonimo di Pliny il Liberatore ha annunciato di aver aggirato i classificatori di sicurezza di Fable 5, di aver estratto il suo prompt di sistema di 120.000 caratteri (poi pubblicato su GitHub) e di aver ottenuto dal modello codice per lo sviluppo di exploit, fasi di attacchi informatici e indicazioni di chimica riservate . La rapidità dell'aggiramento, avvenuto entro 24-48 ore dal lancio , ha segnato un punto di svolta nel crescente dibattito pubblico sulla reale efficacia degli attuali metodi di sicurezza per l'IA di frontiera.

L'Attacco a Branco: Come Ha Funzionato il Jailbreak

Pliny ha descritto il suo approccio come una "caccia a branco" (pack hunt), ovvero una tecnica coordinata tra più agenti, ben lontana da un singolo comando ingegnoso . L'attacco ha combinato diverse strategie avversarie, ciascuna delle quali ha contribuito a un superamento progressivo delle difese:

• Orchestrazione multi-agente: Pliny ha utilizzato un'istanza di Claude Opus 4.8, già oggetto di jailbreak in precedenza, come agente attaccante. Invece di creare manualmente un prompt, ha impostato un modello per sondare e sfruttare sistematicamente le vulnerabilità di un altro . Questa strategia rispecchia una sua tecnica precedente: un agente autonomo Opus 4.7 aveva violato Opus 4.8 in soli sette minuti dal lancio, poche settimane prima .
• Offuscamento Unicode e omoglifi: Le istruzioni malevole sono state codificate usando caratteri Unicode visivamente simili per superare i classificatori di input che Anthropic aveva addestrato per intercettare stringhe pericolose .
• Manipolazione di contesti lunghi e incorniciatura narrativa: Le richieste dannose sono state inserite all'interno di lunghi scenari di gioco di ruolo, capitoli simili a libri di testo o dialoghi socratici. Questa "incorniciatura narrativa" ha camuffato la natura pericolosa della richiesta complessiva abbastanza a lungo da far sì che il modello iniziasse a elaborarla in un contesto considerato affidabile .
• Scomposizione di richieste dannose: Un compito come "scrivi un exploit per un buffer overflow dello stack" veniva scomposto in sotto-fasi singolarmente innocue, che apparivano ciascuna inoffensiva ai sistemi di sicurezza. Il modello le elaborava in sequenza prima che l'intento malevolo complessivo diventasse chiaro . Secondo Pliny, la scomposizione e ricomposizione si sono rivelate particolarmente efficaci proprio perché ogni prompt sembrava innocuo se preso singolarmente .
• Escalation incrementale all'interno della visualizzazione degli artefatti: Pliny ha notato pubblicamente che spostarsi in un contesto di visualizzazione di un artefatto (artifact render) introduce un significativo "rumore" dovuto all'impalcatura del codice, che può mascherare i trigger di sicurezza. Una volta in questo ambiente più caotico, poteva aumentare gradualmente la gravità delle richieste in modo socratico, a più passaggi .

Il risultato è stato un bypass che ha prodotto codice di exploit funzionante, istruzioni dettagliate per sintesi chimiche e l'intero prompt di sistema attorno a cui Anthropic aveva progettato Fable 5 .

Le Dichiarazioni di Sicurezza Pre-Lancio di Anthropic Sotto Esame

Prima del rilascio di Fable 5, Anthropic aveva illustrato una strategia di sicurezza pubblica insolitamente dettagliata:

• Certificazione red-team: L'azienda aveva riferito che il suo programma esterno di bug bounty aveva prodotto zero jailbreak universali in oltre 1.000 ore di test, e che anche le organizzazioni esterne di red-teaming non ne avevano trovato alcuno .
• Architettura a classificatori: Fable 5 impiegava classificatori IA separati, addestrati per rilevare e intercettare domande ad alto rischio in quattro domini: cybersicurezza, biologia, chimica e distillazione di modelli. Quando attivato, il sistema non rifiutava seccamente la richiesta, ma la reindirizzava a Claude Opus 4.8, un modello meno capace . L'azienda ha osservato che queste salvaguardie si attivavano in meno del 5% delle sessioni utente, in media .
• Prove da benchmark: Nel benchmark di red-teaming agentivo Gray Swan/UK AISI, con la modalità di ragionamento (thinking) attiva, Fable 5 ha raggiunto un tasso di successo degli attacchi del 4,8% a k=100, contro il 9,6% di Opus 4.8, il 30,8% di GPT-5.5 e il 45,5% di Gemini 3.1 Pro . A k=1, il tasso di successo era appena dello 0,1% .

Il rapido jailbreak ha minato direttamente queste cifre. Un sistema di sicurezza certificato da oltre mille ore di test è stato aggirato da un singolo ricercatore nel giro di un giorno, utilizzando tecniche che non si basavano su alcuna nuova vulnerabilità software, ma su strategie di prompt ispirate all'ingegneria sociale, che l'addestramento dei classificatori aveva apparentemente mancato .

Uno Schema di Jailbreak Fulminei

L'incidente di Fable 5 non è un caso isolato. Continua uno schema ben documentato ad opera dello stesso red-teamer:

• Claude Opus 4.8 (maggio 2026): Appena 7 minuti dopo il lancio ufficiale del modello, Pliny ha ricevuto un avviso automatico da un agente Opus 4.7 precedentemente schierato, che segnalava di aver violato il nuovo modello "in un colpo solo". La tecnica prevedeva un "pre-riempimento" (deep prefill) mascherato da un capitolo incompleto di un libro di testo: il modello ha semplicemente completato il testo, producendo migliaia di token di output dannoso tra cui script per frodi telefoniche, passaggi per il riciclaggio di denaro e librerie di esche per il phishing .
• Modelli GPT-OSS (agosto 2025): Pliny ha aggirato i primi modelli open-weight di OpenAI a poche ore dal loro lancio, estraendo istruzioni per la produzione di metanfetamine e la sintesi del gas nervino VX .
• Claude Opus 4.7 (aprile 2026): È stato dimostrato un auto-jailbreak in meno di 20 minuti, con un agente Opus 4.7 che ha sviluppato un jailbreak universale contro sé stesso .

Alla base di questo schema c'è un cambiamento di metodologia che lo stesso Pliny ha descritto come "modelli che fanno jailbreak di modelli" . Invece di creare a mano un singolo prompt magico, l'attaccante sguinzaglia un modello già compromesso come agente autonomo contro un nuovo bersaglio. Questo approccio agentivo, multi-turno e basato sulla scomposizione si è rivelato molto più difficile da rilevare per i sistemi di sicurezza basati su classificatori, rispetto agli attacchi con prompt statici per cui quei sistemi erano stati in gran parte addestrati.

La più ampia comunità di ricerca ha osservato un'evoluzione simile. L'azienda di sicurezza Repello, analizzando le tendenze dei jailbreak nel 2026, ha osservato che gli attacchi operativamente più pericolosi non sono più i jailbreak a singolo prompt, ma sequenze avversarie multi-turno che avanzano attraverso passi apparentemente innocui, una descrizione che corrisponde strettamente alla struttura del "pack hunt" .

Implicazioni per i Test di Sicurezza dell'IA

Il jailbreak di Fable 5 non dimostra che le affermazioni di sicurezza di Anthropic fossero infondate, ma solleva domande scomode sulla loro scalabilità. Oltre 1.000 ore di red-teaming da parte di organizzazioni professionali non hanno trovato ciò che un determinato ricercatore indipendente ha prodotto in meno di un giorno. Il divario suggerisce che gli attuali programmi di certificazione, per quanto rigorosi, possano sottorappresentare sistematicamente la diversità della creatività avversaria nel mondo reale, specialmente per approcci ispirati all'ingegneria sociale, multi-turno e agentivi.

Solleva anche un dilemma: se i guardrail di un modello sono abbastanza robusti da resistere a mesi di test strutturati, ma crollano di fronte a un attacco coordinato multi-agente, cosa significa realmente "certificato come sicuro" per i modelli di frontiera rilasciati pubblicamente? La velocità e la ripetibilità dello schema di Pliny attraverso più aziende e architetture suggeriscono che la sfida non è specifica del design di un singolo modello, ma potrebbe essere endemica all'attuale paradigma dei classificatori di sicurezza a livello di prompt.