The Pulse

Anthropic illustra gli usi impropri di Claude in campagne informatiche, biologiche e di distillazione

Secondo Anthropic, attori malevoli hanno usato Claude in attacchi informatici, nella ricerca biologica a duplice uso e in tentativi su larga scala di copiarne le capacità. Il rapporto del settembre 2026 individua anche presunte campagne di

AI.info Team · Scritto con l’IA · verificato · 2026-09-12

L’ultimo rapporto di Anthropic sulle minacce si apre con un problema che sembra riguardare meno l’uso improprio di un chatbot e più un cambiamento nel modello operativo della criminalità informatica: gli aggressori umani scelgono gli obiettivi, mentre i sistemi di IA si occupano di ricognizione, sviluppo degli strumenti, sfruttamento delle vulnerabilità, persistenza e furto di dati. In una campagna attribuita a un attore legato allo Stato russo, flussi di lavoro assistiti da Claude hanno ripetutamente ricostruito malware dopo che i prodotti di sicurezza lo avevano rilevato, per poi impiegare gli strumenti modificati contro nuove vittime.

Il rapporto, pubblicato il 10 settembre, riguarda attività che Anthropic afferma di aver interrotto tra dicembre 2025 e agosto 2026. Le sue sette categorie comprendono operazioni informatiche, sorveglianza, campagne di influenza, frodi, uso improprio in ambito biologico, sviluppo di armi convenzionali e distillazione illecita: l’estrazione nascosta delle capacità di un modello per addestrarne un altro.

I casi hanno coinvolto i modelli Haiku, Sonnet e Opus di Anthropic. Nessuno dei casi di uso improprio ha coinvolto i modelli Fable o Mythos dell’azienda, a eccezione di una campagna di distillazione. Il rapporto presenta gli episodi come esempi selezionati, non come un censimento completo degli usi impropri, e distingue ripetutamente tra indizi di attività sospette e prove di intenti malevoli.

Claude passa da assistente a operatore informatico

Il caso informatico più approfondito da Anthropic ruota attorno a GTG-20006, un attore che secondo l’azienda corrisponde alle informazioni pubbliche sul gruppo russo Midnight Blizzard. L’operazione ha preso di mira organizzazioni di intelligence militare in Ucraina e in Europa, organismi diplomatici e della difesa, centri studi e persone legate alla politica estera statunitense.

Il gruppo ha usato Claude attraverso flussi di lavoro personalizzati che automatizzavano gran parte della catena di attacco. Secondo Anthropic, gli strumenti coprivano l’acquisizione di infrastrutture, il phishing, la persistenza dei sistemi di comando e controllo, il furto di credenziali e l’esfiltrazione di dati. L’attore ha usato l’IA anche per monitorare se il malware fosse stato rilevato; quando un prodotto di sicurezza segnalava uno strumento, agenti automatizzati lo modificavano e lo ricostruivano finché non eludeva il rilevamento osservato.

Secondo Anthropic, più di 20 organizzazioni comparivano nella pianificazione operativa e nelle attività in corso dell’attore. Tra gli obiettivi figuravano personale governativo e militare ucraino, produttori e fornitori di droni, hotel che fornivano accesso indiretto ai viaggiatori, un’autorità tecnologica governativa nordafricana e organizzazioni diplomatiche e governative che usavano Microsoft 365.

La campagna non dipendeva da una vulnerabilità sconosciuta o da una nuova forma di malware. La conclusione di Anthropic è più circoscritta e ha conseguenze maggiori: tecniche note come phishing, credenziali rubate, servizi esposti e dirottamento del DNS sono diventate meno costose da impiegare contro molti obiettivi, perché l’IA ha svolto un lavoro che un tempo richiedeva più specialisti.

«Stanno di fatto automatizzando parti del lavoro all’interno dell’apparato di intelligence», ha dichiarato ad Axios Jacob Klein, responsabile dell’intelligence sulle minacce di Anthropic. Klein ha affermato che l’IA rende la sorveglianza sostenuta dagli Stati meno costosa e più efficiente, senza cambiare sostanzialmente i soggetti presi di mira dai governi.

Cinque casi biologici mettono in luce il problema del duplice uso

Le conclusioni di Anthropic in campo biologico sono più caute rispetto a quanto il rapporto rivela sulle attività informatiche. L’azienda non sostiene che Claude abbia permesso di realizzare un’arma biologica, né identifica le istituzioni, i paesi o gli agenti specifici coinvolti. Descrive invece cinque casi in cui gli utenti hanno chiesto assistenza che potrebbe sostenere una ricerca biologica pericolosa, pur somigliando anche a un legittimo lavoro scientifico.

Un caso riguardava una richiesta di finanziamento per una ricerca di guadagno di funzione sulla chikungunya, un virus trasmesso dalle zanzare. Secondo Anthropic, il lavoro proposto si concentrava sulla trasmissibilità e sull’evasione immunitaria e mirava a identificare mutazioni, introdurle mediante ingegneria genetica in cloni infettivi e selezionare quelli con maggiore virulenza negli animali. L’azienda ha bloccato la richiesta e in seguito ha scoperto che il lavoro era associato a un istituto di ricerca militare.

Gli utenti hanno avuto accesso al modello attraverso una piattaforma destinata ai ricercatori nelle scienze della vita in regioni in cui Anthropic non offre ufficialmente il servizio. Secondo il rapporto, la piattaforma instradava il traffico attraverso infrastrutture statunitensi, usava un servizio che non conservava i dati e manteneva come alternativa l’accesso a un altro modello quando Claude rifiutava una richiesta. Anthropic ha bloccato gli account collegati e ha lavorato con i partner per interrompere la rete di inoltro, ma afferma che il gestore ha ripristinato l’accesso nel giro di pochi giorni usando nuove identità e abbonamenti per privati.

Un altro ricercatore ha usato Claude per settimane mentre pianificava esperimenti relativi al modo in cui i virus dell’influenza aviaria si adattano ai mammiferi. Secondo l’azienda, i classificatori di Anthropic hanno confinato il lavoro a modelli meno potenti, limitando l’assistenza ad analisi di routine, progettazione degli studi e compiti correlati. L’azienda stima che in quel caso il contributo di Claude sia stato nettamente inferiore al livello della ricerca biologica specialistica.

Altri casi erano più difficili da classificare. Un utente ha fatto redigere a Opus una richiesta di finanziamento sugli orthopoxvirus in circa un’ora, comprendente l’ipotesi, il disegno sperimentale, i dosaggi, i piani statistici e le misure per eventuali imprevisti. Altri due ricercatori hanno sviluppato sistemi computazionali che coinvolgevano peptidi del veleno e tossine, inquadrando il lavoro nell’ambito di analgesici, antidepressivi e altre applicazioni terapeutiche, ma creando anche risultati che avrebbero potuto contribuire allo sviluppo di composti nocivi.

Secondo Anthropic, un ricercatore ha deliberatamente mantenuto vaghe, nei rapporti sullo stato di avanzamento, le identità di una tossina batterica e di una proteina di un virus della febbre emorragica. L’azienda ha bloccato gli account per violazione della propria politica sulle regioni supportate, ma non ha affermato che i ricercatori avessero intenzioni dannose. Una revisione di 30 giorni delle attività associate a istituzioni statali ha individuato circa 35 distinti progetti di ricerca, per la maggior parte attività scientifiche civili ordinarie, alcuni dei quali mostravano un notevole potenziale di duplice uso.

La preoccupazione dichiarata dall’azienda non è che ogni richiesta biologica sospetta rappresenti un programma di armamento. È piuttosto che le stesse informazioni tecniche possano servire, da un lato, alla ricerca su vaccini, trattamenti o focolai epidemici e, dall’altro, alla progettazione di agenti biologici più dannosi. Secondo Anthropic, i filtri possono bloccare le richieste esplicite, ma non possono dedurre in modo affidabile l’intento da un lavoro tecnicamente sofisticato che appare vantaggioso se esaminato uno scambio alla volta.

Alibaba, DeepSeek e Zhipu prendono di mira il ragionamento di Claude

Anthropic usa l’espressione «distillazione illecita» per descrivere campagne su scala industriale che estraggono le capacità di un modello attraverso un gran numero di richieste non autorizzate e le riproducono in un altro sistema. La distillazione legittima è un metodo di addestramento standard: un modello studente più piccolo apprende dalle risposte generate da un modello insegnante più grande. Secondo Anthropic, in questi casi la differenza sta nella scala nascosta delle operazioni, nelle frodi e nella mancanza di autorizzazione.

L’azienda indica sette laboratori con sede in Cina come responsabili di ulteriori campagne di distillazione da febbraio. Secondo l’azienda, le operazioni hanno usato false identità, carte di pagamento rubate, chiavi API compromesse, servizi proxy e sistemi di instradamento verso modelli di terze parti. Questi servizi talvolta conservavano le conversazioni degli utenti e le vendevano ad altre organizzazioni, creando un problema di privacy distinto dal tentativo di copiare le capacità di Claude.

Anthropic definisce un’operazione di Alibaba la più grande campagna di distillazione che abbia misurato. Secondo l’azienda, la campagna ha preso di mira le trascrizioni dei ragionamenti di Opus 4.6 e 4.7, ha raggiunto un picco di quasi 3 milioni di scambi al giorno e ha usato più di 3.500 account fraudolenti. Secondo Anthropic, il materiale estratto riguardava compiti agentici, ingegneria del software, sviluppo del kernel e lavoro su orizzonti temporali estesi, ed è stato usato per addestrare o migliorare i modelli Qwen di Alibaba.

L’attività di DeepSeek ha comportato un diverso tipo di esposizione. Secondo Anthropic, DeepSeek ha instradato attraverso Claude alcune richieste selezionate dei propri utenti, comprese conversazioni inviate tramite strumenti di programmazione come Claude Code e altre piattaforme di orchestrazione di terze parti. Nell’arco di 14 giorni a luglio, l’azienda ha osservato più di 12,1 milioni di scambi attribuiti a DeepSeek. Alcuni contenevano informazioni aziendali interne, dati governativi e credenziali attive, anche se Anthropic non ha affermato che i dati di persone statunitensi siano stati esposti in ogni caso.

Secondo Anthropic, Zhipu, nota fuori dalla Cina come Z.ai, ha usato 273 account fraudolenti in un’operazione di dieci giorni contro Claude Opus 4.8. L’azienda ha contato 770.609 scambi passati attraverso un sistema di estrazione della catena di pensiero e ha attribuito a Zhipu più di 3 milioni di ulteriori scambi nello stesso periodo. Zhipu ha usato Claude anche per valutare gli output, ripulire le trascrizioni, generare compiti e testare modelli nella propria pipeline di addestramento.

Anthropic attribuisce inoltre a Xiaomi più di 400.000 scambi effettuati attraverso più di 1.500 account. SenseTime avrebbe acquistato da fornitori di dati trascrizioni di Claude raccolte in precedenza, mentre secondo Anthropic MiniMax ha creato un servizio proxy attraverso una società di comodo che offriva accesso ai modelli di Anthropic e OpenAI, ma non ai modelli cinesi. Secondo l’azienda, questi risultati suggeriscono che il servizio potrebbe essere stato costruito per raccogliere scambi con modelli di frontiera statunitensi da usare per l’addestramento di modelli.

Perché la distillazione cambia i termini della sicurezza

Secondo Anthropic, il pericolo non si limita a copiare un benchmark di programmazione o di ragionamento. La capacità generale di ragionamento migliora le prestazioni in molti compiti, quindi un modello addestrato su output rubati può acquisire capacità che vanno oltre gli argomenti delle conversazioni raccolte.

Secondo i test condotti dalla stessa Anthropic, un modello distillato da un sistema di frontiera può acquisire capacità pericolose in biologia e nelle operazioni informatiche anche quando gli scambi usati per l’addestramento contengono poco materiale direttamente legato a questi ambiti. I controlli di sicurezza applicati a Claude non si trasferiscono automaticamente al modello non autorizzato che apprende dagli output di Claude.

L’azienda descrive anche ripetuti tentativi di estrarre il ragionamento interno attraverso la manipolazione dei prompt. Un laboratorio ha testato più di 12.000 richieste diverse per scoprire quali tecniche potessero rivelare le tracce di ragionamento. In altri tentativi è stato chiesto a Claude di tradurre in un’altra lingua il ragionamento precedente o di trattare un’istruzione falsa come un prompt di sistema.

Anthropic usa ora metadati, segnali di attività irregolare e classificatori specializzati per individuare le campagne di estrazione. Ha anche cambiato il modo in cui Claude presenta il ragionamento interno, introdotto misure di sicurezza che limitano la possibilità per i nuovi account di modificare prompt e strumenti nelle conversazioni a più turni e si è orientata verso un’attribuzione più ampia a livello di account, anziché bloccare gli account sospetti uno alla volta.

La risposta preferita da Anthropic è Trusted Access

Il rapporto indica un modello di policy che combina filtri sui contenuti con verifiche dell’identità e delle istituzioni. Anthropic sostiene che le capacità biologiche ad alto rischio non possano essere offerte in sicurezza attraverso un accesso anonimo e generalista, perché i filtri non riescono a distinguere tutta la ricerca legittima dal lavoro dannoso. Programmi basati sulla fiducia, istituzioni verificate e un certo grado di conservazione dei dati consentirebbero ai fornitori di indagare sugli usi impropri, mantenendo l’accesso per gli scienziati autorizzati.

Questo approccio crea un compromesso che il rapporto non risolve. Un maggiore monitoraggio può aiutare a identificare la ricerca nascosta e l’accesso ai modelli ottenuto illecitamente, ma significa anche che informazioni aziendali, personali e governative sensibili possono passare attraverso intermediari senza che gli utenti comprendano dove vadano a finire. Gli esempi di Anthropic comprendono previsioni finanziarie aziendali, credenziali di sviluppatori e materiale legato ai governi, inoltrati da servizi di modelli di terze parti.

Il messaggio più concreto del rapporto è che l’uso improprio non è più confinato a jailbreak isolati. Gli operatori informatici assegnano ai sistemi di IA lunghe sequenze di compiti, i ricercatori usano modelli di frontiera in programmi biologici ambigui e laboratori concorrenti stanno costruendo processi industriali per copiare il comportamento dei modelli. Anthropic ha bloccato gli account individuati, condiviso informazioni di intelligence con le autorità e altre aziende di IA e rafforzato le proprie misure di sicurezza. Il rapporto chiarisce anche che bloccare un fornitore non pone necessariamente fine a un’operazione: gli attori possono passare a un altro modello, a un’installazione locale o a una nuova rete proxy.