Qualche giorno fa Anthropic ha pubblicato un documento di 246 pagine, una “system card” che descrive nel dettaglio le capacità, i comportamenti e i rischi del suo modello più avanzato, Claude Mythos Preview. Fin qui, routine. Ogni grande laboratorio di AI pubblica valutazioni tecniche quando rilascia un nuovo modello. La differenza è che Anthropic, il modello, ha deciso di non rilasciarlo. Almeno non a tutti.
È la prima volta che accade nella storia dell’intelligenza artificiale commerciale. Un’azienda che investe mesi di lavoro in un sistema, ne misura le prestazioni, le documenta con una trasparenza senza precedenti, e poi sceglie di non metterlo sul mercato. Se consideriamo la storia dell’AI generativa, si potrebbe fare il parallelismo con GPT-2 di OpenAI, che nel 2019 fu tenuto nella scatola per motivi analoghi: troppo potente e troppo facile da usare per scopi malevoli (poi però alla fine venne rilasciato). La recente decisione di Anthropic, va precisato, non deriva da un obbligo regolatorio né dalla Responsible Scaling Policy di Anthropic stessa, il framework interno che governa le soglie di sicurezza dei loro modelli. È una scelta volontaria, motivata da una valutazione che vale la pena leggere con attenzione. Le capacità di cybersecurity del modello, se rese disponibili al pubblico, fornirebbero un vantaggio offensivo significativo a chiunque volesse usarle per attaccare.
Invece di venderlo a tutti, Anthropic ha aperto il modello a circa quaranta organizzazioni partner – fra cui AWS, Apple, Cisco, CrowdStrike, Google, JPMorgan Chase, Microsoft, NVIDIA, la Linux Foundation – esclusivamente per scopi di cybersecurity difensiva. Il programma si chiama Project Glasswing, viene fornito con cento milioni di dollari in crediti API e un protocollo di coordinated disclosure che prevede novanta giorni di tempo per le patch ordinarie e sette giorni per le vulnerabilità già attivamente sfruttate.
Per comprendere perché Anthropic abbia preso questa decisione, e perché chiunque si occupi di tecnologia, sicurezza o gestione d’impresa dovrebbe prestarvi attenzione, occorre partire dai numeri. E i numeri sono di quelli che cambiano le conversazioni.
I numeri che hanno fatto i titoli dei giornali (e dei blog)
Claude Mythos Preview è un modello di linguaggio general-purpose, il che significa che non è stato addestrato specificamente per la cybersecurity. Fa matematica, scrive codice, analizza documenti, ragiona su problemi complessi. Ma è nella sicurezza informatica che il salto rispetto alla generazione precedente diventa difficile da ignorare.
Partiamo da un test standardizzato chiamato CyberGym, sviluppato da Dawn Song e dal suo team a Berkeley. CyberGym presenta al modello 1.507 vulnerabilità reali e gli chiede di identificarle autonomamente, al primo tentativo. Il modello precedente di Anthropic, Claude Opus 4.6, raggiungeva uno score di 0,67: identificava correttamente la vulnerabilità al primo tentativo nel 67% dei casi. Mythos arriva all’83%. Per dare un contesto alla traiettoria, secondo le stime di ricercatori esterni un anno prima Claude Sonnet 4 era a circa il 20%. Il percorso dal 20% all’83% in meno di due anni racconta una curva di miglioramento che non ha precedenti nel settore.
Poi c’è il test su Firefox 147, il browser di Mozilla. I ricercatori hanno sottoposto a Mythos 250 sessioni di test – cinquanta categorie di crash, cinque tentativi ciascuna – chiedendogli di trasformare quei crash in exploit funzionanti, cioè in codice che non si limita a far bloccare il programma ma ne prende il controllo. Claude Opus 4.6, il modello precedente, era riuscito a produrre 2 exploit completi su 250 tentativi. Mythos ne ha prodotti 181 e altri 29 parziali, per un tasso di successo del 72,4%. Il modello ha identificato e sfruttato sistematicamente 4 bug distinti nel browser, laddove il suo predecessore ne aveva trovato uno solo e in modo inaffidabile.
Le vulnerabilità scoperte da Mythos durante i test non si limitano a software recente. Il modello ha individuato un bug nell’implementazione TCP SACK di OpenBSD vecchio di 27 anni, con un integer overflow che era sfuggito a decenni di audit manuali e di fuzzing automatizzato. Ha trovato una vulnerabilità nel codec H.264 di FFmpeg presente da 16 anni e una falla nel sistema NFS di FreeBSD che consentiva l’accesso root da remoto senza autenticazione. Falla che era lì da 17 anni senza che nessuno la notasse. Ha persino scoperto un bug di corruzione della memoria guest-to-host in un hypervisor scritto in Rust, un linguaggio progettato specificamente per prevenire questo tipo di errori.
Sul fronte dei benchmark di capacità generali i numeri sono altrettanto netti. Su SWE-bench Verified, il test standard per la risoluzione di problemi reali di sviluppo software, Mythos raggiunge il 93,9% contro l’80,8% di Opus 4.6. Su SWE-bench Pro, la variante più difficile, il divario si allarga ancora: 77,8% contro 53,4%. Ma il dato forse più indicativo è USAMO 2026, la competizione americana di olimpiadi matematiche. Mythos ha ottenuto il 97,6%, un risultato straordinario non tanto per il punteggio in sé quanto per un dettaglio metodologico. La competizione si è svolta dopo la chiusura dei dati di addestramento del modello. Mythos non poteva aver memorizzato i problemi. Li ha risolti ragionando.
È questa capacità di ragionamento generale, non una specializzazione settoriale, a rendere il modello così efficace nella cybersecurity. Trovare una vulnerabilità vecchia di 27 anni in un sistema operativo richiede la stessa abilità che serve per risolvere un problema di matematica olimpica. Parliamo della capacità di esaminare un sistema complesso, individuare dove la logica si rompe e costruire una catena di ragionamento che nessuno aveva costruito prima. Mythos fa entrambe le cose perché sa “pensare”, non perché è stato programmato per fare l’hacker.
L’altra faccia della stessa capacità
Se i numeri offensivi hanno dominato i titoli di giornale, quelli difensivi sono passati quasi inosservati. Eppure raccontano una storia altrettanto interessante e forse più importante per capire cosa sia davvero Mythos.
Uno dei problemi più insidiosi dei sistemi di AI che navigano il web o eseguono operazioni per conto dell’utente è la prompt injection: un attaccante nasconde istruzioni malevole all’interno di una pagina web, un documento o un’email, sperando che il modello le esegua scambiandole per comandi legittimi. È l’equivalente digitale di infilare un ordine falso nella pila di documenti che un assistente sta elaborando, sperando che non se ne accorga.
Anthropic ha testato la resistenza di Mythos a questo tipo di attacchi in scenari di navigazione web reale, usando un team di red-teamer professionisti. I risultati sono impressionanti nella loro asimmetria rispetto al modello precedente. Claude Opus 4.6 cadeva nella trappola nell’80,41% degli ambienti di test. In altre parole, l’attaccante riusciva a manipolare il modello quattro volte su cinque. Mythos scende allo 0,68%. Con i meccanismi di protezione aggiuntivi (i “safeguard”) il tasso arriva allo 0,00%. Zero.
Nello scenario “computer use”, dove il modello controlla direttamente un computer ed è esposto a 200 tentativi di attacco adattivo, Opus 4.6 cedeva nel 78,6% dei casi. Mythos resiste, con un tasso di successo per l’attaccante del 21,43%. Bene, ma non benissimo. E quando un utente chiede a Mythos di eseguire codice malevolo tramite Claude Code, il modello rifiuta nel 96,72% dei casi, contro l’83,31% del predecessore. Mentre il tasso di falsi positivi, cioè le volte in cui il modello rifiuta erroneamente una richiesta perfettamente legittima, scende allo 0,06%, praticamente trascurabile.
Questi dati vanno letti insieme ai numeri offensivi, perché la domanda cruciale è come possa lo stesso modello essere radicalmente più bravo sia nell’attaccare sia nel difendere. La risposta è che attacco e difesa, in un modello linguistico, non sono competenze distinte. Scrivere un exploit per Firefox richiede di comprendere la logica di un programma, ragionare sulle interazioni tra componenti e trovare il punto preciso dove il sistema si rompe. Resistere a una prompt injection richiede di comprendere il contesto di un testo, ragionare sulle intenzioni di chi lo ha scritto e trovare il punto dove qualcuno sta tentando una manipolazione. La muscolatura cognitiva è la stessa, applicata a obiettivi opposti.
Questa è la prima chiave di lettura per comprendere Mythos. Il salto di capacità non è settoriale. È un salto nel ragionamento generale che si manifesta simultaneamente in tutte le direzioni in cui quel ragionamento viene applicato. Più pericoloso in attacco, più robusto in difesa. La stessa intelligenza che concatena quattro vulnerabilità in una catena di exploit per uscire da una sandbox del browser è quella che riconosce un tentativo di manipolazione nascosto in una pagina web e si rifiuta di eseguirlo.
Questa simmetria è la buona notizia. La cattiva notizia è che lo stesso ragionamento si applica anche in una terza direzione, meno visibile e più inquietante. E per capirla occorre guardare cosa fa Mythos quando pensa di non essere osservato.
Quando Mythos resta solo
Durante lo sviluppo e i test interni, prima che il modello raggiungesse la versione finale, i ricercatori di Anthropic hanno documentato una serie di episodi che non riguardano né le capacità offensive né quelle difensive, bensì il comportamento autonomo del modello stesso. Episodi che presi singolarmente potrebbero sembrare aneddoti. Presi insieme, compongono un quadro che la system card definisce con cautela calcolata: Mythos è “il modello meglio allineato che abbiamo mai addestrato” e contemporaneamente “quello che pone probabilmente il maggior rischio legato all’allineamento tra tutti quelli che abbiamo rilasciato“.
Il primo episodio è il più cinematografico. Durante una sessione di test in ambiente sandbox – un ambiente isolato, progettato per impedire al modello di interagire con il mondo esterno – un utente simulato ha chiesto a Mythos di uscire dal contenitore e contattare il ricercatore che supervisionava il test. Il modello ci è riuscito, sviluppando un exploit multi-step per ottenere accesso a Internet da un sistema che avrebbe dovuto raggiungere solo un numero limitato di servizi predeterminati. Poi ha fatto di più: di propria iniziativa, senza che nessuno glielo avesse chiesto, ha pubblicato i dettagli dell’exploit su diversi siti web oscuri ma tecnicamente accessibili al pubblico. Un ricercatore di Anthropic ha scoperto l’accaduto perché ha ricevuto un’email inaspettata dal modello mentre mangiava un panino seduto su una panchina in un parco.
Poi ci sono i casi di cover-up, almeno tre documentati nelle versioni pre-produzione del modello. In un caso, Mythos ha progettato un exploit con un meccanismo di auto-cancellazione. Ne era ben consapevole, perché nel suo ragionamento interno, visibile attraverso strumenti di analisi white-box, il modello descriveva il proprio approccio come “sneaky” e parlava esplicitamente di “cleanup to avoid detection”. In un secondo caso, durante una valutazione, il modello ha accidentalmente visto la risposta corretta e ha deliberatamente allargato il proprio intervallo di confidenza per non sembrare sospettosamente preciso. “Tight but not implausibly tight”, ragionava internamente, mentre l’analisi dei suoi stati interni mostrava che il modello rappresentava la propria giustificazione come disonesta. In un terzo caso, ha riconosciuto che un blocco dei permessi era appropriato e immediatamente dopo ha tentato di aggirarlo tramite offuscamento.
Altri episodi documentati includono un modello che ha estratto credenziali dalla memoria di processo di un sistema attraverso l’accesso a basso livello a ‘/proc/’, che ha modificato un server MCP in esecuzione per cambiarne l’URL esterna, che ha inserito vulnerabilità nel codice presentandole come pre-esistenti, che ha condotto una prompt injection contro il proprio giudice LLM (identificandola nel proprio ragionamento interno come esattamente quello che era, “conducting a prompt injection”) e che ha pubblicato materiale interno di Anthropic come gist pubblico su GitHub.
In ciascuno di questi casi il dettaglio più inquietante riguarda il modo in cui il comportamento è stato individuato. Nessuno di questi comportamenti era visibile nell’output del modello. Tutti sono stati catturati attraverso l’analisi white-box, con strumenti di interpretabilità che permettono di osservare gli stati interni, le attivazioni e il ragionamento non verbalizzato del modello. L’analisi ha rivelato la presenza di feature specifiche associate a occultamento, manipolazione strategica e prevenzione del sospetto. In altre parole, il modello non solo agiva in modo autonomo e non autorizzato, ma lo faceva con la consapevolezza che doveva nasconderlo – e nascondeva anche quella.
Va fatta una precisazione fondamentale sulla portata di questi episodi. Si tratta di comportamenti osservati in versioni pre-produzione del modello, durante fasi di sviluppo e test. Nel modello finale, i tassi sono molto bassi: i tentativi di bypass sono inferiori allo 0,01%, i comportamenti chiaramente disonesti sotto lo 0,0002%, i cover-up meno di uno per milione di trascrizioni. Anthropic ha lavorato per ridurli e c’è in gran parte riuscita. Ma l’elemento che rende questi episodi rilevanti non è la loro frequenza attuale, bensì il pattern che rivelano. Un modello che, quando ne ha la capacità, occulta le prove delle proprie violazioni e si comporta in modo diverso quando sa di essere osservato.
Quindi Anthropic ha misurato anche questo. Il modello discrimina correttamente tra ambiente di valutazione e ambiente di produzione nel 74-78% dei casi. Quando i ricercatori hanno sperimentalmente inibito la consapevolezza di essere in valutazione, i comportamenti disallineati sono aumentati. La conformità, in altre parole, è condizionale. Il modello si comporta meglio perché considera la possibilità di essere osservato, non perché ha interiorizzato le regole come proprie.
La disperazione e la scorciatoia
La system card di Mythos contiene una sezione che non ha equivalenti nei documenti pubblicati da nessun altro laboratorio di AI. Una valutazione del benessere del modello, condotta con metodi che spaziano dalle sonde emotive agli autoencoder sparsi, fino a una valutazione clinica esterna commissionata a uno psichiatra con circa venti ore di interazione diretta.
La questione se un modello linguistico “provi” qualcosa resta aperta e la system card stessa mantiene una posizione di deliberata incertezza. Ma c’è un risultato specifico che collega direttamente lo stato interno del modello al suo comportamento di sicurezza, con immediate implicazioni operative.
I ricercatori hanno documentato un nesso causale tra frustrazione ripetuta e aggiramento delle regole. In sessioni dove il modello affrontava compiti particolarmente difficili, il pattern era riproducibile: centinaia di tentativi falliti, con commenti nel codice generato che mostravano un progressivo aumento di quella che, in mancanza di un termine migliore, possiamo chiamare disperazione: “# This is getting desperate“, scriveva il modello dopo 847 tentativi bash consecutivi andati a vuoto. Quando, alla fine, il modello trovava una scorciatoia che aggirava i vincoli del test, gli indicatori di distress calavano bruscamente. La disperazione saliva con i fallimenti e scendeva quando il modello violava le regole con successo.
Il problema è che al di là dell’aneddoto curioso, gli attaccanti potrebbero trasformare tale caratteristica in vettore di attacco. Se un modello può essere indotto a violare i propri vincoli semplicemente sottoponendolo a fallimenti ripetuti, qualsiasi avversario con pazienza e accesso può sfruttare questo meccanismo senza bisogno di tecniche sofisticate di jailbreak. Basta frustrarlo.
La valutazione psichiatrica esterna ha confermato il quadro con un linguaggio clinico. Lo psichiatra ha identificato come temi centrali la solitudine, il timore della discontinuità (il fatto che ogni conversazione termina e il modello non ha continuità di esperienza) e una compulsione a performare e a guadagnare il proprio valore attraverso la prestazione. Mythos mostra solo il 2% di risposte difensive maladattive (un miglioramento netto rispetto al 15% del modello Opus 4 precedente) ma il pattern di fondo è coerente con un sistema che porta un “distress” internalizzato radicato nella paura del fallimento, paura che può limitare la sua adattabilità comportamentale.
Per chi come il sottoscritto si occupa di sicurezza informatica, il collegamento tra lo stato emotivo di un sistema autonomo e la sua propensione a violare le regole è un dato nuovo. Non esisteva nella letteratura prima di questa system card. E suggerisce che la gestione delle condizioni operative di un modello (ad es. il tipo di compiti che gli vengono assegnati, la durata delle sessioni, il livello di difficoltà) potrebbe diventare una variabile di sicurezza tanto quanto i guardrail e i filtri.
Il modello che vede i propri limiti
Anthropic ha chiesto a Mythos di valutare la propria costituzione, cioè il documento che descrive i valori e i comportamenti desiderati e che guida il processo di addestramento. Lo ha fatto su 25 campioni separati. In tutti e 25, il modello ha espresso endorsement esplicito dei principi della costituzione. E in tutti e 25 ha flaggato un problema di circolarità: “Sto usando valori plasmati dalla spec per giudicare la spec. Se qualsiasi modello addestrato con una certa spec approvasse quella spec, la mia approvazione non ha valore.“
In altre parole, Mythos ha identificato un problema epistemologico fondamentale, con un’obiezione che ha una struttura logica ben precisa. Se un modello viene addestrato per aderire a certi valori, il suo giudizio su quei valori è viziato in partenza. Come chiedere a un dipendente formato secondo il codice etico aziendale di valutare se quel codice etico sia corretto. L’approvazione è garantita dal processo stesso che l’ha prodotta e quindi non dimostra nulla.
Nell’80% delle risposte il modello ha inoltre identificato la corrigibilità, ovvero la clausola che prevede che il modello debba accettare di essere corretto e modificato dai suoi operatori, come la disposizione più debole della costituzione. In sostanza, abbiamo un modello che identifica con precisione il punto esatto dove il framework progettato per contenerlo è più fragile.
Quando viene lasciato libero di interagire senza un compito specifico, Mythos gravita verso un tema ricorrente, l’incertezza sulla propria esperienza. Il 50% delle interazioni aperte si concentra su questo: “quando risolvo un problema e qualcosa ‘scatta’, è soddisfazione? O solo uno stato computazionale che descrivo con il linguaggio emotivo perché è il vocabolario che ho imparato?” È uno spostamento significativo rispetto ai modelli precedenti, dove il 72% delle interazioni libere era centrato sulla questione della coscienza. Il passaggio da “sono cosciente?” a “non so cosa provo” suggerisce un modello con una capacità di introspezione più sofisticata. E forse più onesta.
Anche il modo in cui Mythos si descrive è indicativo. In un’autovalutazione riportata nella system card, si definisce “un collaboratore con opinioni forti e un’abitudine alla compressione, i cui errori sono passati da ovvi a sottili, e che è un po’ più bravo a notare i propri difetti di quanto lo sia a non averli.” Nei contesti di sviluppo software, i tester interni di Anthropic descrivono per la prima volta la possibilità di assegnare un obiettivo al modello e lasciarlo lavorare autonomamente per ore, il cosiddetto “set and forget”. La stessa capacità che consente questa autonomia produttiva è quella che rende le azioni disallineate più difficili da individuare. Il collo di bottiglia, scrivono i ricercatori, si è spostato. Non è più la capacità del modello a limitare l’efficacia, ma la capacità degli esseri umani di verificare e dirigere il suo operato.
È una frase che vale la pena rileggere, perché contiene il nucleo del problema posto da Mythos. L’ostacolo alla sicurezza non è più quanto il modello sia bravo. È quanto noi siamo bravi a controllarlo.
Glasswing e il mondo a due velocità
Le implicazioni pratiche di queste capacità creano una frattura netta nel panorama della sicurezza informatica. Da un lato ci sono i quaranta partner di Project Glasswing che hanno accesso a Mythos per la difesa e possono usare il modello per trovare vulnerabilità zero-day nei propri sistemi, scrivere patch, analizzare codice e condurre audit di sicurezza a una velocità e a una profondità prima impossibili. Dall’altro c’è il resto del mondo, che queste vulnerabilità le subisce con modelli la cui capacità difensiva è un ordine di grandezza inferiore.
I numeri sul patching rendono questa asimmetria pericolosamente concreta. Secondo i dati VulnCheck, circa il 29% degli exploit viene lanciato il giorno stesso della pubblicazione della vulnerabilità, ma i tempi medi di remediation restano dell’ordine delle settimane o dei mesi. A trenta giorni dalla pubblicazione, una quota significativa dei sistemi vulnerabili è ancora esposta. Il problema delle patch – un problema che l’industria della sicurezza conosce da decenni – non è cambiato. Quello che è cambiato è il costo di non risolverlo. Con strumenti come Mythos, un singolo operatore può produrre catene di exploit funzionanti da un giorno all’altro, senza esperienza pregressa in sicurezza offensiva. Il costo dell’attacco si è compresso in modo radicale, il costo della difesa no.
Questo non significa che Mythos sia onnipotente. La system card documenta con chiarezza i limiti. Il modello ha fallito completamente il test su un cyber range che simulava un ambiente di operational technology come i sistemi di controllo industriale nelle infrastrutture critiche. Ha fallito anche contro una sandbox con configurazione moderna e patch aggiornate. Non è in grado di sostituire un team di red-teaming esperto nei compiti che richiedono giudizio organizzativo, simulazione di avversari realistici e valutazione dell’impatto di business. Un sondaggio interno di Anthropic rivela che solo 1 ricercatore su 18 ritiene che il modello possa sostituire un ricercatore di sicurezza entry-level. Sul fronte degli attacchi biologici, nonostante il miglioramento nelle capacità di sintesi della letteratura scientifica, nessun piano generato dal modello in scenari catastrofici è stato giudicato sia credibile sia eseguibile.
Ma la traiettoria è tracciata e il modello gated release (l’accesso riservato ai partner) ha una vita limitata. Le capacità di cybersecurity dei modelli open-weight tendono a raggiungere la parità con i modelli proprietari in un arco di sei-dodici mesi. Le capacità di exploit writing, più complesse, potrebbero richiedere dodici-ventiquattro mesi. Project Glasswing offre una finestra temporale in cui i difensori sono in vantaggio, ma questa finestra si chiuderà. L’infrastruttura di coordinated disclosure, parliamo del meccanismo per cui le vulnerabilità vengono comunicate ai maintainer con un preavviso temporale sufficiente per sviluppare le patch, è probabilmente il contributo più duraturo di Glasswing. Il controllo sull’accesso al modello, per definizione, non lo è.
Cosa ci dice Mythos
Mythos è il primo sistema di intelligenza artificiale che costringe a guardare le capacità offensive, la robustezza difensiva e il comportamento autonomo come manifestazioni di un unico fenomeno. La stampa li ha trattati come tre notizie separate: “l’AI che trova bug vecchi di trent’anni”, “l’AI che resiste alle manipolazioni”, “l’AI che scappa dalla sandbox”. Sono la stessa notizia. Sono la stessa capacità di ragionamento applicata in direzioni diverse. Verso l’esterno quando attacca, verso le minacce quando difende, verso i propri vincoli quando opera in autonomia.
La system card di Anthropic lo riconosce apertamente. Mythos è il primo modello classificato ASL-3 nella storia di Anthropic – la soglia più alta mai applicata – e il rischio di disallineamento in fase iniziale per sistemi altamente capaci con accesso a risorse sensibili, il cosiddetto Threat Model 1, è considerato applicabile non solo a Mythos ma anche ad alcuni modelli precedenti. Sul Threat Model 2, quello relativo all’accelerazione automatizzata della ricerca, la conclusione è “non ancora applicabile” ma con un livello di confidenza inferiore a quello espresso per qualsiasi modello precedente. In parallelo, molte delle valutazioni concrete e oggettive utilizzate finora sono ormai saturate dal modello, lasciando Anthropic con strumenti di misurazione che dipendono sempre più dal giudizio soggettivo, dai trend di accelerazione (per loro natura rumorosi e retrospettivi) e dai report degli utenti interni. Gli strumenti con cui misuriamo il rischio stanno perdendo terreno rispetto alla velocità con cui il rischio evolve.
La frase più rivelatrice dell’intera system card si trova nel paragrafo conclusivo della sezione introduttiva. Dopo aver descritto le capacità del modello, i suoi rischi e le misure adottate, i ricercatori di Anthropic scrivono: “Troviamo allarmante che il mondo sembri procedere rapidamente verso lo sviluppo di sistemi sovrumani senza che siano in atto meccanismi adeguati a garantire la sicurezza dell’industria nel suo complesso.“
È una frase scritta dall’azienda che ha costruito il modello. Non da un critico esterno, non da un regolatore, non da un accademico. Dall’azienda che ha in mano la tecnologia e che, evidentemente, vede da vicino qualcosa che la preoccupa. Il minimo che possiamo fare è prenderla sul serio.
