“Frontier AI models, like airplanes, should be required to go through technical testing and auditing, and their release should be blocked or reversed as a threat to public safety if they do not meet high standards of safety.”
“The government should have the power to block or deter deployment of the model if it is determined, in light of third-party assessment, to present unacceptable risks.”
Dario Amodei, Policy on the AI Exponential
Per anni Anthropic ha spiegato al mondo che l’intelligenza artificiale di frontiera è così pericolosa che lo Stato dovrebbe poterle mettere un freno. Venerdì scorso lo Stato ha tirato il freno. E Anthropic si è messa a protestare.
Alle 17:21 di quel pomeriggio è arrivata la lettera. La firma è quella del Segretario USA al Commercio Howard Lutnick, il destinatario è Dario Amodei, CEO di Anthropic. Il contenuto è una export control directive: sospendere ogni accesso ai modelli Fable 5 e Mythos 5 da parte di qualsiasi cittadino straniero, dentro o fuori dai confini statunitensi, compresi i dipendenti stranieri della stessa azienda. Poiché segmentare gli utenti per nazionalità in tempo reale non è cosa che si possa fare con un interruttore, l’azienda ha scelto l’unica strada percorribile per restare conforme e ha spento i due modelli per tutti, ovunque. Gli altri modelli, da Opus 4.8 in giù, restano in piedi.
Il settore ha gridato all’assurdo. Un’azienda privata trattata da esportatore di munizioni, un modello AI usato da centinaia di milioni di persone spento dalla sera alla mattina, l’export control (strumento nato per i missili e i supercomputer) calato su un chatbot. Eppure, a leggere la storia degli ultimi tre anni, l’unica domanda sensata è quella che ci chiediamo nel titolo: dopo tutto questo baccano sull’AI troppo pericolosa per essere usata, cosa diamine vi aspettavate?
Ventiquattr’ore di telefonate
La lettera è stata l’ultimo atto, non il primo. Secondo la ricostruzione di Politico, tutto comincia giovedì, due giorni dopo il debutto pubblico di Fable, quando l’amministratore delegato di Amazon Andy Jassy segnala alla Casa Bianca la possibilità di aggirare i guardrail del modello. Amazon, va ricordato, è tra gli investitori di Anthropic, e stava rispondendo a una richiesta di feedback del governo. Non era la sola azienda ad aver sollevato dubbi. I risultati di Amazon sono stati passati alla NSA e a quel punto a Washington si sono convinti di avere “la prova”.
Venerdì mattina la questione era già ai piani alti. Il Segretario al Tesoro Scott Bessent, il direttore Cyber della Casa Bianca Sean Cairncross, la chief of staff di Trump Susie Wiles e altri si riuniscono per decidere il da farsi. Bessent partecipa da remoto mentre vola a Houston per un evento già in agenda. Quindi provano a chiamare Amodei e – sostiene l’amministrazione – scoprono che è irraggiungibile perché a un “ritiro di benessere”, circostanza che Anthropic smentisce categoricamente. Alla fine il fondatore di Anthropic si collega e partecipa a tre telefonate con una mezza dozzina di alti funzionari, Lutnick, Bessent e Cairncross compresi.
Nelle chiamate Amodei prova a derubricare tutto a malinteso. Difende i guardrail, sostiene che il bypass in questione è specifico e non equivale a un jailbreak universale capace di disattivare ogni protezione. Cairncross e Bessent non si lasciano convincere. Chiedono ad Anthropic di ritirare volontariamente il modello e di collaborare per chiudere la falla. Amodei chiede tempo e informazioni ma non offre garanzie, e a un certo punto Bessent gli dice in faccia che sta prendendo una “cattiva decisione“. Poco dopo la telefonata, arriva l’export control.
Qui le due versioni divergono. “Le restrizioni all’export sono state l’ultima spiaggia dopo averli pregati per ore di lavorare con noi“, dice a Politico un alto funzionario della Casa Bianca. “Non era qualcosa che volevamo fare, ma avevamo le mani legate“. Dal lato opposto, una persona vicina ad Anthropic ribatte che la trattativa non c’è mai stata: “La Casa Bianca ha dato 90 minuti per togliere i modelli, senza alcun dettaglio sulla minaccia reale. Nessuno ha mai pregato, né chiesto, di collaborare: solo una scadenza di 90 minuti“. Che sia stata una corte serrata o un ultimatum lampo, il punto d’arrivo non cambia.
Chi ha scritto il copione
Per capire perché questo epilogo non dovrebbe sorprendere nessuno, basta leggere cosa aveva scritto Amodei pochi giorni prima. Nel saggio Policy on the AI Exponential propone di regolare l’AI come si regolano gli aerei: test e audit obbligatori da parte di valutatori terzi e, testualmente, il rilascio dei modelli di frontiera “bloccato o revocato come minaccia alla sicurezza pubblica” quando non superano standard elevati. Il modello che invoca è la Federal Aviation Administration applicata agli LLM, l’ente che certifica gli aerei e può inchiodarli a terra finché non superano i test di sicurezza. Aggiunge di essere grato all’Executive Order dell’amministrazione Trump che si muove “verso un ruolo maggiore del governo“, precisando che la proposta di Anthropic chiede di andare oltre. E nello stesso testo chiede di espandere e inasprire gli export control come architrave della strategia geopolitica americana.
Pochi giorni dopo, il governo blocca un suo modello di frontiera per rischio cyber, uno dei quattro rischi che Amodei in persona elenca come motivazioni plausibili, usando proprio un export control. Difficile immaginare una messa in scena più fedele al copione.
Ma c’è di più, ed è la parte che secondo il mio modesto avviso toglie ad Anthropic il diritto di sorprendersi. Nel saggio di Amodei, l’esempio principe, ovvero la prova regina che i modelli di frontiera sono ormai una questione di sicurezza nazionale, è la stessa classe Mythos: “ha sconvolto il panorama globale della cybersecurity“, scrive Amodei e “prova oltre ogni dubbio che i modelli di AI sono ormai strumenti di rilevanza strategica globale e nazionale“. Ha usato la propria creatura come testimone d’accusa contro l’AI di frontiera, salvo poi indignarsi quando l’accusa è stata raccolta dal suo governo. Lo stesso vale per l’analogia che i funzionari della Casa Bianca gli hanno sentito ripetere. Nel saggio è lui a paragonare l’AI alle armi nucleari, “ma forse anche di più“, e a evocare un “materiale nucleare” trasformabile in arma. Chi passa mesi a descrivere la propria tecnologia come un ordigno, difficilmente può stupirsi se qualcuno, una sera, decide di metterla in sicurezza.
Va riconosciuto però un punto a favore di Anthropic, perché il copione lo aveva scritto con una clausola precisa. Quel potere di blocco, sosteneva Amodei, va “circoscritto ai quattro rischi” e accompagnato da “misure protettive contro favoritismi politici o decisioni arbitrarie“. La protesta dell’azienda, ovvero che l’azione non sia stata “trasparente, equa, chiara e fondata sui fatti tecnici”, è perfettamente coerente con quella clausola. Il problema, allora, non è che Anthropic dica oggi il contrario di ieri, su quello potremmo anche trovare una certa coerenza, almeno in punta di principio. Il problema è che aveva invocato quel potere, ne aveva fornito su un piatto d’argento la prova che andava esercitato, e si era illusa di restare lei a decidere in quali mani sarebbe finito.
Un missile che trova da solo il bersaglio
Arriviamo poi alla “natura” della merce sequestrata. La classe Mythos non si limita a scrivere email o riassumere PDF, è una famiglia di modelli ideale per scovare e sfruttare vulnerabilità software in autonomia, zero-day compresi, e per condurre da sola le fasi di un attacco (ricognizione, scoperta, movimento laterale… chi si occupa di cybersecurity sa di cosa parlo) senza che un umano sia costretto a imboccarla a ogni passo. Quanto valga questa capacità lo dice un numero della stessa Anthropic: nelle prime settimane del programma Glasswing, Mythos Preview ha individuato oltre diecimila vulnerabilità di gravità alta e critica nei sistemi più importanti del mondo, in ogni grande sistema operativo e browser, al punto che il collo di bottiglia della difesa si è spostato dal trovare le falle all’applicare le patch abbastanza in fretta. Quando lo annunciò ad aprile, fu la stessa Anthropic a limitarne il rilascio a un gruppo ristretto di aziende cyber, perché il modello era così potente che nelle mani sbagliate avrebbe potuto fare disastri.
Della stessa creatura esistono due versioni. Fable 5 è quella pubblica, con i safeguard cuciti addosso. Le richieste che sanno di cybersecurity, biologia, chimica o distillazione di modelli vengono bloccate o dirottate verso il più mansueto Opus 4.8. Mythos 5 è lo stesso identico modello ma senza freni cyber, riservato ai partner del programma Glasswing. Insomma, costruisci un cercatore automatico di vulnerabilità di sicurezza, lo dichiari capace di fare disastri, lo offri in due versioni – una con la museruola e una senza – e annunci al mondo che fa cose che nessun altro modello sa fare. Sostenere, dopo tutto questo, che il Dipartimento del Commercio avrebbe dovuto restare alla finestra è un esercizio di ottimismo con una certa nota di ingenuità.
Sul fronte tecnico, peraltro, le carte le aveva scoperte la stessa Anthropic. Al lancio aveva messo nero su bianco che la resistenza perfetta ai jailbreak non è oggi possibile per nessun fornitore, che ogni guardrail del settore cede a jailbreak non universali e che prima o poi un jailbreak universale verrà trovato. Tutte cose che, nel mio piccolo, posso confermare con il lavoro che faccio. Quando hai dichiarato pubblicamente che la serratura si può forzare, non puoi recitare la parte del sorpreso il giorno in cui qualcuno annuncia di averla forzata.
Il jailbreak che non era un jailbreak
Sul merito, va detto, Anthropic avrebbe pure argomenti solidi. Il governo non ha fornito dettagli scritti, solo prove verbali di un jailbreak ristretto e non universale che, a quanto pare, consisteva nel chiedere al modello di leggere un certo codice e correggerne i difetti. L’azienda ha esaminato la dimostrazione e ha trovato un pugno di vulnerabilità già note e minori, reperibili anche con altri modelli pubblici, GPT-5.5 incluso. La sua tesi è che applicare uno standard simile equivarrebbe a fermare ogni nuovo rilascio di frontiera dell’intero settore. Difficile darle torto, perlomeno se ci limitiamo solo e unicamente all’aspetto tecnico.
Ma conviene chiamare le cose con il loro nome. Chiedere a un modello addestrato per trovare bug di leggere un codice e segnalarne le falle non è scassinare una cassaforte, è premere il pulsante per cui la macchina è stata costruita. Il “guardrail” aggirato era un filtro probabilistico, un controllo euristico che abbassa la frequenza degli usi sgraditi senza mai diventare una barriera di sicurezza vera. Trattarlo come un lucchetto inviolabile, da una parte e dall’altra, è l’equivoco che confonde tutta la vicenda. Ma il livello tecnico che dovremmo toccare per far comprendere al resto del mondo questa differenza è troppo profondo. Il problema non si gioca su cosa sia o non sia un jailbreak, il problema reale verte sulla comunicazione e sui rapporti fra Anthropic e l’amministrazione Trump.
I conti aperti
I rapporti tra Anthropic e l’attuale governo USA sono pessimi da tempo. Nell’ottobre 2025 lo “zar” dell’AI David Sacks aveva accusato l’azienda di regulatory capture, ovvero di agitare gli spauracchi per ritagliarsi una regolazione su misura e soffocare la concorrenza. Il 3 marzo di quest’anno il Pentagono di Pete Hegseth ha designato Anthropic come rischio per la catena di fornitura, dopo il suo rifiuto di lasciar usare i propri strumenti per la sorveglianza di massa dei cittadini americani e per le armi autonome. In mezzo, le critiche di Amodei al progetto Stargate liquidato come “caotico” e l’opposizione alla cancellazione dell’ordine esecutivo di Biden sull’AI.
Eppure sarebbe troppo comodo leggere il blocco solo come una ritorsione. Lo stesso Sacks, intervenuto su X il giorno dopo, nega che la mossa sia un tentativo di mettere il guinzaglio al settore e scrive che l’amministrazione è “francamente sconcertata che Anthropic non abbia voluto rispettare richieste di sicurezza che essa stessa indicava come la propria massima priorità”. Si può sospettare la malafede di chi governa quanto si vuole, ma non possiamo ignorare il paradosso su cui Sacks mette il dito: l’azienda che ha fatto della sicurezza la propria bandiera si è impuntata sulla prima richiesta di sicurezza che le costava davvero qualcosa.
Il secondo atto
Nell’immediato la storia ha un esito quasi banale. Sacks lo ha già anticipato: l’amministrazione si aspetta che Anthropic rimedi alla falla, che l’export control venga revocato e che Fable torni in commercio il prima possibile, perché, parole sue, la palla è nel campo dell’azienda. È probabile che nel giro di qualche settimana, giorni addirittura, il modello riappaia, “patchato” e ricertificato, e che di questo venerdì resti semplicemente un precedente. Ancorché pesante. The Information riferisce che al momento il governo non intende estendere la misura agli altri laboratori, il che la derubrica, almeno per ora, a caso isolato più che a dottrina.
Eppure l’impalcatura è già pronta. Il 2 giugno, dieci giorni prima del blocco, la Casa Bianca aveva firmato un Executive Order che invitava i laboratori a sottoporre i “modelli di frontiera coperti” a un benchmark classificato delle agenzie di sicurezza, con accesso anticipato del governo fino a trenta giorni prima del rilascio. Volontario, senza licenze e senza veto sul lancio, come scritto a chiare lettere. Il blocco di Mythos mostra cosa accade quando la via volontaria non basta. Si mette da parte il framework gentile e si tira fuori l’export control, che gentile non è e nemmeno volontario. Ogni prossimo lancio di frontiera avverrà all’ombra della lettera che il Dipartimento del Commercio ha inviato ad Anthropic.
E poi ci sono i tribunali, dove questa amministrazione con Anthropic ha già perso una volta. A marzo la giudice Rita Lin ha bloccato la designazione del Pentagono che bollava l’azienda come “rischio per la catena di fornitura”, accogliendo la tesi che fosse una ritorsione per l’esercizio della libertà di espressione. Diversi giuristi leggono già l’export control nello stesso modo, come una restrizione preventiva alla parola. Un secondo round in aula è tutt’altro che improbabile, ed è lì, più che nelle telefonate di un venerdì, che potrebbe decidersi fin dove si può spingere lo Stato.
Cosa vi aspettavate?
Il cortocircuito non ha un solo colpevole, ed è precisamente questo a renderlo istruttivo. Al di là dell’esito che avrà questa vicenda, non possiamo ignorare che c’è una retorica del pericolo coltivata per anni come strumento di posizionamento. C’è una corsa al rilascio che mette sul mercato un cacciatore di zero-day mentre si invoca a gran voce la regolamentazione governativa. E ci sono guardrail che gli stessi costruttori definiscono valicabili. Tre premesse che, sommate, non potevano che condurre alla catarsi di venerdì scorso. La forma è stata brutale e il merito tecnico resta discutibile, il sospetto di una ritorsione politica è del tutto legittimo. Ma la mossa, nella sostanza, era già scritta nelle premesse.
Non si può passare anni a raccontare al mondo che la propria creatura è una bomba carica e che lo Stato dovrebbe tenere il dito sulla sicura, per poi indignarsi quando una sera lo Stato decide di agire. Non puoi aspettarti che i politici conoscano la differenza fra un jailbreak universale e uno circoscritto. Il copione lo aveva preparato Anthropic. Si sono soltanto dimenticati che il finale viene sempre scritto da qualcun altro.
