Claude Mythos, la super arma cyber, può essere già finito nelle mani sbagliate.
Indice degli argomenti
Accessi non autorizzati a Mythos e vulnerabilità nella filiera
Anthropic ha confermato il 21 aprile di aver avviato un’indagine su un accesso non autorizzato avvenuto in un ambiente riservato a fornitori esterni. L’ipotesi, riportata da Bloomberg, è che credenziali legate a un contractor siano state utilizzate impropriamente.
L’episodio riguarderebbe un ambiente destinato a fornitori esterni. “Stiamo verificando una segnalazione relativa a un accesso non autorizzato attraverso uno dei nostri ambienti per vendor”, ha dichiarato la società, precisando di non avere evidenze di utilizzi al di fuori di quell’infrastruttura.
Gli esperti temevano che sarebbe stato solo questione di tempo perché si presentasse il problema: una volta pubblicato un software con capacità straordinarie tanti vogliono metterci le mani. Alcuni, non bene intenzionati.
Il ruolo dei fornitori esterni
Le prime ricostruzioni indicano che almeno uno degli accessi sia avvenuto sfruttando credenziali legate a un contractor. È una prassi diffusa nel settore: le aziende di intelligenza artificiale si appoggiano a fornitori per test, sviluppo e validazione dei modelli. Questa apertura operativa aumenta però la superficie di rischio.
Non è stato reso noto quale fornitore sia coinvolto né quanti account possano essere stati utilizzati impropriamente.
Mythos e Project Glasswing: accesso ristretto a 40 organizzazioni
Ricordiamo che Mythos non è un modello pubblico, proprio per le sue straordinarie capacità di trovare vulnerabilità informatiche (scelta analoga fatta da OpenAI con 5.4 Cyber). Anthropic lo ha distribuito in anteprima attraverso il progetto Glasswing, un consorzio di circa 40 organizzazioni tra tecnologia, finanza e cybersecurity.
Tra i partecipanti noti figurano Amazon, Microsoft, Apple, Cisco, Nvidia, Broadcom, CrowdStrike e JPMorgan Chase, oltre a The Linux Foundation.
Secondo un’analisi Reuters del 20 aprile 2026, diverse grandi banche statunitensi – tra cui Goldman Sachs, Morgan Stanley e Citigroup – stanno testando il modello per valutare i rischi cyber.
Altre banche, soprattutto europee faticano invece a ottenere accesso, il che è una questione di sovranità digitale che aumenta la nostra esposizione al rischio
Il ceo di Deutsche Bank, Christian Sewing, ha dichiarato ai giornalisti che il settore è in contatto con le autorità europee per monitorare l’impatto della tecnologia.
Paganini: rischio sistemico crescente
“Lo scenario che vede accessi non autorizzati a modelli come Mythos evidenzia un rischio sistemico crescente: quando strumenti avanzati per la difesa cyber finiscono fuori controllo, possono essere rapidamente riutilizzati per attacchi su larga scala”, commenta il nostro esperto cyber Pierluigi Paganini.
“Ancora una volta ci si confronta con criticità nella supply chain che amplia la superficie d’attacco e rende più fragile l’intera filiera. Se un modello capace di individuare vulnerabilità in modo automatizzato viene compromesso, l’impatto sulla sicurezza di infrastrutture critiche è potenzialmente devastante”.
“A rischio è la sovranità digitale e l’equilibrio geopolitico globale. Il caso dimostra che il vero problema non è solo l’accesso a questi modelli, ma la governance di ecosistemi complessi dove ogni anello può diventare un potenziale punto di compromissione”.
Accesso non autorizzato a Mythos: precedenti recenti e pressione regolatoria
L’episodio arriva dopo altre criticità. A marzo 2026, dettagli sul modello — incluso il nome — erano comparsi in una cache pubblica online. In quel caso, Anthropic aveva attribuito la responsabilità a un errore umano. Poche settimane dopo, parte del codice interno del sistema “Claude Code” era stata resa pubblica in un secondo incidente.
Questi eventi hanno intensificato l’attenzione di autorità e istituzioni finanziarie. Il valore stimato dell’azienda, circa 380 miliardi di dollari secondo fonti di mercato, e il potenziale impatto dei suoi modelli sulla sicurezza globale rendono ogni falla un tema di interesse pubblico.
Impatti dell’accesso abusivo a Mythos e interrogativi
La diffusione limitata di Mythos riflette una strategia prudenziale: test controllati prima di un rilascio più ampio. L’episodio solleva però dubbi sulla capacità delle aziende di proteggere tecnologie con applicazioni sensibili, soprattutto quando entrano in gioco filiere complesse e attori esterni.
La gestione degli accessi, in particolare nei sistemi condivisi con partner e fornitori, resta uno dei punti più critici per l’industria dell’intelligenza artificiale. In gioco non c’è solo la proprietà intellettuale, ma la possibilità che strumenti progettati per la difesa vengano riutilizzati per attacchi su larga scala.
L’ipotesi NSA e il coinvolgimento dell’intelligence
La notizia fa il paio con un’altra: la National Security Agency americana, responsabile anni fa di intercettazioni illecite globali (svelate da Edward Snowden) potrebbe essere tra i soggetti con accesso a Mythos.
Axios riferisce di conferme da due fonti interne all’agenzia, secondo cui il modello sarebbe utilizzato a livello di dipartimento. Non risultano dichiarazioni ufficiali né da parte della NSA né da Anthropic.
Il dato è rilevante anche sul piano politico. Nel febbraio 2026 Anthropic aveva avuto uno scontro con l’amministrazione di Donald Trump, rifiutando un accesso illimitato ai propri modelli per uso militare e fissando limiti espliciti: no a sorveglianza di massa e no a sistemi autonomi letali. In risposta, secondo fonti stampa, la Casa Bianca aveva limitato l’uso dei prodotti Anthropic da parte delle agenzie federali.
Se confermato, l’accesso della NSA indicherebbe una riapertura, almeno parziale, di quel canale.
Secondo il quotidiano britannico The Telegraph, anche MI5 sarebbe tra i soggetti autorizzati a testare Mythos.
Capacità tecniche Mythos e rischio sistemico
Il punto centrale resta la natura del modello. Test condotti dall’AI Security Institute del governo britannico, citati in una lettera del 15 aprile 2026, indicano che Mythos è “sostanzialmente più capace nell’offesa cyber” rispetto ai modelli precedenti.
Il tema è stato discusso durante gli incontri primaverili del Fondo monetario internazionale a Washington nell’aprile 2026. Autorità di vigilanza europee, tra cui la BCE, e asiatiche stanno valutando la preparazione delle istituzioni finanziarie.
Il ceo di Barclays, C.S. Venkatakrishnan, ha definito Mythos una minaccia concreta per il sistema bancario globale. La capacità di individuare vulnerabilità in modo automatizzato e su larga scala incide soprattutto su infrastrutture legacy, ancora diffuse nel settore finanziario.
Governance e controllo degli accessi
L’episodio degli accessi non autorizzati evidenzia un punto operativo: il controllo sugli ambienti condivisi. I modelli avanzati non sono più confinati in un singolo perimetro aziendale, ma operano in ecosistemi distribuiti tra cloud, partner e istituzioni.
Le norme europee, a partire dall’AI Act approvato nel 2024, prevedono obblighi su gestione del rischio, logging e controllo degli accessi per sistemi ad alto impatto. Il caso Mythos mette alla prova l’applicazione concreta di questi requisiti.
La combinazione di tre fattori – accesso ristretto ma distribuito, capacità tecniche elevate e interesse di attori pubblici e privati – sposta la questione dalla sicurezza del singolo modello alla sicurezza dell’intero ecosistema che lo utilizza. In questo contesto, ogni anello della filiera diventa un possibile punto di ingresso.
