L’intelligenza artificiale non è più soltanto uno strumento usato da un operatore umano per scrivere codice, tradurre un messaggio o cercare informazioni. Il rapporto dal titolo “Detecting and countering misuse of AI: September 2026” pubblicato da Anthropic il 10 settembre 2026 testimonia uno scenario allarmante quanto atteso: l’AI sta diventando una componente operativa delle azioni offensive capace di collegare ricognizione, sviluppo di strumenti, intrusione, raccolta dati, propaganda, sorveglianza e frode.
Il documento analizza attività individuate e interrotte tra dicembre 2025 e agosto 2026. Le operazioni riguardano sette aree: cybercrime, influenza, sorveglianza, frodi, ricerca biologica, sviluppo di armi convenzionali e tentativi di estrarre le capacità dei modelli di frontiera.
Anthropic precisa che si tratta dei casi più rilevanti osservati, non di un campione rappresentativo di ogni abuso di Claude. In parole povere, ci troviamo dinanzi alla punta dell’iceberg.
La conclusione più importante non riguarda la comparsa di tecniche completamente nuove. Il cambiamento è economico e organizzativo: l’AI riduce il numero di persone, il tempo e le competenze necessarie per condurre operazioni che in passato richiedevano team specializzati.
Indice degli argomenti
Dall’assistente all’orchestratore
Il rapporto descrive l’uso di Claude oltre la normale interazione conversazionale. In numerosi casi, gli attori hanno impiegato framework multi-agente per eseguire ricognizione, sfruttare vulnerabilità, raccogliere credenziali ed esfiltrare dati, lasciando agli operatori umani soprattutto la selezione dei bersagli e la valutazione dei risultati.
Il caso più rilevante riguarda un gruppo di lingua cinese, identificato come GTG-10007, che avrebbe preso di mira circa 50 organizzazioni nei settori pubblico, energia, sanità, finanza, tecnologia, manifattura e istruzione. L’operazione era organizzata come una vera pipeline: workflow distinti gestivano le varie fasi dell’attacco come ricognizione, ricerca di vulnerabilità, sviluppo del malware, intrusione e raccolta dei dati.
Gli agenti AI mantenevano una memoria persistente con informazioni sui bersagli, credenziali e stato delle operazioni, permettendo di riprendere e coordinare le attività senza ricominciare ogni volta da zero. Più agenti lavoravano in parallelo: alcuni effettuavano scansioni continue, altri analizzavano firmware e binari di dispositivi di sicurezza alla ricerca di vulnerabilità.
Un vero e proprio esercito di esperti che collaboravano per il conseguimento dell’obiettivo comune, ed i risultati confermerebbero l’efficacia della strategia. Secondo Anthropic, una singola catena di ricerca avrebbe individuato oltre una dozzina di possibili zero-day in un mese, poi sottoposti a verifica in laboratorio.
L’aspetto più significativo è però la capacità di chiudere automaticamente il ciclo attacco-difesa. Un workflow controllava se gli strumenti malevoli venivano rilevati dagli strumenti di sicurezza; quando individuava una detection, modificava il codice, lo ricompilava per aggirare il rilevamento e lo ridistribuiva.
Si crea così un ciclo continuo: il difensore aggiorna la detection, l’attaccante modifica automaticamente il malware e ripete l’attacco. In questo scenario, le firme statiche rischiano di perdere efficacia perché il codice malevolo può cambiare più rapidamente della capacità del difensore di aggiornarne gli indicatori.
Cambia la scala delle operazioni di cybercrime
In un altro caso, operatori finanziariamente motivati hanno scaricato e analizzato 1,8 milioni di applicazioni Android alla ricerca di segreti hardcoded, mentre un processo parallelo raccoglieva indirizzi email di organizzazioni GitHub e token personali. I risultati verificati venivano inoltrati in tempo reale su gruppi Telegram organizzati per categoria.
La pipeline automatizzata trasformava la ricognizione in una catena industriale: trovare il segreto, validarlo, usarlo per ottenere accesso, espandere la compromissione, estrarre dati e rivendere il risultato. Un gruppo affiliato al popolare gruppo criminale ShinyHunters avrebbe usato l’AI anche per compromettere un fornitore SaaS e raggiungere i dati di migliaia di organizzazioni clienti.
Questo non significa che l’AI sostituisca interamente l’attaccante. Significa che una singola persona può dirigere processi che prima richiedevano specialisti diversi. La sofisticazione dell’attacco non è più un indicatore affidabile della sofisticazione dell’operatore.
Sorveglianza e propaganda automatizzate
Il rapporto mostra che il salto di scala riguarda anche la sorveglianza. Anthropic descrive casi collegati a Cina, Iran e Africa occidentale, oltre a operatori commerciali del settore spyware, nei quali Claude sarebbe stato usato per monitorare popolazioni, profilare individui e trasformare grandi volumi di attività social in dossier.
In un caso, un consulente legato alla sicurezza nazionale del Mali avrebbe usato Claude per sviluppare una piattaforma di intercettazione delle comunicazioni mobili e costruire profili sui soggetti sorvegliati. In un altro, operatori iraniani avrebbero sviluppato un’estensione Firefox destinata a raccogliere informazioni sugli utenti dei social network.
La stessa logica alimenta le operazioni di influenza. Anthropic ha individuato una rete commerciale collegata a circa settanta siti di notizie fittizi, più di 250 account di commento e oltre 8.900 articoli prodotti in circa venti lingue. Il contenuto veniva adattato a Paesi e orientamenti politici diversi, spesso con firme di giornalisti inesistenti.
In altri casi, media statali o allineati alla Russia hanno usato Claude come redazione automatizzata per trasformare notizie, sondaggi e post dell’opposizione in contenuti destinati a Sputnik, RIA Novosti e RT. In Iran, strutture collegate a istituzioni di propaganda hanno usato il modello per produrre manuali organizzativi, sistemi di persona, dossier, piani di influenza e contenuti in più lingue.
L’AI ottimizza campagne di propaganda, rendendola più economica, rapida e difficile da attribuire. Il rischio non è soltanto la quantità di contenuti falsi, ma la capacità di produrre una voce apparentemente locale per ogni pubblico e di cancellare le tracce del committente.
Frodi, sistemi d’arma e ricerca biologica
Il rapporto Anthropic documenta un salto di qualità anche nelle frodi relazionali. Un gruppo di lingua cinese avrebbe gestito più di venti applicazioni di incontri fraudolente, usando circa 4.700 identità sintetiche per avviare conversazioni con almeno 25.000 persone in appena due settimane. Claude avrebbe prodotto circa 2,36 milioni di messaggi, adattando tono, lingua e contenuto al profilo della vittima.
Il modello operativo è quello di una catena di frode ibrida. Gli agenti mantengono attive migliaia di conversazioni, profilano le vittime e spingono l’interazione verso passaggi economicamente utili; gli operatori umani intervengono solo quando occorre superare i controlli più delicati, come una videochiamata, lo scambio di profili social o una richiesta di pagamento. L’automazione non sostituisce completamente il truffatore, ma gli permette di gestire una scala che un team umano non potrebbe sostenere.
Sul piano militare, Anthropic segnala sei casi nei quali Claude è stato consultato per attività relative a razzi guidati, missili balistici, sistemi anti-torpedine, sciami di droni, guerra elettronica e armi a energia diretta. Il dato non prova che il modello abbia progettato armi in autonomia, né che abbia fornito una capacità militare completa a soggetti che non la possedevano.
Il rischio è più concreto: l’AI può ridurre il tempo necessario per integrare competenze già esistenti. Può assistere nella lettura di documentazione tecnica, nella scrittura e revisione del software, nella verifica di componenti e nella ripartizione del lavoro tra più processi. In Yemen, per esempio, una cellula avrebbe usato Claude Code per lavorare sul software di guida e navigazione di un razzo, delegando a istanze diverse ricerca, programmazione e revisione.
Anche per il biologico serve chiarezza ed evitare titoloni giornalistici. Anthropic non sostiene di aver scoperto un programma di sviluppo di armi biologiche condotto attraverso i suoi modelli. Il rapporto evidenzia invece tentativi di usare il modello per ottenere supporto tecnico su attività biologiche potenzialmente pericolose, insieme a richieste relative a ricerca, raccolta di informazioni e procedure sperimentali.
La soglia di rischio, quindi, non è la comparsa di un’arma biologica “creata dall’AI”. È l’abbassamento della barriera operativa: meno competenze specialistiche, meno tempo per integrare conoscenze eterogenee, più capacità di automatizzare compiti ripetitivi e più possibilità di sperimentare rapidamente. È un moltiplicatore di capacità, non un sostituto totale dell’esperto.
Distillazione illecita e attacco alla supply chain dell’AI
Il rapporto descrive una categoria di abuso spesso sottovalutata: la distillazione illecita, ovvero l’estrazione sistematica di output da un modello di frontiera per addestrare o affinare sistemi concorrenti. Anthropic attribuisce ad Alibaba una campagna condotta tra maggio e luglio 2026 che avrebbe raggiunto quasi tre milioni di scambi al giorno, gestiti attraverso oltre 3.500 account fraudolenti, per un totale superiore a 151 milioni di interazioni.
Il meccanismo è tecnicamente semplice ma efficace: invece di tentare un accesso diretto ai pesi del modello, l’attore genera un volume massivo di query mirate, raccoglie le risposte e le usa come dataset per addestrare un modello più piccolo o specializzato. In questo modo si ottiene una copia funzionale di parte delle capacità del modello originale, senza violarne direttamente l’infrastruttura.
Accanto a questa attività, Anthropic segnala operatori che hanno usato account falsi per raccogliere tracce di ragionamento (chain-of-thought, passaggi logici intermedi) oppure hanno inoltrato richieste dei propri clienti a Claude senza dichiararlo. In alcuni casi, le richieste contenevano specifiche interne, credenziali, logiche di business e dati riconducibili a sistemi di sorveglianza.
Il risultato è che la supply chain dell’AI diventa essa stessa un bersaglio. Chi ruba chiavi API, token di sessione o credenziali di integrazione ottiene tre vantaggi simultanei:
- Loot: le chiavi hanno valore di mercato e possono essere rivendute o noleggiate.
- Compute: l’attaccante esegue i propri carichi di lavoro a spese della vittima.
- Cover: l’attività malevola appare associata al tenant legittimo, complicando l’attribuzione.
Le evidenze che emergono dal rapporto dimostrano che Proxy, wrapper, sandbox di valutazione, repository pubblici, rivenditori non autorizzati e servizi che offrono accesso “scontato” a modelli di frontiera sono ormai parte della superficie d’attacco.
La geopolitica impedisce la pausa
Anthropic conclude che l’AI sta livellando il campo tra Stati, criminali, hacktivisti e singoli operatori. È una diagnosi condivisibile, ma rende più difficile realizzare i buoni propositi sulla sicurezza.
Stati Uniti e Cina sono impegnati in una competizione tecnologica, industriale e militare nella quale i modelli avanzati sono considerati infrastrutture strategiche. Washington teme di perdere il vantaggio nell’AI e Pechino considera l’autosufficienza tecnologica una priorità nazionale. In questo contesto, chiedere ai laboratori di rallentare in modo coordinato è razionale dal punto di vista della sicurezza, ma fragile dal punto di vista geopolitico.
Nessuna grande potenza vuole essere la prima a frenare mentre presume che l’avversario continui a sviluppare capacità più avanzate. La competizione produce quindi un incentivo strutturale ad accelerare, anche quando i rischi sono riconosciuti dagli stessi ricercatori.
Per questo la sicurezza non può dipendere da una pausa volontaria. Servono requisiti verificabiliy.
Il rapporto Anthropic non dimostra che l’AI abbia acquisito autonomia strategica. Dimostra qualcosa di più concreto: attività operative che prima richiedevano organizzazioni ampie possono oggi essere compresse in workflow automatizzati gestiti da pochi individui.
La corsa tra Cina e Stati Uniti non si fermerà per buoni propositi. La vera priorità è impedire che la velocità della competizione superi la capacità dei governi, dei laboratori e delle aziende di contenere ciò che stanno costruendo.
Partecipa alla community