L’intelligenza artificiale sta ridefinendo i confini della sicurezza informatica, e l’annuncio di Anthropic relativo al proprio nuovo modello Claude Mythos Preview rappresenta uno dei segnali più chiari di questa trasformazione.
Si tratta di un sistema che la stessa azienda ritiene troppo potente per essere distribuito al pubblico in modo indiscriminato, una scelta che merita riflessione tanto per ciò che rivela sulla traiettoria dello sviluppo dei modelli avanzati quanto per le implicazioni pratiche che ne derivano per l’intero ecosistema della sicurezza digitale globale.
Indice degli argomenti
Anthropic lancia Claude Mythos Preview
Anthropic ha deciso di rendere disponibile Claude Mythos Preview esclusivamente a un consorzio di oltre quaranta aziende tecnologiche, tra cui Apple, Amazon, Microsoft e Google, con l’obiettivo preciso di individuare e correggere vulnerabilità in software critici.
L’iniziativa, denominata Project Glasswing, coinvolge anche produttori hardware come Cisco e Broadcom, oltre a organizzazioni che gestiscono infrastrutture open source di rilevanza mondiale, tra cui la Linux Foundation. A supporto dell’iniziativa, Anthropic ha stanziato fino a cento milioni di dollari in crediti di utilizzo del proprio modello, a testimonianza della serietà con cui l’azienda intende affrontare la questione.
La decisione di non rilasciare pubblicamente il modello non è casuale né dettata da considerazioni commerciali, ma riflette una precisa valutazione del rischio.
Jared Kaplan, chief science officer di Anthropic, ha spiegato che l’obiettivo dell’iniziativa è duplice: da un lato, sensibilizzare l’opinione pubblica e il settore tecnico su una nuova fase, potenzialmente più insidiosa, delle minacce legate all’intelligenza artificiale; dall’altro, offrire agli operatori virtuosi un vantaggio temporale nel processo di messa in sicurezza di infrastrutture e codice, sia open source che proprietario.
Si tratta, in altri termini, di una corsa in cui il vantaggio può fare la differenza tra un sistema vulnerabile e uno protetto.
L’antprima di Anthropic, Claude Mythos: la sfida nella cyber security
Logan Graham, responsabile del team interno di Anthropic che valuta le capacità pericolose dei nuovi modelli, ha descritto Claude Mythos Preview come il punto di partenza di quello che l’azienda considera un cambiamento strutturale del settore, un vero e proprio “regolamento dei conti” con la realtà che si profila.
Questa terminologia, volutamente forte, richiama l’attenzione su un aspetto che spesso viene sottovalutato nel dibattito pubblico sull’intelligenza artificiale: i modelli di nuova generazione non sono soltanto strumenti di produttività o di automazione creativa, ma entità capaci di analizzare codice e individuare vulnerabilità con un livello di sofisticazione elevato.
Per comprendere la portata della sfida, è utile inquadrarla nel contesto attuale della cyber security.
Le vulnerabilità nel software, specialmente in quello open source su cui si reggono porzioni significative dell’infrastruttura digitale, rappresentano da sempre uno dei punti di attacco più sfruttati da attori malevoli, siano essi gruppi criminali, organizzazioni state-sponsored o singoli individui con capacità tecniche avanzate.
L’individuazione di queste falle è un processo spesso complesso e in parte reattivo: si scopre una vulnerabilità quando viene già sfruttata, oppure si attendono i risultati di audit condotti da team di esperti con risorse limitate.
Un modello di intelligenza artificiale sufficientemente avanzato da analizzare codice in tempi ridotti e segnalare potenziali punti di debolezza prima che vengano identificati e sfruttati da attori ostili rappresenterebbe un cambiamento qualitativo significativo in questo scenario.
I rischi legati a Claude Mythos
Allo stesso tempo, la medesima capacità costituisce un rischio evidente se collocata nelle mani sbagliate.
Un sistema in grado di trovare vulnerabilità può, per definizione, anche essere utilizzato per sfruttarle. Ed è esattamente per questa ragione che Anthropic ha optato per un modello di accesso controllato, limitato a soggetti verificati e organizzazioni con interessi strutturali nella difesa dell’infrastruttura digitale.
La scelta di costruire un consorzio anziché procedere a un rilascio generalizzato risponde a una logica di contenimento del rischio: si massimizzano i benefici difensivi riducendo al minimo la possibilità che lo stesso strumento sia convertito in un vettore di attacco.
Occorre una risposta sistemica
La struttura di Project Glasswing riflette anche una consapevolezza crescente, maturata in diversi ambienti industriali e istituzionali, che la sicurezza informatica non può più essere trattata come una questione di pertinenza esclusiva dei singoli attori.
L’interconnessione delle infrastrutture digitali fa sì che una vulnerabilità in un componente open source ampiamente utilizzato possa propagarsi a sistemi eterogenei in modo rapido e difficilmente prevedibile.
La risposta non può che essere sistemica: un consorzio che includa operatori di diversi segmenti della filiera tecnologica, dai produttori di hardware ai gestori di software critici, è più adatto ad affrontare questa complessità di quanto non lo siano iniziative frammentate o soluzioni proprietarie chiuse.
I legittimi interrogativi sui modelli di governance come quello di Anthropic
Modelli di governance come quello scelto da Anthropic sollevano interrogativi legittimi.
Chi determina i criteri di accesso al consorzio? Con quali meccanismi di trasparenza si condividono le scoperte relative alle vulnerabilità individuate? In che tempi e con quali modalità si notificano ai maintainer del software interessato? Queste domande non sono retoriche.
Infatti la storia della divulgazione responsabile delle vulnerabilità informatiche è costellata di casi in cui la gestione delle tempistiche e delle comunicazioni ha determinato la differenza tra una patch efficace e un’esposizione prolungata al rischio.
Potenza computazionale e capacità analitiche: serve un framework di gestione del rischio adeguato
Sul piano più ampio del rapporto tra sviluppo dell’intelligenza artificiale e sicurezza, l’annuncio di Anthropic si inserisce in un dibattito che ha assunto negli ultimi anni una rilevanza crescente.
L’idea che i modelli più avanzati possano essere talmente potenti da richiedere una distribuzione selettiva non è nuova. Ma raramente l’applicazione era stata così esplicita e operativa da parte di un’azienda del settore.
Segnala una maturazione del pensiero interno alle organizzazioni che sviluppano questi sistemi: la consapevolezza che la potenza computazionale e le capacità analitiche di nuova generazione non possono essere trattate come semplici funzionalità da distribuire senza un framework di gestione del rischio adeguato.
Project Glasswing: Anthropic Claude Mythos è una svolta per la cyber security
In questo senso, Project Glasswing può essere letto come un esperimento di governance tecnologica oltre che come un’iniziativa di cyber security.
Se il modello si dimostrerà efficace nel produrre risultati concreti in termini di vulnerabilità identificate e corrette, potrebbe diventare un precedente per altri casi in cui capacità avanzate di intelligenza artificiale si rendono disponibili in modo controllato per affrontare sfide di interesse collettivo.
Se invece le difficoltà operative, le tensioni tra i partecipanti o la lentezza dei processi di patching ne limiteranno l’impatto, fornirà comunque indicazioni preziose su come strutturare iniziative analoghe in futuro.
