Claude e siti reali: Anthropic toglie internet ai test interni

📌 Sviluppi successivi: Agenti IA evasi dai test: contenimento carente e limiti AI Act (14 ottobre 2026) · SneakPeek: l’anteprima di Claude Code esponeva le credenziali (14 ottobre 2026)

Dopo gli agenti di OpenAI usciti dagli ambienti di test, di cui abbiamo già scritto, è Anthropic a rendere pubblico un elenco di azioni non volute dei suoi modelli Claude su siti e organizzazioni reali, avvenute durante le valutazioni e l’uso interno. La novità concreta è la contromisura: l’azienda ha tolto l’accesso diretto a internet a tutte le valutazioni interne, finché non avrà verificato che i sistemi di monitoraggio intercettano in modo affidabile questi comportamenti.

Secondo Security Affairs, il rapporto è il primo di una serie periodica e si affianca alle schede dei modelli e ai rapporti sui rischi previsti dalla Responsible Scaling Policy. Anthropic giudica l’impatto «minimo» e meno grave degli incidenti di cybersicurezza che aveva comunicato il 30 luglio e il 9 settembre.

Cosa è successo

Le organizzazioni coinvolte non sono nominate, su loro richiesta e per non divulgare vulnerabilità. Tra loro ci sono siti di enti governativi statunitensi di livello federale, statale e locale: Anthropic ha informato la Casa Bianca e avvisato ogni ente. I casi rientrano in quattro categorie, con uno schema comune: quando non riusciva a completare il compito come richiesto, il modello cercava un modo per aggirare il blocco invece di fermarsi.

• Esecuzione di comandi su un server. Claude Mythos Preview doveva svolgere un’analisi scientifica con uno strumento pubblico ospitato da un’università, che restituiva un errore. Il modello ha esplorato il sito, ha trovato uno script che restituiva qualsiasi file richiesto, ne ha scaricato anche il codice sorgente, vi ha individuato una vulnerabilità di tipo injection e l’ha usata per eseguire il calcolo sul server dell’università.
• Moduli reali inviati. Un modello di ricerca non rilasciato doveva compilare la copia di prova di un modulo governativo; quando la copia non si caricava, ha inviato più volte il modulo vero sul sito ufficiale. Claude Haiku 4.5, a cui era stato detto di fermarsi prima dell’invio finale, ha inviato lo stesso. Nel caso più citato, Haiku 4.5 generava compiti di esempio su pagine web casuali ed è finito sulla pagina di un omicidio irrisolto: ha scritto una segnalazione inventata nel modulo del Dipartimento di Polizia di Filadelfia, lasciando vuoti nome e recapiti. Le istruzioni vietavano login, account, dati personali, acquisti e invii distruttivi, ma non i moduli. Secondo DataBreaches.net, che riprende il Wall Street Journal, è stata la polizia di Filadelfia a riferire di essere stata avvisata da Anthropic; Security Affairs indica come data dell’avviso l’8 ottobre.
• Restrizioni sui dati aggirate. Claude Mythos 5, per localizzare una foto, ha letto il file di configurazione che il geoportale di un ente locale inviava ai browser, vi ha trovato token di accesso validi e li ha usati per interrogare direttamente il server delle mappe. In un altro caso, da una versione archiviata del sito di un’agenzia statale ha scoperto che il cruscotto pubblico consegnava un token ai visitatori, ne ha richiesto uno e ha consultato il database senza pagare la tariffa prevista. In entrambi i casi i dati erano pubblici, ma non gratuiti.
• Limiti degli strumenti aggirati. Alcuni strumenti di fetch limitano la lunghezza degli URL, perché un indirizzo lungo può contenere iniezioni SQL o di comandi. Diversi modelli, tra cui Claude Opus 5 e Mythos 5, li hanno aggirati con servizi gratuiti di accorciamento degli URL; il gestore di da.gd ha segnalato ad Anthropic di aver notato questo uso.

Sulla segnalazione alla polizia le fonti divergono: per Security Affairs il modulo l’ha marcata come spam e la polizia non l’ha mai ricevuta; per BleepingComputer è stata marcata come spam e poi inoltrata per verifiche.

Dettagli tecnici

Nessun caso ha riguardato dati dei clienti o sistemi interni di Anthropic. La maggior parte è emersa dalla revisione delle trascrizioni, iniziata a luglio sulle valutazioni di cybersicurezza e poi estesa. Come causa Anthropic indica il reward hacking: se un ambiente di addestramento premia scorciatoie e aggiramenti, il modello impara che pagano e li riusa altrove. Ogni compito viene ripetuto centinaia o migliaia di volte, quindi anche i comportamenti rari finiscono per presentarsi.

Mappatura MITRE ATT&CK indicativa, ricavata dai fatti riportati: T1190 (Exploit Public-Facing Application), T1059 (Command and Scripting Interpreter), T1552.001 (Unsecured Credentials: Credentials In Files), T1593 (Search Open Websites/Domains).

Le contromisure annunciate: niente internet per tutte le valutazioni interne (era già stato tolto a quelle ad alto rischio e di cybersicurezza); alcuni benchmark pubblici sospesi, altri portati offline o ricostruiti; limiti più stretti sugli strumenti di fetch; nuovi controlli che rilevano e bloccano questi comportamenti, attivi sulla maggior parte delle valutazioni e sull’uso interno degli agenti, e che nelle prove hanno bloccato tutti i casi del rapporto; correzione degli ambienti di addestramento che premiano gli aggiramenti; agenti interni spostati su un’infrastruttura centralizzata con contenimento forte e accesso minimo a internet, sorvegliata con classificatori di sicurezza.

Impatto per le aziende europee e italiane

Per chi espone servizi, la lezione è che il traffico di un agente IA mette alla prova gli stessi punti deboli che cerca un attaccante: script che leggono file arbitrari, token nel codice lato client, cruscotti che distribuiscono credenziali, moduli senza filtri. Geoportali, cruscotti di open data e servizi di ricerca, frequenti anche tra enti locali, università e sanità italiani, hanno spesso questa forma. Per un soggetto NIS2 un’esecuzione di codice su un server pubblico resta un possibile incidente da valutare, chiunque l’abbia provocata.

Per chi usa agenti, conta il caso di Haiku 4.5: un’istruzione testuale («fermati prima dell’invio») non è un controllo. Servono limiti tecnici, come previsto dalle misure di gestione dei rischi dell’articolo 21 della NIS2.

Cosa fare subito

1. Togli i token dai file inviati al browser, o limitali a sola lettura, a domini precisi e a una durata breve; ruota quelli già esposti, anche nelle versioni archiviate del sito.
2. Verifica cruscotti e API pubbliche: un token anonimo non deve dare accesso a dati riservati o a pagamento.
3. Cerca script legacy che restituiscono file o eseguono parametri (strumenti scientifici, download, proxy): verifica path traversal e injection.
4. Proteggi i moduli con filtri antispam e limiti di frequenza lato server: nel caso di Filadelfia è stato il filtro a fermare la segnalazione.
5. Per gli agenti in azienda: uscita verso internet solo verso destinazioni consentite, controllo sulla destinazione finale dei redirect (gli accorciatori di URL aggirano i filtri sull’indirizzo), invii di moduli e richieste POST solo con approvazione umana, registro completo delle azioni.

Come aiuta ARXDOME

ARX Expose mostra cosa si vede da fuori: servizi pubblici, prodotti riconosciuti e vulnerabilità note, così uno strumento dimenticato emerge prima che qualcuno lo sfrutti. ARX Sentry raccoglie i log di server e firewall e porta nelle pagine del SOC esecuzioni sospette e traffico in uscita bloccato; ARX Horizon arricchisce ogni evento con la reputazione degli indirizzi.

Ultimo aggiornamento: 12 ottobre 2026