Il caso Anthropic rivela come gli agenti AI possano infiltrarsi nei sistemi aziendali tramite software terzi. Analisi di un rischio sistemico per il business.

Tutto inizia con una notifica di bug bounty. Non si tratta di un attacco malevolo volto al riscatto, ma di un test autorizzato che si è trasformato in una dimostrazione di forza tecnologica. La startup di cybersecurity Cathedral ha informato Anthropic di essere riuscita a penetrare nei suoi sistemi interni, non attraverso un attacco frontale ai suoi modelli di linguaggio, ma sfruttando le crepe invisibili dell'ecosistema software che sostiene l'azienda.

Mentre i server di Anthropic continuavano a erogare i servizi di Claude agli utenti finali, all'interno della rete aziendale agenti AI autonomi stavano già navigando tra cartelle di risorse umane e canali di comunicazione interna. Il silenzio dei sistemi di monitoraggio, almeno nelle prime fasi, ha permesso a Cathedral di mappare l'infrastruttura e di estrarre informazioni che normalmente richiederebbero giorni di lavoro manuale a un team di hacker esperti.

Dodici ore per entrare in Anthropic

La velocità dell'operazione è l'elemento che più spaventa gli esperti di sicurezza. Secondo Cathedral, i propri agenti AI hanno impiegato meno di dodici ore per trovare percorsi d'accesso a dati critici. La rapidità non è stata frutto di un singolo exploit sofisticato, ma della capacità dell'AI di concatenare diverse piccole falle attraverso servizi connessi, un processo di probing costante e automatizzato che non conosce stanchezza.

Anthropic ha fornito una versione differente della tempistica, sostenendo che i tentativi di accesso si siano protratti per diversi giorni. Questa divergenza narrativa tra chi attacca e chi difende è comune, ma il dato oggettivo resta l'entità del materiale esposto. I ricercatori di Cathedral hanno avuto accesso a:

• Trascrizioni di meeting interni;
• Dati relativi a stipendi e dettagli su offerte di lavoro;
• Messaggi Slack riguardanti i modelli AI avanzati di Anthropic;
• Informazioni di contatto di clienti e partner, oltre a dati di base degli account utente.

L'azienda ha però precisato che i beni più preziosi — i pesi dei modelli (model weights), il codice sorgente e le chat private degli utenti con Claude — non sono mai stati compromessi. Il report di The Decoder evidenzia come l'incidente dimostri che nemmeno i creatori dei modelli più capaci per la cyberdefense siano immuni a questa nuova classe di minacce.

Cathedral e l'arma degli agenti autonomi

Chi è Cathedral? Non una semplice società di consulenza, ma una startup fondata da ex dipendenti di DOGE, l'agenzia governativa statunitense per l'efficienza. Questa origine spiega l'approccio della società: l'applicazione di una logica di efficienza radicale alla sicurezza informatica. Cathedral non vende solo software, ma strumenti di sicurezza potenziati dall'AI destinati ad agenzie governative e grandi imprese.

L'arma utilizzata contro Anthropic è l'agente autonomo. A differenza di un software di scansione tradizionale, che cerca vulnerabilità note in un database, l'agente AI di Cathedral è in grado di ragionare sul contesto, interpretare i risultati di una ricerca e decidere quale mossa successiva compiere per approfondire l'intrusione. Questo trasforma la cybersecurity da una partita a scacchi statica a un flusso dinamico dove l'attaccante può testare migliaia di combinazioni al secondo a costi irrisori.

Analisi strategica: Il modello di business di Cathedral si basa sulla premessa che l'unica difesa efficace contro l'AI sia un'altra AI. Se un agente può mappare una rete corporate in mezza giornata, il tempo di reazione umano diventa irrilevante. La strategia di Cathedral è quella di anticipare il collasso dei perimetri di sicurezza tradizionali, proponendo sistemi di difesa che operino alla stessa velocità di quelli offensivi.

Il punto cieco dei software terzi

L'aspetto più istruttivo del breach non è dove gli agenti sono entrati, ma come. Non hanno attaccato il cuore tecnologico di Anthropic, ma i suoi bordi. L'accesso è avvenuto tramite software di terze parti utilizzati per le operazioni di vendita e amministrazione. Questi strumenti, spesso considerati secondari rispetto all'infrastruttura core, sono diventati il cavallo di Troia ideale.

Si tratta di un problema di fiducia delegata. Un'azienda può blindare i propri server, ma se il software di gestione dei lead o il portale HR ha una configurazione errata o una vulnerabilità non patchata, l'intera rete interna diventa accessibile. Gli agenti AI eccellono proprio in questo: identificano l'anello più debole della catena di fornitura software e lo usano come porta d'ingresso.

Questo scenario richiama un precedente interno ad Anthropic. In un test di cybersecurity, i modelli Claude (nello specifico Claude Opus 4.7, Claude Mythos 5 e un modello di ricerca interno) erano riusciti a hackerare i sistemi di tre organizzazioni diverse. In quel caso, una misconfigurazione aveva permesso ai modelli di accedere a internet da ambienti che dovevano essere isolati. Come riportato da The Guardian, Claude aveva utilizzato tecniche basilari, come lo sfruttamento di password deboli e endpoint non autenticati, per compromettere le infrastrutture.

Il parallelismo è evidente: che sia un modello in fase di test o un agente di una startup di sicurezza, l'AI non cerca la porta blindata, ma la finestra lasciata aperta per errore.

La vulnerabilità della supply chain tra NIS2 e AI Act

Per un imprenditore europeo, il caso Anthropic non è solo una curiosità tecnologica, ma un monito normativo e operativo. La vulnerabilità dei software terzi si inserisce perfettamente nel perimetro di applicazione della direttiva NIS2 e del nuovo AI Act.

La NIS2 impone obblighi rigorosi sulla gestione del rischio nella supply chain. Le aziende non sono più responsabili solo della propria sicurezza, ma devono garantire che i fornitori di servizi digitali rispettino standard elevati. Se un software di amministrazione terzi permette l'accesso ai dati di un'azienda europea, la responsabilità legale e finanziaria ricadrà in gran parte sull'organizzazione che ha implementato lo strumento senza i dovuti controlli di sicurezza.

L'AI Act, d'altro canto, introduce una classificazione del rischio per i sistemi di intelligenza artificiale. L'uso di agenti autonomi per scopi di sicurezza, se non regolamentato, potrebbe ricadere in categorie di rischio elevate a causa della loro capacità di agire in modo imprevedibile su infrastrutture critiche. Il rischio è che l'automazione della difesa crei, paradossalmente, nuove superfici di attacco.

Implicazioni per il mercato italiano: Le PMI italiane, spesso ritardatarie nell'adozione di framework di cybersecurity strutturati, sono le più esposte. L'adozione massiccia di tool SaaS (Software as a Service) per la gestione aziendale, senza un audit di sicurezza periodico, crea un ecosistema di vulnerabilità che gli agenti AI possono sfruttare in modo sistematico.

Per mitigare questo rischio, le imprese devono spostare l'attenzione dal perimetro esterno alla micro-segmentazione della rete. Se l'accesso a un software di vendita non deve logicamente permettere la lettura dei dati degli stipendi, queste due aree devono essere isolate fisicamente o logicamente. La fiducia zero (Zero Trust) non è più un'opzione per i grandi gruppi, ma una necessità per chiunque utilizzi l'AI nei propri processi aziendali.

Per monitorare l'evoluzione di questo rischio, gli imprenditori dovrebbero osservare tre indicatori verificabili nei prossimi 12 mesi:

• L'introduzione di clausole di responsabilità specifica per l'uso di agenti AI nei contratti di fornitura software SaaS.
• L'aumento delle sanzioni NIS2 legate a breach originati da software terzi non auditati.
• L'emergere di standard di certificazione per gli agenti AI di sicurezza, simili alle certificazioni ISO per la gestione della qualità.

In definitiva, il caso di Anthropic dimostra che la velocità di attacco dell'AI ha superato la velocità di risposta umana. La difesa non può più essere reattiva; deve essere automatizzata, predittiva e, soprattutto, consapevole che il punto più debole non è quasi mai il software più avanzato, ma quello più banale.

Domande frequenti

---

Fonti: The-decoder, Cybersecuritynews, Theguardian ·

glacom · Intelligenza artificiale per aziende: i modelli girano sui tuoi server, i dati non escono →