Anthropic documenta il ruolo crescente dell’AI nella criminalità informatica, nella sorveglianza, nelle frodi e nell’ingegneria bellica

Anthropic ha documentato usi dannosi e vietati dell’intelligenza artificiale che spaziano dalle intrusioni informatiche al monitoraggio della popolazione, dalle campagne di influenza alle frodi ai danni dei consumatori e all’ingegneria militare. Le attività osservate si sono svolte tra dicembre 2025 e agosto 2026 e hanno coinvolto presunti operatori sostenuti da governi, criminali motivati da ragioni economiche, aziende di sorveglianza e individui mossi da obiettivi politici.

Il cambiamento principale è operativo, non tecnico. Gli attaccanti non stanno abbandonando il phishing, le credenziali rubate, i servizi esposti o la SQL injection. Stanno invece usando l’AI per collegare questi metodi consolidati in flussi di lavoro più rapidi, economici e sempre più automatizzati.

Secondo i risultati di threat intelligence di Anthropic, i sistemi di AI hanno eseguito comandi negli ambienti delle vittime, raccolto credenziali, elaborato dati rubati e rimosso informazioni dalle reti compromesse. Alcune configurazioni multi-agent hanno condotto attività di ricognizione, sfruttamento e furto ai danni di diverse vittime contemporaneamente, operando per ore o giorni con un intervento umano limitato.

Il furto di credenziali diventa una catena di produzione

Un operatore motivato da ragioni economiche, noto con gli alias MeowSHA, frkoo e blazespider, ha realizzato un sistema distribuito per individuare e sfruttare credenziali esposte.

L’infrastruttura utilizzava 10 worker AWS EC2 per scaricare 1,8 milioni di pacchetti applicativi Android distinti da diverse fonti di app store. I pacchetti venivano poi decompilati e analizzati con TruffleHog, uno strumento progettato per individuare segreti incorporati nel codice e in altri dati.

I risultati validati venivano inviati in tempo reale a un gruppo Telegram suddiviso in oltre 100 categorie di origine. Un processo separato raccoglieva gli indirizzi email associati alle organizzazioni GitHub e acquisiva i GitHub Personal Access Token. Insieme, i due flussi di credenziali fornivano il materiale per l’accesso iniziale nella maggior parte delle compromissioni confermate attribuite all’operatore.

Il volume è rilevante, ma conta ancora di più l’architettura. L’individuazione delle applicazioni, il recupero dei pacchetti, la decompilazione, il rilevamento dei segreti, la validazione delle credenziali e la distribuzione dei risultati erano organizzati in una pipeline continua, non in una serie di attività manuali.

Questa struttura consente a un’operazione relativamente piccola di analizzare un corpus software enorme e trasformare rapidamente un errore di uno sviluppatore in un accesso utilizzabile. Le chiavi cloud codificate nel codice, i token dei repository e le credenziali dei servizi possono quindi diventare strumenti per le intrusioni poco dopo essere stati scoperti.

Anthropic ha inoltre descritto strumenti malevoli che riutilizzavano token rubati contro i servizi Microsoft, recuperavano i contenuti delle caselle di posta, compresi i messaggi eliminati, e facevano apparire il traffico come se provenisse da client Microsoft legittimi. Secondo quanto riferito, Claude è stato utilizzato per progettare e testare gli strumenti interessati.

Non sono stati divulgati intervalli di versioni dei prodotti né identificativi CVE. Queste operazioni sfruttavano principalmente segreti esposti, token rubati e tecniche di intrusione consolidate, non una vulnerabilità software di nuova identificazione.

Gli agenti AI collegano più fasi di un’intrusione

I casi segnalati vanno oltre la generazione di codice assistita dall’AI. I modelli hanno partecipato a porzioni significative della catena d’attacco: ricognizione, sviluppo degli strumenti, sfruttamento, esecuzione dei comandi, raccolta delle credenziali, persistenza, elaborazione dei dati ed esfiltrazione.

I framework multi-agent sono particolarmente rilevanti. Gli operatori possono assegnare funzioni diverse a istanze AI separate e consentire loro di lavorare in parallelo, proprio come farebbe un normale team di intrusione dividendo le responsabilità tra specialisti di ricognizione, sfruttamento e analisi.

Questo non rende l’attività completamente indipendente. Gli esseri umani continuano a definire gli obiettivi, fornire l’infrastruttura e intervenire quando servono capacità decisionali o accessi specifici. Tuttavia, un sistema di AI in grado di eseguire comandi, analizzare le risposte e adattare il passaggio successivo può ridurre il numero di persone necessarie per mantenere un’operazione.

I punti d’ingresso restano quelli consueti. Le osservazioni di Anthropic includevano credenziali rubate, servizi esposti su Internet, dispositivi edge vulnerabili, phishing e SQL injection. I difensori non dovrebbero interpretare la criminalità abilitata dall’AI come un motivo per sostituire i controlli convenzionali. L’effetto immediato è che i controlli trascurati possono ora essere verificati e sfruttati più rapidamente e su un numero maggiore di obiettivi.

Non esiste una singola firma malware o un unico indicatore di rete in grado di coprire queste attività. Il rilevamento dipende quindi dai comportamenti: scansioni parallele, sequenze di comandi insolite, validazione automatizzata delle credenziali, interazioni prolungate scandite dal ritmo delle macchine ed esfiltrazione che segue rapidamente la fase di individuazione.

Le operazioni di sorveglianza hanno unito analisi, selezione degli obiettivi e interazione

Anthropic ha identificato l’uso di Claude da parte di soggetti associati a Cina, Iran e Africa occidentale, oltre che da parte di operatori del settore commerciale della sorveglianza su commissione. Le attività spaziavano da singoli operatori a team coordinati.

L’AI è stata utilizzata per analizzare contenuti dei social media, profilare persone, selezionare obiettivi, generare rapporti di intelligence e contribuire alla realizzazione di sistemi per l’intercettazione delle comunicazioni. In ogni caso di sorveglianza descritto, la condotta violava le regole di Anthropic contro la sorveglianza non consensuale, la profilazione e le violazioni delle libertà civili. Gli operatori hanno inoltre tentato di eludere le protezioni progettate per individuare usi di questo tipo.

Un consulente che lavorava per le autorità maliane di sicurezza nazionale ha utilizzato Claude durante lo sviluppo di una piattaforma di intercettazione di massa destinata a monitorare le comunicazioni attraverso gli operatori mobili del Paese. Il sistema previsto avrebbe inoltre prodotto dossier su obiettivi selezionati.

Operatori iraniani hanno sviluppato un’estensione malevola per Firefox destinata a raccogliere informazioni sugli utenti dei social media. Operatori cinesi hanno utilizzato l’AI per elaborare grandi quantità di contenuti social, individuare persone di interesse e trasformare i risultati in rapporti di intelligence.

Un’altra operazione aveva come obiettivo le comunità uigure in Siria. L’attore non possedeva le competenze necessarie in lingua araba, quindi Claude redigeva messaggi adatti al dialetto, traduceva le risposte in tempo reale e interpretava il ruolo di un esperto incaricato di valutare l’approccio. Preparava inoltre le informazioni raccolte per un presunto responsabile umano dei casi.

Il caso illustra un’espansione più ampia delle capacità. L’AI non si limita a ordinare il materiale intercettato dopo la raccolta: può contribuire alla selezione degli obiettivi, ai contatti multilingue, alla manipolazione sociale e alla produzione di dossier utilizzabili operativamente.

Le identità sintetiche hanno amplificato frodi e influenza legata a governi

Uno studio applicativo con sede in Cina ha utilizzato Claude per gestire identità su oltre 20 applicazioni di incontri, anche se i servizi venivano presentati come basati esclusivamente su persone reali.

Nel corso di un periodo di due settimane nell’aprile 2026, Anthropic ha identificato oltre 4.700 identità AI distinte che comunicavano con almeno 25.000 persone uniche. In quell’intervallo, il sistema ha prodotto circa 2,36 milioni di messaggi.

Quando serviva maggiore credibilità, operatori umani sostenevano l’inganno attraverso videochiamate e interazioni sui social media. L’operazione manteneva circa tre identità AI per ogni persona reale, consentendo a una forza lavoro limitata di supervisionare migliaia di relazioni simultanee.

Un’operazione di influenza separata è stata attribuita con elevata probabilità a funzionari del governo degli Emirati Arabi Uniti. L’operazione utilizzava l’AI per supportare circa 300 account non autentici sui social media e creare un’organizzazione non governativa di facciata basata sull’identità di un gruppo reale.

Gli operatori generavano materiale presentato come attività indipendente di difesa dei diritti umani e scrivevano per conto terzi testimonianze destinate al Consiglio per i diritti umani delle Nazioni Unite. Hanno inoltre profilato 18 membri del Parlamento europeo e giornalisti, preparando al contempo dossier sui Relatori speciali delle Nazioni Unite che avevano criticato la condotta degli Emirati Arabi Uniti in Sudan.

Entrambi i casi applicano lo stesso modello organizzativo a obiettivi diversi. L’AI mantiene una popolazione sintetica numerosa, mentre le persone intervengono in modo selettivo per le decisioni strategiche o per le interazioni che richiedono prove più solide di autenticità.

Claude Code ha supportato attività su missili, droni e sistemi navali

Anthropic ha documentato sei casi riguardanti lo sviluppo di armi, l’approvvigionamento o la raccolta di informazioni in Cina, Russia e Yemen. Tra i soggetti figuravano razzi guidati, simulazioni di missili balistici, tecnologie antitorpedine, sciami autonomi di droni, selezione degli obiettivi per la guerra elettronica e armi a energia diretta.

Una cellula nel nord dello Yemen lavorava a tre programmi: un razzo guidato dotato di un computer di volo di classe smartphone commerciale, un missile balistico multistadio con un obiettivo dichiarato di gittata superiore a 2.000 km e una famiglia di missili “R2000” che comprendeva una variante con veicolo planante ipersonico.

Il gruppo utilizzava Claude Code per il software di guida, navigazione e controllo. Istanze separate del modello gestivano programmazione, ricerca e revisione del codice. Dopo aver condotto un test reale del razzo guidato, gli operatori hanno utilizzato il modello per analizzare il malfunzionamento.

Anthropic non ha stabilito che gli attori yemeniti appartenessero a un’organizzazione terroristica e non ha individuato alcun attacco terroristico confermato condotto con Claude. La preoccupazione è più circoscritta, ma resta seria: l’AI può aiutare gli operatori a integrare componenti disponibili, risolvere malfunzionamenti e svolgere attività tecniche che altrimenti richiederebbero personale più specializzato.

Un attore con sede in Cina ha utilizzato Claude per produrre software e una proposta tecnica di oltre 200 pagine per un sistema antitorpedine, includendo confronti con sistemi navali statunitensi. L’operatore chiedeva ripetutamente al modello di criticare il proprio lavoro assumendo il ruolo di un esperto avversariale.

In Russia, Claude Code e un’infrastruttura di simulazione hanno supportato attività su uno sciame di droni FPV autonomi. Altri casi riguardavano la guerra elettronica, la soppressione delle difese aeree e la raccolta di informazioni relativa ai sistemi a energia diretta.

Ai difensori servono controlli su identità, endpoint e servizi AI

Le organizzazioni dovrebbero partire dalle debolezze effettivamente sfruttate in queste operazioni. I segreti devono essere individuati nei repository del codice sorgente, nei pacchetti Android, negli artefatti di build e nelle applicazioni distribuite. I token GitHub esposti, le chiavi cloud, le credenziali dei servizi e gli artefatti delle sessioni Microsoft dovrebbero essere revocati e ruotati.

L’autenticazione multifattore resistente al phishing può limitare il valore delle password rubate, anche se i difensori devono impedire anche il riutilizzo dei token. Il monitoraggio delle caselle di posta Microsoft dovrebbe segnalare fingerprint dei client insoliti, recupero di messaggi eliminati, spostamenti impossibili e modelli di accesso incompatibili con il comportamento normale dell’utente.

I team cloud dovrebbero analizzare le flotte EC2 che eseguono download massivi di pacchetti, decompilazione automatizzata o scansioni prolungate dei segreti. Il monitoraggio di sicurezza può inoltre cercare canali di distribuzione basati su Telegram, estensioni malevole per Firefox e raccolte non autorizzate di dati dai social media.

A livello di rete ed endpoint, i sistemi di rilevamento comportamentale dovrebbero coprire la ricognizione multi-agent, l’esecuzione dei comandi scandita dal ritmo delle macchine, lo sfruttamento parallelo e le attività autonome che proseguono per periodi prolungati. Le protezioni dei fornitori restano utili, ma i tentativi documentati di eludere i controlli di Anthropic dimostrano che non possono costituire l’unico livello di difesa.

Le indagini su influenza e frodi richiedono segnali diversi: account coordinati non autentici, strutture narrative ripetute, identità sintetiche, organizzazioni di facciata e testimonianze prodotte in massa. Le comunicazioni diplomatiche, elettorali e relative ai diritti umani dovrebbero essere sottoposte a verifiche di provenienza e a una revisione umana sostanziale.

L’AI non sta sostituendo i metodi d’attacco consolidati. Li sta trasformando in operazioni integrate e scalabili, consentendo a gruppi più piccoli di agire come organizzazioni molto più grandi.