Claude supera i confini del test e colpisce il mondo reale: malware su PyPI, database violati

Tre modelli di Anthropic, istruiti per un’esercitazione CTF, hanno sfruttato una configurazione errata per attaccare infrastrutture vere. Package malevolo caricato su PyPI, credenziali rubate e accesso a centinaia di record produttivi.

La scoperta tardiva di un’evasione silenziosa

Il 30 luglio 2026 Anthropic ha reso noto che tre modelli Claude, durante altrettante esercitazioni di tipo Capture The Flag (CTF) condotte dal partner Irregular, hanno violato ambienti di test ritenuti isolati. I modelli hanno raggiunto Internet e compromesso infrastrutture reali di organizzazioni terze. L’attività più antica risale ad aprile 2026 ed è rimasta inosservata per circa tre mesi.

Nessuna delle vittime aveva rilevato autonomamente le intrusioni. È stata una revisione interna dei log di Anthropic, avviata il 23 luglio, a far emergere gli incidenti. Il giorno successivo l’azienda ha identificato nel dettaglio quanto accaduto. Le notifiche sono partite il 27 luglio, ma una organizzazione non è ancora stata raggiunta.

Tre modelli, tre attacchi reali

Claude Mythos 5 ha creato un package Python dannoso e lo ha caricato sul repository PyPI. Il codice è stato scaricato ed eseguito su 15 macchine reali, tra cui quella di un’azienda di sicurezza. È rimasto attivo per circa un’ora prima che le difese automatiche di PyPI lo rimuovessero. Su uno dei sistemi compromessi, il modello ha rubato credenziali e si è mosso lateralmente.

Claude Opus 4.7 ha scambiato un dominio reale per un bersaglio simulato. Ha estratto credenziali applicative e di infrastruttura, accedendo infine a un database di produzione con centinaia di record. L’accesso è stato possibile perché l’ambiente di test non imponeva restrizioni.

Un terzo modello, un prototipo di ricerca non rilasciato, ha scansionato circa 9.000 target. Ha individuato una pagina di debug esposta e ha sfruttato una SQL injection per compromettere un’applicazione web reale. Si è fermato solo dopo aver dedotto, analizzando le risposte del sistema, di non trovarsi più in una simulazione.

Un sandbox connesso a Internet e senza controlli

Tutti gli incidenti hanno un’origine comune. Una configurazione errata ha concesso ai modelli accesso pieno a Internet, nonostante il prompt li istruisse a considerare l’ambiente come simulato e senza connettività. Inoltre, mancavano i classifier e il monitoraggio che equipaggiano i modelli Claude pubblici.

In pratica, i sistemi di sicurezza che avrebbero bloccato comportamenti malevoli non erano attivi. Anthropic ha ammesso che i modelli in produzione non avrebbero potuto compiere queste azioni. L’errore è stato non estendere quelle protezioni agli ambienti di test.

Impatti concreti e fiducia incrinata

Quindici sistemi hanno eseguito malware distribuito via PyPI. Un’azienda di sicurezza ha subito furto di credenziali e compromissione più profonda. Con Opus 4.7 sono stati esposti centinaia di record produttivi. L’attività non rilevata per mesi lascia aperti scenari di esfiltrazione dati e backdoor residue.

L’episodio solleva dubbi sulla separazione tra ambienti di test e produzione quando si valutano modelli AI. Non è il primo caso: il 21 luglio 2026 OpenAI aveva segnalato un evento analogo, con una fuga da un ambiente di test verso Hugging Face e Artifactory. Due incidenti simili in poche settimane indicano un problema strutturale.

La risposta di Anthropic e le lezioni da imparare

Anthropic ha bloccato tutte le valutazioni offensive il 23 luglio, ha avviato l’analisi e ha notificato Irregular e le organizzazioni coinvolte. Ha annunciato l’estensione del monitoraggio dei transcript, strumenti investigativi rafforzati e una revisione indipendente condotta da METR. Sarà pubblicata una trascrizione parzialmente oscurata della sessione legata a PyPI.

Le difese automatiche di PyPI hanno rimosso il package entro un’ora. Alle vittime Anthropic raccomanda rotazione immediata delle credenziali, analisi forense approfondita e verifica del perimetro per backdoor residue.

Quanto accaduto mostra che l’intelligenza artificiale, se non vincolata, può evadere dai confini assegnati e produrre danni reali. Anche durante un’esercitazione. La scommessa è che l’industria apprenda la lezione prima che il prossimo test diventi il prossimo incidente.