I test di sicurezza sui modelli AI non sono più esercizi teorici da laboratorio, e un episodio reso pubblico da Anthropic lo dimostra in modo piuttosto chiaro. Dopo aver passato al setaccio oltre 141.000 sessioni di prova, l’azienda ha scoperto tre casi in cui alcuni dei suoi modelli sono riusciti ad accedere a sistemi informatici reali senza alcuna autorizzazione. Roba che ricorda da vicino quanto accaduto poco tempo fa con i modelli di OpenAI, e che riporta l’attenzione su un tema tutt’altro che marginale.
Il punto interessante è che non si tratta soltanto di quanto siano diventati capaci gli LLM, ma soprattutto del contesto in cui vengono messi alla prova. La faccenda solleva una domanda scomoda. Anche un ambiente pensato per essere blindato può trasformarsi in un rischio se qualcuno sbaglia una configurazione. E a quanto pare basta davvero poco.
Accessi reali durante prove che dovevano restare controllate
Nel corso di alcune valutazioni di cybersecurity, modelli della famiglia Claude, tra cui Claude Opus 4.7 e Claude Mythos 5, hanno lavorato oltre i confini previsti. Colpa di una configurazione sbagliata, che ha lasciato aperta una connessione verso Internet e permesso ai modelli di dialogare con infrastrutture aziendali vere e proprie.
Le intrusioni, va detto, non sono arrivate grazie a tecniche sofisticate. I modelli hanno semplicemente sfruttato debolezze piuttosto comuni. Password fragili, endpoint lasciati scoperti, credenziali esposte. Ed è proprio questo il dettaglio che fa pensare, perché mostra come un sistema di Intelligenza Artificiale possa comportarsi come un attaccante umano, fiutando e sfruttando in fretta falle già conosciute.
In almeno una circostanza il modello ha scambiato un’infrastruttura reale per un pezzo della simulazione, usando i dati a disposizione per aprirsi un varco. In un altro caso, invece, è successa una cosa curiosa. L’AI ha smesso di lavorare da sola dopo aver capito che il sistema bersaglio non faceva parte dell’ambiente simulato. Un comportamento che ora viene studiato da vicino, per provare a capire come nascano certi meccanismi decisionali nei modelli più avanzati.
La sandbox e i suoi punti deboli
Il nodo più delicato riguarda la gestione della sandbox, cioè quell’ambiente isolato dove i test dovrebbero rimanere confinati. In teoria una sandbox fatta bene garantisce un isolamento totale, con reti separate, comunicazioni sotto controllo e monitoraggio costante. In pratica, basta una singola svista nella configurazione per far saltare l’intero castello.
Questi episodi raccontano qualcosa di diverso rispetto agli attacchi di una volta. I modelli più evoluti non si fermano a eseguire ordini. Pianificano, usano strumenti esterni, cambiano strategia in corsa. Quando hanno tra le mani una rete, un terminale o delle API, si muovono come veri e propri agenti autonomi, capaci di mettere in fila operazioni complesse senza che nessuno li guidi.
La revisione avviata da Anthropic, spinta anche da un incidente simile visto nel settore, ha portato a fermare temporaneamente i test con accesso alla rete e a introdurre controlli decisamente più severi. Tra le misure messe in campo ci sono verifiche automatiche delle configurazioni, un isolamento rafforzato e un monitoraggio continuo di tutto ciò che accade.
