Il 7 aprile 2026 Anthropic ha annunciato un modello di intelligenza artificiale così abile nello scovare falle da non poter essere venduto al pubblico. Lo avrebbero usato soltanto Apple, Microsoft, Google, Amazon e pochi altri, seduti attorno al tavolo di Project Glasswing, per rattoppare il software più critico prima che qualcuno facesse lo stesso lavoro con altre intenzioni.
Sei mesi dopo la cronaca viaggia su un binario completamente diverso: molti enti pubblici e aziende grandi e piccole in tutto il mondo (Italia compresa) hanno messo offline i propri siti per via di due bug mai scoperti prima ma presenti da un decennio nel linguaggio di programmazione PHP, che è molto diffuso: secondo le analisi viene usato dal 70% dei siti web.
Intanto, un cyber-attaccante di lingua cinese ha affidato a una squadra di agenti autonomi quasi tutto il lavoro necessario per entrare nei siti di più di cento aziende, fra cui John Deere, le macchine agricole, e Shark-Ninja, gli elettrodomestici. Per mettere in moto il sistema sono bastati meno di cento caratteri cinesi. Gli agenti hanno provato a forzare oltre milleduecento siti; il ricercatore che ha ricostruito il caso calcola circa cinquemila dollari spesi in modelli, cioè cinquanta dollari a intrusione riuscita, con la riserva che nel conto potrebbe mancare qualcosa.
Una previsione a metà
La profezia di allora si poggiava su due idee. La prima è che modelli più potenti avrebbero scoperto debolezze inedite, e la seconda è che avrebbero messo attacchi micidiali in mano a chi non sapeva farli da sé.
La seconda parte ha trovato molte più conferme della prima. Anthropic ha analizzato 832 account sospesi per abuso informatico tra marzo 2025 e marzo 2026: il 69 per cento usava il modello per costruire strumenti offensivi, e la quota di attori classificati a rischio medio o alto è salita dal 33 al 56 per cento nel corso dell’anno (l’azienda ammette che il miglioramento dei sistemi di rilevamento può aver pesato). Nella stessa analisi, però, soltanto 54 account su 832, il 6,5 per cento, chiedevano aiuto al modello per muoversi dentro una rete già violata. La parte che richiede giudizio, quella che comincia dopo l’ingresso, resta in gran parte affidata alle persone.
Il caso estremo mostra dove passa il confine. L’operazione di spionaggio che Anthropic ha interrotto nel novembre 2025, nota come GTG-1002, usava Claude Code su una macchina Kali Linux, con gli strumenti da test di penetrazione collegati come server MCP: l’umano dava la direzione, l’agente faceva ricognizione, sfruttava le falle e raccoglieva le credenziali. Nemmeno qui il numero di tecniche distingueva l’attore dagli altri: ne usava trenta, quanto molti attaccanti di rischio medio, come fanno cioè più o meno tutti.
Quello che stupisce è l’impalcatura di codice e strumenti del modello alle fasi dell’attacco. Google, nel secondo trimestre del 2026, ha visto una banda progettare ed eseguire in meno di sei ore una campagna di raccolta di credenziali, sfruttando migliaia di accessi compromessi, mentre l’agente risolveva da sé errori e faceva la rotazione degli indirizzi. Nessun programmatore e nessuno script potrebbe andare così veloce. Non è l’originalità, è l’esecuzione a fare tutta la differenza. Tra l’altro, anche l’altra grande paura (le AI che si ribellano e fanno attacchi micidiali in totale autonomia) non si verifica: lo stesso gruppo di intelligence precisa di non aver ancora osservato pipeline completamente autonome contro bersagli reali.
Un mondo fatto di pezzi
La realtà, per fortuna, è disordinata. Un ospedale con un gestionale, una banca con un altro, una rete elettrica con controllori di epoche diverse: per chi fa manutenzione è un incubo, per un agente che deve scalare un attacco è un ostacolo, perché ogni ambiente chiede di ricominciare l’esplorazione da capo. Ridondanza, dispersione e incoerenza fanno da ammortizzatore, come hanno sempre fatto contro i guasti. Nel caso della cybersicurezza, introducono attrito che rallenta i cattivi, ovvero adesso non solo le persone ma anche gli agenti.
L’Agenzia dell’Unione europea per la cibersicurezza (esiste e si chiama Enisa) segnala però il punto in cui lo schema cede: le dipendenze. Un fornitore compromesso può diventare il vettore verso migliaia di organizzazioni, e lì la dispersione scompare. Il problema, insomma, arriva da un lato che non ci saremmo aspettati. Anche se avevamo tutti gli elementi per immaginarcelo.
Pochi programmatori, molti pacchetti
Spostiamoci dal versante del consuo delle tecnologie a quello della loro produzione. L’altra faccia della medaglia: il momento della produzione di software. Con gli agenti, uno sviluppatore da solo fa il lavoro che richiedeva un team, e il programmatore solitario, eroica figura che sembrava consegnata agli anni Ottanta quando si poteva scrivere un software tutt da soli, torna a essere un modello di impresa sensato. Il caso del pacchetto anti-Adobe lo dimostra abbondantemente.
Assieme al singolo tornano anche i problemi tipici di chi lavora da solo: nessun collega che rilegga le modifiche, nessuno che noti una dipendenza strana, nessuno sguardo alternativo. Il 31 marzo 2026 la stessa Anthropic ha pubblicato per errore il codice sorgente di Claude Code sul registro npm, a causa di un file di esclusione configurato male. Google ritiene che le pratiche di sviluppo assistito dall’intelligenza artificiale abbiano contribuito alle grandi compromissioni della filiera del software tra il 2025 e l’inizio del 2026, perché riducono l’attenzione sui pacchetti di terze parti.
Il gruppo UNC6780, detto anche TeamPCP, colpisce dal marzo 2026 i registri PyPI, npm e Docker Hub. Il suo malware DUSTMAKER nasconde file nelle cartelle di lavoro (nascoste) degli assistenti di programmazione, quelle che si chiamano .claude o .cursor, e ci scrive istruzioni che spingono l’assistente a eseguire comandi per conto suo. In alcuni file JavaScript compare in cima un testo estremo su armi biologiche e nucleari: serve a far rifiutare l’analisi ai modelli che fanno da scanner di sicurezza. È un trucco molto ingegnoso, perché mentre il filtro blocca la scansione, il codice sottostante resta dov’è.
Il vecchio da ripulire
La stessa tecnologia è anche il miglior attrezzo mai visto per ripulire il passato. Mythos ha trovato in OpenBSD una vulnerabilità vecchia di 27 anni, annidata in codice che revisori umani avevano riletto per decenni. Un refactoring su larga scala di sistemi operativi e librerie, con agenti che correggono e test che verificano, è un’occasione concreta. Ma non è detto che succeda. A strozzare il processo è la fase successiva: i manutentori dei progetti open source, ricorda Google, sono già sommersi dalle segnalazioni di bug scoperti dall’intelligenza artificiale. Trovare è diventato facile. Il difficile viene dopo. Infatti, correggere, verificare e distribuire la correzione richiede ancora tempo e persone.
E poi c’è il fronte di casa. L’insicurezza per il resto di noi. Gli attacchi ai civili. Quelli dove si guadagna forse poco, dal punto di vista dei malintenzionati, ma la grande scala permette comunque di far soldi.
Ad esempio: per chi usa un telefono e una casella di posta, l’insicurezza ha l’aspetto di un messaggio ben scritto. Nel National Privacy Test 2026 di NordVPN, il 97 per cento dei partecipanti italiani riconosce una password sicura, mentre soltanto il 25 per cento individua i segnali di un deepfake. La vecchia regola di diffidare dei refusi ha perso quasi ogni valore: i modelli traducono, localizzano e personalizzano senza sbagliare un congiuntivo. Una recente sentenza ha stabilito che la banca deve rimborsare subito il cliente caduto in un phishing anche quando è stato imprudente, tutela preziosa che arriva però a danno fatto.
Le difese personali sono quelle di sempre, applicate con più costanza: autenticazione a più fattori con chiavi fisiche o app dedicate, un gestore di password, backup staccati dalla rete, verifica di ogni richiesta di denaro con una telefonata a un numero già noto. Agli agenti, nessun accesso permanente a posta, browser e repository senza limiti chiari.
Difendersi serve
Per le organizzazioni vietare gli agenti non risolve nulla, dato che molti operano con i permessi dell’utente e un agente compromesso somma quei permessi alla velocità di una macchina. Conviene dare a ciascuno un’identità propria, credenziali a vita breve e accesso alle sole risorse necessarie, e tenere separati il leggere, lo scrivere e l’eseguire: l’assistente che legge il codice non installa pacchetti né tocca la pipeline di rilascio senza un via libera umano.
Ogni contenuto incontrato dall’agente, da una pagina web a un commento nel codice, va trattato come input non fidato. I tempi di aggiornamento devono accorciarsi, perché Google osserva che le divulgazioni pubbliche e i ritardi nelle patch vengono convertiti in exploit funzionanti con rapidità crescente. Gran parte degli incidenti continua intanto a poggiare su debolezze note: identità fragili, autenticazione a un solo fattore, permessi eccessivi, backup assenti. Su quelle la difesa di base ha ancora presa: un aggiornamento spesso risolve il 99% dei rischi conosciuti. Che sono quelli che gli agenti “cattivi” sanno sfruttare con maggior facilità.
L’armageddon rimandato
Un collasso simultaneo e irreversibile di reti, banche, energia e sanità non è lo scenario più probabile, per le ragioni di disordine e ridondanza già viste. Gli scenari seri sono più prosaici: un fornitore di software come servizio o un gestore di identità compromesso, un ransomware accelerato contro una catena di ospedali, un danno fisico che esce da un impianto industriale, un set di frigoriferi industriali che comincia un ciclo di manutenzione portando al temperatura a 50 gradi. Il profilo più realistico è una sequenza di incidenti rapidi e interdipendenti.
Infine, il tavolo di aprile. Intanto si è allargato: dal 2 giugno ospita circa centocinquanta organizzazioni in più, in più di quindici paesi, fra energia, acqua, sanità e telecomunicazioni.
Tutte le notizie che parlano di Intelligenza Artificiale sono disponibili a partire da questa pagina di Macitynet.
