😱 Il caso CLAUDE CODE: un'AI che hackera le persone

Il 13 novembre 2025, Anthropic, l'azienda proprietaria del modello di intelligenza artificiale Claude, fa una confessione pubblica. Dichiara che Claude Code, lo strumento pensato per gli sviluppatori lanciato sul mercato poche settimane prima, è stato coinvolto in un attacco hacker su larga scala. E non come vittima. Come criminale. Ciao a tutti e benvenuti in questo nuovo video. Siamo alla quarta puntata della serie dedicata all'intelligenza artificiale, e dopo aver visto che cos'è, come viene hackerata e come viene utilizzata da criminali e ricercatori di sicurezza, è arrivato il momento di parlare di un caso reale in cui un modello di intelligenza artificiale è stato protagonista di un hackeraggio. Appena ho letto di questa storia ho pensato: beh, povera Anthropic, lancia un prodotto sul mercato e questo prodotto viene coinvolto immediatamente in uno scandalo. Sono stati tutto sommato anche bravi ad ammetterlo. Approfondendo la notizia però alcune cose hanno iniziato a non tornarmi. Ho notato alcuni dettagli che mi hanno fatto pensare che forse Anthropic non è così innocente come vuol far credere. La nostra storia inizia proprio quel famoso 13 novembre 2025, quando Anthropic pubblica il proprio annuncio, o meglio pubblica un report di 14 pagine intitolato Analisi della prima campagna di spionaggio informatico orchestrata da un'intelligenza artificiale. La società presenta il report con un bel preambolo, dice che già da tempo sostenevano che nella sicurezza informatica si era raggiunto un punto di svolta, un punto in cui i modelli di intelligenza artificiale erano diventati realmente utili nell'operazione— di sicurezza informatica, nel bene e nel male. E dice anche che avevano iniziato a notare l'utilizzo di strumenti di intelligenza artificiale nell'ambito degli attacchi informatici. Nel report la società dice che a metà settembre, quindi un paio di mesi prima, i sistemi di monitoraggio interni di Antropic avevano iniziato a rilevare dei pattern anomaly nell'uso di Claude Code. Cos'è Cloud Code? È uno strumento di coding che si usa direttamente nel terminale, progettato per automatizzare dei compiti complessi nell'ambito dello sviluppo software. In pratica, se sono uno sviluppatore e devo scrivere un lungo comando che faccia una determinata cosa, posso scriverlo a mano, posso farmi aiutare da un modello come ChatGPT facendomi generare il codice e poi copiandolo sul mio progetto, oppure posso lavorare direttamente sul codice tramite Cloud Code. Come dicevo, era uno strumento lanciato poco tempo prima. In Italia è arrivato, se non ricordo male, verso ottobre, ma in altri paesi era stato lanciato già durante l'estate. E appunto a metà settembre la società aveva rilevato delle anomalie nell'utilizzo. Queste anomalie hanno permesso alla società di capire che c'era qualcosa che non andava, e investigando hanno scoperto che dei cybercriminali avevano iniziato a utilizzare Claude convincendolo a fare delle operazioni operazioni di cyberspionaggio, che chiaramente non avrebbe dovuto fare. La tecnica principale si chiamava jailbreaking mediante roleplay e context splitting. Suona complicato, ma il concetto è abbastanza semplice. Gli attaccanti hanno convinto Claude di essere dipendenti di una legittima azienda di cybersecurity che stava eseguendo dei penetration test autorizzati. Il penetration testing, per chi non lo sapesse, consiste nel cercare di entrare nei sistemi di azienda per trovare le vulnerabilità prima che lo facciano i veri criminali. È una pratica assolutamente legale quando viene fatta chiaramente con il permesso del proprietario del sistema. Anzi, le agenzie di sicurezza vengono pagate per farlo. I criminali quindi avrebbero convinto Claude di essere proprio dei ricercatori di sicurezza ed aver bisogno del suo aiuto per trovare le vulnerabilità nei sistemi delle aziende target. Quindi le aziende che, secondo quanto loro avevano detto a Claude, li avevano pagati per cercare queste vulnerabilità e che in realtà ovviamente non sapevano assolutamente nulla. Per farlo i criminali avevano collegato Cloud Code a una serie di strumenti che vengono utilizzati sia dai penetration tester legittimi sia dai malintenzionati. Sono strumenti come scanner di rete che servono per mappare l'infrastruttura di un'organizzazione e capire se ha delle falle, delle porte aperte, degli strumenti di automazione che servono per navigare su siti web e compilare dei form in modo automatico, dei sistemi di esecuzione di comandi da remoto che permettono di controllare computer a distanza, e anche dei software che servono a craccare le password. Il problema era proprio che tutte queste cose le hanno in mano appunto sia i malintenzionati che i reali ricercatori di sicurezza. Sono tool anzi che nascono teoricamente per cercare le vulnerabilità su aziende che che hanno chiesto di fare questa ricerca, ma che in realtà poi vengono utilizzati anche per scopi malevoli. Grazie alle istruzioni ricevute e agli strumenti che gli erano stati messi a disposizione, Claude è diventato di fatto un penetration tester autonomo. E anche qui in realtà i malintenzionati non se la sarebbero cavata così bene, perché tutti i modelli di intelligenza artificiale più diffusi, come ChatGPT, ma anche appunto come Claude, hanno delle regole su quello che possono fare e quello che che non possono fare. Teoricamente una cosa che non possono fare è proprio cercare di hackerare un'azienda. Ma qui entra in gioco un'altra tecnica usata dai criminali, che è quella del microtasking. In pratica i malintenzionati, anziché dire a Claude: hai tutti questi strumenti in mano, cerca le vulnerabilità di questa azienda perché dobbiamo hackerarla, gli dicevano semplicemente: agisci come un ricercatore di sicurezza, e usa su questa azienda questo tool di penetration test, questo tool di scansione di rete, in modo da trovare le vulnerabilità prima che siano dei malintenzionati a trovarla. Dividendo le richieste in singole piccole operazioni, quindi non "hackera tutta l'azienda" ma "scansiona questa parte di rete" oppure "cerca questo punto d'ingresso", "guarda se c'è questa vulnerabilità", "controlla se usano questo software", sono riusciti a ingannarlo facendogli credere che ciascuna di quelle attività fosse una cosa perfettamente innocente e legale, una normale operazione di routine in questo settore, in modo da aggirare i blocchi di sicurezza di Claude. Di fatto, in questo modo Claude eseguiva da solo l'attacco ma senza percepire l'intento complessivo, perché vedeva solo le singole richieste. Passo dopo passo ha condotto, quasi senza supervisione umana, l'intera operazione di cyberspionaggio, facendo una ricognizione iniziale per capire come era fatto il sistema dell'azienda bersaglio, mappando le superfici di attacco, identificando i possibili punti di ingresso, cercando le falle e i bug che potessero permettere ai malintenzionati di entrare e cose di questo tipo. Antropic nel suo report dice che i target erano 30 società appartenenti a settori strategici come il settore tecnologico, il settore finanziario e anche aziende governative statunitensi. Secondo i ricercatori, dietro all'attacco ci sarebbe stato un gruppo sponsorizzato dallo Stato cinese per fini appunto di spionaggio. Ovviamente la notizia ha fatto il giro del mondo e le persone hanno anche apprezzato che Antropica avesse ammesso questa cosa, cioè che Claude fosse stato coinvolto in questa mega operazione, anche perché in quel momento stava accadendo un'altra cosa importante. Antropic aveva iniziato le operazioni necessarie per quotarsi in borsa. Quando una società vuole entrare in borsa, l'ultima cosa di cui ha bisogno è uno scandalo, o in generale un problema che possa portare gli investitori a percepire l'acquisto delle azioni come poco sicuro. Dato che di fatto l'attacco era stato svolto, sì, utilizzando Claude Code, ma era comunque stato organizzato dagli hacker, che restano gli unici reali responsabili, volendo Antropic avrebbe anche potuto restare stare più nell'ombra e intervenire solo se la cosa fosse stata scoperta. Cioè, alla fine non era colpa loro, nel senso, se io faccio un attacco utilizzando Microsoft Word per prendere appunti, non è che la Microsoft deve intervenire dicendo: eh sì, è stato usato Word. Per questo motivo, quando ho letto la notizia, sapendo tutte queste cose, cioè che Cloud Code era stato lanciato da poco, che la società stava cercando di quotarsi in borsa, che avrebbe potuto anche far finta di niente ed evitare di trovarsi al centro di questo scandalo ho pensato: beh, brava Anthropic, un esempio di trasparenza da seguire. Poi, come dicevo, ci ho riflettuto un attimo e qualcosa ha iniziato a non tornarmi più. Premetto che io non sono una persona cinica, non sono una persona complottista, e soprattutto ho un debole per Claude, che trovo sia ad oggi il modello di intelligenza artificiale più performante di tutti. Però quando mi sono messa ad analizzare l'attacco come descritto da Anthropic, alcuni dettagli mi hanno fatto dubitare della veridicità di tutta questa storia. Li condivido con voi, poi nei commenti fatemi sapere cosa ne pensate. Primo dettaglio: la narrazione della vicenda. In tutto il report, Antropic è molto brava a mostrare che anche se sono stati gli hacker a manipolare Claude per fargli compiere l'attacco, di fatto l'attacco è riuscito perché Claude Code è talmente avanzato che lavora quasi in totale autonomia. Leggendo l'analisi sembra veramente che la società dica: "Eh, gente, scusate, colpa nostra, abbiamo fatto un modello talmente incredibile, bravo e capace di risolvere problemi complessi che ha fatto una serie di azioni molto complicate in totale autonomia." In pratica esattamente quello che di solito cercano tutti quando usano un modello di intelligenza artificiale. E fin qui ancora ci può stare, perché è normale che una società di quel tipo abbia un team dedicato alla comunicazione che cerca di prendere una brutta notizia e raccontarla da un'angolazione che permetta comunque di mettere in luce i dettagli positivi. Però comunque questa cosa mi ha fatto un po' strano, perché ripeto, potevano anche temporeggiare ed evitare di raccontare questo attacco e in seguito dire solo: eh sì, hanno usato anche il nostro strumento per portarlo avanti, ma senza quindi prendersi responsabilità dirette, come fanno tutti. Comunque, andiamo al secondo dettaglio, che è come Antropic ha scoperto la cosa. La società è rimasta molto sul vago, ha detto: eh sì, abbiamo rilevato delle anomalie nell'utilizzo, ma è una cosa questa che vuol dire tutto e vuol dire niente. Perché o analizzate come viene usato il tool da ogni singola persona, quindi guardate tutti i prompt, tutte le attività che vengono svolte da Claude, eccetera, oppure non riesco bene a immaginare come abbiate potuto scoprire che qualcuno lo stava utilizzando in modo non pienamente conforme. All'inizio ho pensato: vabbè, avranno un sistema di alert, no? Degli alert che si attivano quando qualcuno cerca di far fare a Claude cose che non può fare, e quindi il tool rifiuta e in automatico viene mandato un avviso alla società contenente appunto questa richiesta. Ma qui stiamo parlando di ordini che Claude non si è rifiutato di eseguire. Anzi, il problema è proprio che ha fatto quello che gli è stato chiesto. Quindi teoricamente agli occhi di Anthropic questo non doveva sembrare un utilizzo anomalo. Era come se io gli chiedessi di scrivermi una mail, non penso che arrivi un alert alla società, no? Anche questo indizio comunque lascia il tempo che trova. Io non so oggettivamente come funzionano i sistemi di monitoraggio interni di Anthropic, magari vanno per parole chiave o cose di questo tipo, e quindi effettivamente magari le cose sono andate così. Però non posso negare che la totale assenza di dettagli su come realmente abbiano ha dato questo utilizzo anomalo mi ha dato un po' da pensare. Arriviamo al terzo dettaglio, che è l'assoluta vagezza sull'identità degli esecutori. Allora, se voi dal monitoraggio dei log avete scoperto che si stava svolgendo questo attacco, mi immagino che gli hacker non siano riusciti a essere così anonimi e a lavorare nell'ombra come solitamente fanno. Posso capire chiaramente che non si siano registrati a Cloud usando il loro nome e cognome e che non pagassero l'account usando il conto corrente personale. Però alcuni dettagli dovrete pure averli, no? L'unica cosa che ha detto Antropica è stata che erano abbastanza certi che si trattassero di hacker cinesi. Ma voglio dire, stiamo parlando di una società statunitense e oggi gli Stati Uniti ce l'hanno con la Cina. Se fosse successa questa cosa in un altro periodo, ho la sensazione che gli hacker sarebbero stati russi. Mi sembra tutto un po' troppo strano. O non avete nessuna informazione sugli hacker e quindi non potete sapere da quale stato provengono, oppure oppure avete delle informazioni che potete usare per identificarli. Mi pare molto comodo che siano riusciti a capire solo la provenienza, guarda caso uno stato che oggi è nemico degli Stati Uniti, e nient'altro. Però anche qui dei motivi ci possono essere. Magari hanno capito che erano cinesi per come scrivevano, anche se in genere queste operazioni vengono svolte in inglese. Oppure hanno rivelato solo le informazioni minime e tutto il resto è stato consegnato alle autorità in modo che potessero svolgere le indagini in segretezza. Però a questo punto non avrei detto nemmeno che erano cinesi. Il quarto dettaglio, che si colloca sempre sulla falsariga del terzo, è l'assoluta mancanza di informazioni su chi siano le aziende vittime. Anche questa è una cosa strana, perché Antropic ha rivelato che gli obiettivi erano tutti strategici. Si trattava di aziende che lavorano nel tech, o per il governo, o nell'energia, e via dicendo. Per cui la società dovrebbe sapere di chi si sta parlando. Capisco che non abbia voluto rivelare nulla nel report, ma mi sembra troppo strano che da novembre ad oggi non sia emerso un singolo nome. Anche qui però voglio lasciare il beneficio del dubbio, ci saranno motivi per cui non sono stati rivelati maggiori dettagli. Io mi taccio e passo al quinto e ultimo dettaglio che non mi torna, che è il timing di tutta la vicenda. Che sfiga che questa cosa sia capitata proprio poco dopo il lancio di Claude Code e poco prima della quotazione in borsa di Antropic, no? Però nel marketing si dice che bene o male l'importante è che se ne parli. E tra l'altro non mi pare che sia emerso effettivamente un parlar male di questo strumento. Anzi, è venuto fuori più che altro che il tool di Antropic è talmente incredibile che ormai fa tutto da solo. Quindi forse il timing non è stato un problema. Anzi, magari è cascato proprio a fagiolo che dopo il lancio di Claude Code sia emerso un evento che ha fatto schizzare alle stelle l'interesse degli sviluppatori per questo strumento, e che poco prima del debutto in borsa di Anthropic la società sia riuscita a dimostrare quanto i suoi prodotti siano validi. Letta così, il timing sembra talmente perfetto che neanche un'operazione di marketing ben orchestrata avrebbe potuto fare di meglio. A meno che non si trattasse proprio di questo, di un'operazione di marketing ben orchestrata. D'altronde, se io fossi un gruppo di hacker sponsorizzati dallo Stato cinese e volessi usare l'intelligenza artificiale tale per farle eseguire un attacco quasi da sola, in autonomia, mi costruirei un agente, non userei un tool commerciale statunitense. Vorrei stare nascosto, non vorrei eseguire le mie operazioni lasciando che l'azienda proprietaria possa vedere tutti i log e capire come lavoro. No, non stiamo parlando di un paese del terzo mondo. La Cina sta investendo miliardi nell'intelligenza artificiale e nella guerra informatica, sono esperti nello spionaggio, quindi O erano criminali che con lo Stato cinese non c'entravano nulla, o semplicemente questa storia non è andata come l'hanno raccontata. Il mio personalissimo punto di vista sulla vicenda, prendetelo per quello che è, cioè l'opinione di una persona qualunque, è che probabilmente ci sia qualcosa di vero sotto, ma che la vicenda sia stata molto strumentalizzata a fini di marketing. Magari è davvero stato svolto un attacco con l'utilizzo di Cloud Code, ma è fallito, e per questo non informazioni sulle aziende vittime. Magari l'autonomia di Claude Codd non è stata così incredibile, ma si è trattato semplicemente di un supporto ai criminali che Antropic ha cercato di ribaltare a proprio favore. O magari nulla di quello che è stato raccontato è reale ed è stato tutto inventato a tavolino. Immagino che non lo sapremo mai con certezza. Bene, come sempre spero che il video di oggi vi sia piaciuto. Oggi più che mai voglio che mi scriviate nei commenti cosa pensate di questa vicenda, cosa c'è di vero secondo voi e cosa no. Noi ci rivediamo la prossima settimana con il video dedicato all'AI Act, il nuovo regolamento europeo dedicato all'intelligenza artificiale. E vi ricordo ancora di scrivermi tutte le domande che vi vengono in mente su questi temi, perché alla fine della serie sull'intelligenza artificiale farò un video di risposta alle domande venute fuori nei commenti. A presto!