Anthropic ha misurato l'autonomia degli agenti — e ha argomentato contro i mandati di approvazione

Il 18 febbraio 2026, il team Societal Impacts di Anthropic ha pubblicato "Misurare l'autonomia degli agenti IA nella pratica", un'analisi di 998.481 chiamate agli strumenti effettuate tramite la sua API pubblica e di 500.000 sessioni interattive di Claude Code, e lo ha concluso con una raccomandazione rivolta ai legislatori: le norme di supervisione non dovrebbero prescrivere particolari modalità di interazione, incluso l'obbligo che una persona approvi ogni azione intrapresa da un agente. Il post è un rapporto di ricerca, non un documento depositato, ma è registrato nell'archivio degli incidenti come voce di policy — informazioni sulla gravità, confidenza A, nessun danno registrato, non contestato — perché un fornitore di modelli ha usato la propria telemetria di prima parte per sostenere che una comune impostazione normativa "creerà attrito senza necessariamente produrre benefici per la sicurezza". Il record completo, con la sua fonte primaria e la classificazione, si trova nell'Orca AI Incident Archive, insieme alle altre voci di governance della serie.

Il rapporto riporta venti contributori nominati, tra cui Miles McCain, Thomas Millar, Saffron Huang, Alex Tamkin, Jack Clark e Deep Ganguli. Si basa su Clio, lo strumento di analisi di Anthropic che tutela la privacy, a cui il post attribuisce il merito di aver permesso all'azienda di studiare il traffico reale dei clienti senza leggere le conversazioni sottostanti. Tale metodologia costituisce la sostanza del pezzo: ogni numero riportato di seguito è una misurazione di ciò che le persone hanno fatto con gli agenti, non di ciò che un benchmark afferma che gli agenti possano fare.

Che cosa ha misurato Anthropic, e come

Anthropic definisce un agente come "un sistema di IA dotato di strumenti che gli consentono di compiere azioni" — eseguire codice, chiamare API esterne, inviare messaggi ad altri agenti. La definizione stabilisce l'unità di analisi. Anziché tentare di ricostruire l'architettura dell'agente di ciascun cliente, che l'azienda afferma di non poter vedere, ha contato le singole chiamate agli strumenti e il contesto che le circonda.

Le due fonti di dati scambiano ampiezza con profondità. Il traffico API pubblico offre ad Anthropic visibilità su migliaia di clienti, ma solo a livello di singole chiamate agli strumenti isolate; l'azienda afferma di non avere "alcun modo affidabile per associare richieste indipendenti alla nostra API in 'sessioni' di attività agentica". Claude Code fornisce sessioni complete — cosa ha causato un arresto, per quanto tempo Claude ha lavorato, quando un umano è intervenuto — ma è un singolo prodotto usato in modo schiacciante per l'ingegneria del software. I risultati sull'autonomia provengono principalmente da Claude Code; i risultati su rischi e domini provengono dal campione API.

La durata del turno, il tempo trascorso tra l'inizio del lavoro di Claude e il suo arresto, è il proxy dell'autonomia utilizzato nel documento. Anthropic afferma esplicitamente che il proxy è imperfetto: modelli più veloci e subagenti paralleli accorciano i turni, compiti più ambiziosi li allungano, e la base di utenti è circa raddoppiata tra gennaio e metà febbraio 2026, cambiando chi fa parte del campione.

I numeri che il rapporto mette agli atti

Queste sono le cifre che Anthropic pubblica, riportate così come le enuncia il rapporto.

• Il turno di Claude Code al 99,9° percentile è quasi raddoppiato, passando da meno di 25 minuti a fine settembre 2025 a oltre 45 minuti ai primi di gennaio 2026.

• La durata mediana dei turni è rimasta vicina ai 45 secondi, oscillando tra 40 e 55 secondi, e quasi ogni percentile inferiore al 99° è rimasto stabile.

• All'interno di Anthropic, il tasso di successo di Claude Code sui compiti più difficili degli utenti interni è raddoppiato tra agosto e dicembre 2025, mentre il numero medio di interventi umani per sessione è sceso da 5,4 a 3,3.

• I nuovi utenti con meno di 50 sessioni hanno utilizzato l'approvazione automatica completa in circa il 20% delle sessioni; a 750 sessioni questa percentuale è salita a oltre il 40%.

• Le interruzioni andavano nella direzione opposta: gli utenti con circa 10 sessioni interrompevano Claude nel 5% dei turni, quelli esperti in circa il 9%.

Claude Code ha chiesto chiarimenti più del doppio delle volte sulle attività più complesse rispetto a quelle di complessità minima, e su quelle attività più difficili si è fermato a chiedere più del doppio delle volte rispetto a quante volte gli esseri umani lo hanno interrotto.

• Nel campione API, l'80% delle chiamate agli strumenti proveniva da agenti che sembravano disporre di almeno una misura di salvaguardia, il 73% sembrava prevedere un intervento umano nel processo e lo 0,8% appariva irreversibile, come l'invio di un'email a un cliente.

• L'ingegneria del software ha rappresentato quasi il 50% delle chiamate agli strumenti API; nessun altro dominio ha superato qualche punto percentuale.

La scoperta che Anthropic chiama deployment overhang

L'aumento nella coda è uniforme tra i rilasci dei modelli. "Se l'autonomia fosse puramente una funzione della capacità del modello, ci aspetteremmo bruschi salti a ogni nuovo lancio", sostiene il post, quindi la costanza indica che la fiducia si accumula con l'esperienza, che vengono tentati compiti più difficili e che il prodotto migliora. La sua conclusione è che i modelli esistenti "sono capaci di un'autonomia maggiore di quella che esercitano in pratica" — il divario che il rapporto chiama deployment overhang.

Anthropic lo contrappone ai test di capacità esterni, citando la stima di METR secondo cui Claude Opus 4.5 può completare, con un tasso di successo del 50%, attività che richiederebbero a un essere umano quasi cinque ore, mentre il suo turno di Claude Code al 99,9° percentile è di circa 42 minuti. Poi ritira il confronto: METR misura la difficoltà dei compiti in un contesto idealizzato senza intervento umano, mentre la durata del turno misura il tempo trascorso in un deployment in cui Claude si mette in pausa e gli utenti interrompono. Una nota a piè di pagina è netta — «non tentiamo di ragionare trasversalmente su queste metriche». L'accostamento è illustrativo, non un moltiplicatore misurato, e non dovrebbe essere citato come tale.

Il paradosso della supervisione al centro dell'argomentazione

Gli utenti esperti approvano meno e interrompono più spesso. Anthropic interpreta questa combinazione come un cambiamento nella strategia di supervisione, non come un abbandono della stessa: i nuovi utenti approvano ogni passaggio e quindi raramente hanno bisogno di fermare Claude durante l'esecuzione, mentre gli utenti esperti lasciano lavorare Claude e intervengono quando qualcosa va storto. I dati API indicano la stessa direzione: l'87% delle chiamate agli strumenti nelle attività di complessità minima prevedeva una qualche forma di coinvolgimento umano, contro il 67% nelle attività ad alta complessità.

Il rapporto è schietto nel riconoscere che altre spiegazioni restano valide. La sua stessa nota a piè di pagina osserva che gli utenti esperti potrebbero semplicemente cimentarsi in compiti più difficili, che le impostazioni predefinite di Claude Code spingono i nuovi utenti verso una supervisione basata sull’approvazione e che il software è insolitamente adatto alla supervisione perché l’output può essere testato e revisionato; nei settori in cui verificare il lavoro di un agente richiede la stessa competenza necessaria per produrlo, il cambiamento «potrebbe essere più lento o assumere una forma diversa».

L'argomentazione politica, e ciò che richiede

Le raccomandazioni di Anthropic si dividono in tre gruppi. Gli sviluppatori di modelli e di prodotti dovrebbero investire nel monitoraggio successivo al rilascio, perché le valutazioni precedenti al rilascio non possono vedere come le persone interagiscono realmente con gli agenti. Gli sviluppatori di modelli dovrebbero addestrare i modelli a riconoscere la propria incertezza e a farla emergere, una proprietà che, secondo il rapporto, «integra le salvaguardie esterne come i flussi di approvazione umana e le restrizioni di accesso». Gli sviluppatori di prodotti dovrebbero progettare per la supervisione: visibilità su ciò che l'agente sta facendo e modi semplici per reindirizzarlo.

La sezione rivolta ai decisori politici è quella che rende questo un documento di governance. Sotto il titolo "È troppo presto per imporre modelli di interazione specifici", Anthropic scrive che "i requisiti di supervisione che prescrivono modelli di interazione specifici, come obbligare gli esseri umani ad approvare ogni azione, creeranno attrito senza necessariamente produrre benefici per la sicurezza", e che l'attenzione dovrebbe essere "sulla capacità degli esseri umani di monitorare e intervenire efficacemente, anziché sull'imporre particolari forme di coinvolgimento".

La copertura commerciale ha ripreso esattamente quella impostazione. Il rapporto di Inside AI Policy del 20 febbraio 2026 era titolato sull'invito di Anthropic alla prudenza riguardo ai mandati di supervisione; Inside Cybersecurity ha seguito il 24 febbraio con lo stesso angolo. Nessuno dei due poteva essere letto integralmente senza un abbonamento, e nessuno dei due esaminava i dati sottostanti.

Che cosa è corroborato e che cosa non lo è

La pubblicazione e le sue cifre principali sono corroborate. GIGAZINE ha riportato lo studio il 19 febbraio 2026, il giorno dopo la pubblicazione, ripetendo la coda di 25-45 minuti, lo spostamento dell'approvazione automatica dal 20% al 40%, il calo degli interventi da 5,4 a 3,3 e la quota irreversibile dello 0,8%. Digital Watch Observatory lo ha riassunto il 20 febbraio 2026, così come Inside AI Policy. La corroborazione riguarda ciò che ha detto Anthropic, non se sia vero: nessuna parte esterna ha verificato le 998.481 chiamate agli strumenti classificate, e Anthropic non rende pubblico il set di dati.

Vale la pena nominare questa asimmetria senza esagerarla. Un fornitore che misura il proprio prodotto e conclude che l'onere di conformità dovrebbe ricadere sul monitoraggio anziché sull'approvazione per singola azione è giunto a una conclusione conveniente per il prodotto che vende. Anthropic dichiara essa stessa la maggior parte dei limiti strutturali, in una sezione sui limiti insolitamente diretta. Ma la riproducibilità non è tra le cose che può correggere finché i dati grezzi restano privati, e nessun organismo indipendente ha verificato le classificazioni.

I limiti che Anthropic stessa dichiara

• L'analisi riguarda un unico fornitore di modelli. Gli agenti basati su altri modelli possono mostrare modelli di adozione e profili di rischio diversi.

• Le classificazioni relative a rischio, autonomia e coinvolgimento umano sono state generate da Claude. Anthropic afferma che vincoli di privacy hanno impedito l'ispezione manuale dei dati sottostanti e che la sua stima del coinvolgimento umano va letta come un limite superiore.

• Il campionamento a livello delle singole chiamate agli strumenti sovrarappresenta le distribuzioni con molte chiamate sequenziali, come i flussi di lavoro di ingegneria del software con ripetute modifiche ai file.

• Le classificazioni non riescono a distinguere le azioni di produzione dalle valutazioni o dal red-teaming. Secondo il rapporto, diversi cluster a rischio più elevato "sembrano essere valutazioni di sicurezza", e ritiene che molte delle apparenti esfiltrazioni di dati siano test.

• La revisione umana a valle dell'API è invisibile, perciò un agente che a livello di chiamata agli strumenti sembra autonomo potrebbe avere una persona che ne verifica l'output.

• La finestra temporale va da fine 2025 a inizio 2026, e i risultati più solidi provengono da Claude Code, che è in larga misura un prodotto di ingegneria del software.

Cosa è cambiato in seguito

L'archivio non registra alcun danno, alcuna correzione né alcuna contestazione, e questa è la descrizione accurata: si tratta di una misurazione e di un'argomentazione, non di un incidente con un intervento correttivo. Anthropic afferma che estenderà l'analisi nel tempo e chiede un lavoro intersettoriale per collegare le richieste API in sessioni in modo rispettoso della privacy. Il post osserva anche che prodotti come Cowork stanno rendendo gli agenti più accessibili, il che, secondo le aspettative, spingerà più avanti la frontiera del rischio e dell'autonomia. Nella copertura esaminata per questo articolo, nessun regolatore aveva adottato, respinto o risposto formalmente alla raccomandazione contro l'approvazione per singola azione.

Il punto destinato a durare è più circoscritto dei numeri da titolo. La tesi di Anthropic contro l'obbligo di un'approvazione passo per passo si basa su una misurazione che, per sua stessa ammissione, solo un fornitore di modelli con dati di sessione di prima parte è attualmente in grado di effettuare — e persino Anthropic afferma di non poter ricondurre il traffico API di terze parti alle sessioni. Finché tale infrastruttura non esisterà, il consiglio di policy poggia sullo strumento di una sola azienda, applicato ai clienti di una sola azienda, nell'arco di un inverno. Ciò non rende errata la conclusione. La rende una misurazione di un fornitore, e come tale andrebbe citata.