Claude nella catena di intrusione: il rapporto sulle minacce di Anthropic di settembre 2026

Anthropic ha pubblicato il suo quarto rapporto di threat intelligence, Rilevare e contrastare l'uso improprio dell'IA: settembre 2026, il 10 settembre 2026. Il documento di 154 pagine riguarda le attività che il suo team Threat Intelligence ha interrotto tra dicembre 2025 e agosto 2026, e il dato più concreto sui danni è racchiuso in un solo paragrafo: un attore di spionaggio che Anthropic identifica come GTG-20006, la cui attribuzione il rapporto definisce «coerente con resoconti pubblici che collegano l'attore a Midnight Blizzard», ha rubato le credenziali VPN a un'autorità tecnologica governativa nordafricana, ha preso il controllo del suo server centrale degli account e si è portato via più di 300.000 registrazioni di identità nazionale e i dati del registro commerciale di oltre mezzo milione di aziende. La scheda d'archivio di questa divulgazione, con il suo livello di attendibilità e le voci registrate attorno ad essa, è conservata nell'Orca AI Incident Archive.

Il rapporto è di un fornitore che divulga un uso improprio del proprio prodotto, il che ne stabilisce sia il valore sia i limiti. È un resoconto di prima parte — la telemetria di Anthropic, i ban degli account da parte di Anthropic, i giudizi di Anthropic su chi fosse dall'altra parte — e nessun revisore esterno ha verificato i suoi numeri. Il resto di questo articolo distingue quattro cose: ciò che il rapporto dice di aver osservato, ciò che si limita ad attribuire, ciò che è contestato e ciò che il riepilogo dell'archivio sostiene che il documento non contenga.

Che cosa è stato pubblicato e di che cosa tratta

Rilevare e contrastare l'uso improprio dell'IA: settembre 2026è datato 10 settembre 2026 sulla copertina e conta 154 pagine, con elenchi di indicatori di compromissione per molti dei casi. Segue i precedenti rapporti di Anthropic di marzo, agosto e novembre 2025 e copre sette ambiti di danno: operazioni informatiche, operazioni di influenza, sorveglianza, armi convenzionali, uso improprio biologico, truffe e frodi, e distillazione illecita.

I modelli coinvolti erano Claude Haiku, Claude Sonnet e Claude Opus. Anthropic afferma che nessuno dei casi di uso improprio ha coinvolto modelli Claude Fable o della classe Claude Mythos, con l'eccezione di un caso di distillazione illecita. Gli attori spaziano tra "gruppi sospettati di essere sponsorizzati dallo Stato, criminali motivati finanziariamente, fornitori commerciali di spyware, istituzioni di propaganda statale e individui motivati politicamente".

I casi di studio riportano etichette interne — le designazioni GTG, che il rapporto definisce "designazioni interne di Anthropic per gli attori osservati mentre abusano dell'IA". Sono convenzioni di denominazione, non conclusioni giuridiche, e rappresentano l'unico riferimento a disposizione della maggior parte di questi attori.

L'affermazione analitica di Anthropic è più circoscritta del numero di casi: che l'IA ha "colmato il divario di manodopera e strumenti" tra operazioni statali e singoli operatori, e che "la sofisticatezza ha smesso di essere un segnale affidabile di chi è dietro un'operazione". Il rapporto misura quello che definisce uplift — velocità, scala e profondità — e aggiunge due avvertenze ai propri casi di studio: gli esseri umani "hanno mantenuto le decisioni che contano di più per loro", inclusa la selezione degli obiettivi e il modo in cui i dati rubati vengono monetizzati, e "autonomia e danno sono assi separati".

I 300.000 record di identità: GTG-20006

GTG-20006 è il caso che porta il numero del record. Anthropic descrive un operatore di lingua russa che usa l'alias "JackPoterz" e afferma che la sua attribuzione è "coerente con quanto riportato pubblicamente, che collega l'attore a Midnight Blizzard" — un confronto con l'attribuzione di altri anziché una conferma indipendente, e il rapporto non specifica a quali resoconti si riferisca.

L'intrusione che ha prodotto la cifra ha preso di mira un'autorità governativa nordafricana per la tecnologia. Secondo il rapporto, l'attore ha rubato le credenziali di un'appliance VPN, le ha usate per prendere il controllo del server centrale degli account dell'organizzazione e da lì ha esfiltrato «il suo intero database di credenziali: oltre 300.000 registrazioni di identità nazionali e i dati del registro commerciale di oltre mezzo milione di aziende che operano nel paese». I dati appartenevano a un ente governativo e le persone in essi contenute non hanno alcun rapporto con il fornitore di IA di questa storia.

La più ampia campagna dello stesso attore ha toccato "più di 20 organizzazioni distinte" — ministeri governativi, organi di difesa e intelligence, ambasciate, think tank e aziende del settore industriale-difesa, concentrate in Ucraina e in Europa ma estese al Medio Oriente e ad agenzie marittime in Asia. Tra i dettagli specifici:

• Wi-Fi degli hotel: l'attore ha compromesso almeno tre fornitori del settore ospitalità che gestiscono il Wi-Fi per gli ospiti, per poi modificare i record DNS in modo che il traffico degli ospiti, gli identificatori dei dispositivi e gli indirizzi IP finissero su server controllati dall'attore. Microsoft Threat Intelligence ha pubblicato nel luglio 2026 un rapporto sullo stesso metodo di furto e distribuzione con il nome CaptiveCrunch, che il rapporto Anthropic cita.

• WhatsApp: gli account delle vittime sono stati collegati come dispositivi associati utilizzando browser headless e la libreria di automazione open source WPPConnect, con le conferme di lettura disattivate mentre le conversazioni in lingua russa e ucraina venivano esportate in blocco. Almeno due ex alti funzionari ucraini sono stati presi di mira in questo modo.

Droni: le caselle di posta di almeno due produttori di componenti per droni sono state esportate in blocco, e un kit completo di sviluppo software proprietario per un sistema di visione per droni è stato rubato e sottoposto a reverse engineering nell'arco di diversi giorni.

• Evasione: gli agenti di monitoraggio osservavano se gli impianti distribuiti venivano rilevati e, quando ciò accadeva, gli agenti modificavano e ricostruivano il malware finché non veniva più rilevato.

La conclusione di Anthropic sul ciclo di evasione è che esso ribalta il vantaggio del difensore. «L'IA ha invertito i costi, scaricandoli di nuovo sui difensori», afferma il rapporto, perché un nuovo rilevamento non fa più guadagnare tempo quando un avversario capace può ricostruire più rapidamente di quanto venga distribuita la firma.

Il secondo caso legato a uno Stato: GTG-10007

GTG-10007 è l'altro caso nel rapporto con un inquadramento statale esplicito, e quello più insolito. Anthropic descrive operatori di lingua cinese «probabilmente residenti a Changsha, nella provincia cinese dello Hunan», tra cui due studenti universitari di un'università locale che studiano ingegneria informatica e delle telecomunicazioni; uno aveva svolto un tirocinio presso la società di sicurezza Sangfor ed era in fase di colloquio presso QiAnXin per un ruolo nella sicurezza offensiva.

Il gruppo ha preso di mira circa cinquanta organizzazioni nei settori dell'istruzione, della vendita al dettaglio, dell'energia, della tecnologia, della sanità, della finanza, della produzione e del settore pubblico. Anthropic afferma di aver estratto centinaia di megabyte di dati personali degli studenti dall'archiviazione cloud di un'azienda di tecnologie educative, di aver raggiunto i sistemi di produzione di un rivenditore e di aver recuperato i registri dei cittadini — nomi, numeri di telefono e indirizzi di casa — da un'agenzia governativa del Sud-est asiatico.

Ciò che lo distingue è il lavoro sulle vulnerabilità: un programma di ricerca permanente contro una categoria di software di sicurezza "distribuito specificamente per rilevare intrusioni", che secondo Anthropic ha prodotto molteplici vulnerabilità precedentemente sconosciute convalidate dall'attore nel proprio laboratorio, exploit funzionanti per diverse famiglie di apparati di rete e di sicurezza, e "più di una dozzina di possibili scoperte zero-day in un solo mese" da un unico flusso di lavoro in continua iterazione. Una flotta separata di tredici agenti di raccolta veniva eseguita secondo una pianificazione su materiale pubblico militare e governativo, senza alcun intervento umano.

Anthropic non nomina i prodotti di sicurezza, le vulnerabilità o l'agenzia governativa, e il rapporto non collega le sue conclusioni ad alcun identificatore CVE pubblicato.

La metà criminale: furto di dati e chiavi API come payload

La sezione cyber non riguarda soltanto lo spionaggio. Tra i vari cluster a movente finanziario, il più ampio è attribuito a operatori che Anthropic descrive come presunti affiliati del collettivo ShinyHunters, tracciati come GTG-50014. Il rapporto ne indica la portata senza giri di parole:

• La pipeline di credenziali di un solo operatore ha scaricato in massa 1,8 milioni di APK Android distinti, li ha decompilati e scansionati alla ricerca di segreti codificati in modo fisso, instradando i risultati verificati verso un gruppo Telegram organizzato in oltre 100 tipi di segreti.

• Un affiliato ha riversato più di 2.100 set di token Azure AD che coprono più di 40 tenant aziendali in circa 34 ore, dopo aver violato un fornitore SaaS e raggiunto circa 200 delle sue organizzazioni clienti a valle.

• La compromissione di un fornitore di tecnologia ha prodotto più di un terabyte di dati, tra cui centinaia di migliaia di identificativi nazionali e milioni di registrazioni di carte di pagamento, pubblicati su un sito web pubblico "per fare pressione sulla vittima affinché paghi un riscatto".

• Presso una compagnia aerea, gli attori hanno raggiunto sistemi che contenevano decine di milioni di registrazioni dei passeggeri; presso un'azienda energetica hanno affermato di poter controllare da remoto la corrente di ricarica dei caricabatterie domestici per veicoli elettrici dei clienti.

GTG-50029, un singolo hacktivista francofono, ha raggiunto almeno 14 dei 42 obiettivi monitorati tra politici, media e think-tank europei, esfiltrato una quantità stimata tra 12 e 26 GB di dump di database e acquisito circa 140.000 record che includevano le opinioni politiche degli utenti — mentre costruiva una piattaforma di doxxing caricata con decine di milioni di righe di dati violati.

Il filo conduttore che attraversa i casi finanziari è che l'accesso stesso all'AI è diventato un bottino. Gli operatori hanno rubato chiavi API di Anthropic dagli ambienti dei clienti e hanno eseguito i propri carichi di lavoro offensivi a spese altrui — ciò che il rapporto definisce applicare il "living off the land" all'AI. Anthropic è esplicita sul limite: "In ogni caso, le chiavi API coinvolte sono state rubate dagli ambienti dei clienti di Anthropic. I sistemi di Anthropic non sono stati compromessi da questo attore." GTG-50020, un gruppo di lingua russa passato dalle intrusioni nelle prenotazioni alberghiere al settore dell'AI, ha attaccato circa trenta aziende di AI in circa quattro giorni; il suo obiettivo dichiarato era accedere a un modello Claude non ancora rilasciato e, secondo il rapporto, "l'attore non ha mai ottenuto l'accesso".

Accertato, attribuito, contestato, assente

Confermato. Il rapporto esiste, è datato 10 settembre 2026 e conta 154 pagine. Le sue narrazioni dell'intrusione, gli elenchi di indicatori e le azioni di blocco costituiscono il resoconto di prima mano di Anthropic, e testate indipendenti — The Next Web il giorno della pubblicazione, Digital Watch Observatory e note di ricerca della Cloud Security Alliance — descrivono lo stesso documento, le stesse sette aree di danno e gli stessi dettagli di GTG-20006. Nessuna testata ha pubblicato una propria ricostruzione forense dell'intrusione nordafricana, quindi la cifra di 300.000 si basa sulla telemetria di una sola azienda.

Attribuito. Il collegamento statale è una valutazione di Anthropic, attenuata nel suo stesso testo: "coerente con le notizie pubbliche che collegano l'attore a Midnight Blizzard". L'ubicazione di Changsha, il passato lavorativo degli studenti e l'inquadramento statale dei casi in lingua cinese sono parimenti una caratterizzazione di Anthropic, non un'attribuzione governativa. La copertura di The Next Web cita il responsabile dell'intelligence sulle minacce di Anthropic, Jacob Klein, in interviste con Axios e The New York Times, ma non riporta alcun esperto esterno che valuti i dati.

Contestato. La sezione sulla distillazione è l’unico punto in cui una parte accusata ha risposto. Anthropic afferma di aver individuato «ulteriori attacchi di distillazione contro Claude da parte di sette laboratori con sede in Cina» e descrive, tra gli altri, Moonshot AI che ha inoltrato quasi 300.000 richieste dei clienti ad Anthropic nell’arco di dieci giorni tramite 5.380 account fraudolenti. Pechino ha respinto le relative accuse statunitensi di distillazione, ha riferito The Next Web. Il registro dell’archivio contrassegna questo incidente come non contestato; tale indicazione non si estende a ogni singola accusa contenuta nel documento.

Assente. Il riepilogo in una riga dell'archivio di questo record afferma che il rapporto documenta l'uso di Claude "per la prima volta" per il triage delle vittime e la generazione di copie di ransomware. Nessuno dei due elementi compare nelle fonti citate. La parola "ransomware" non è presente nel PDF di 154 pagine né nella pagina web del rapporto, e neppure "triage". L'estorsione descritta nel rapporto è un modello "paga o divulga" sui dati rubati, non crittografia; il suo unico uso della parola "ransom" si riferisce al fornitore tecnologico i cui file rubati sono stati esposti pubblicamente per forzare il pagamento. Considera queste due affermazioni come non supportate dalle fonti citate in questo record. I 300.000 record di identità, al contrario, sono indicati nella sezione GTG-20006 del rapporto stesso.

Cosa dice Anthropic di aver fatto, e cosa non ha divulgato

Per ogni caso il rapporto fornisce una variante della stessa risposta: account bannati, rilevamento aggiuntivo implementato, informazioni condivise con «autorità e partner del settore, ove appropriato», e salvaguardie rafforzate sulla base di quanto appreso. La sezione sulla distillazione aggiunge misure tecniche contro la tecnica di replay della firma di ragionamento usata per estrarre le tracce di ragionamento da Claude.

Ciò che non viene divulgato è quasi altrettanto coerente: quante account sono stati banditi, quando ciascuna operazione è stata interrotta rispetto al momento in cui è iniziata, quali autorità hanno ricevuto quali informazioni e come gli attori siano stati individuati in primo luogo. Tali omissioni sono normali per un rapporto di un fornitore, ed è anche per questo che il documento non può essere verificato dall'esterno.

La questione di policy è stata sollevata da altri. Una nota di ricerca della Cloud Security Alliance pubblicata dopo il rapporto sostiene che esso non contiene «alcun riferimento all'AI Act dell'UE, all'AI Office o all'articolo 55», e si chiede se l'uso improprio deliberato da parte di terzi rientri addirittura nella definizione di «incidente grave» dell'articolo 55, formulata in relazione al malfunzionamento del modello anziché al comportamento di un attaccante. La nota riconosce che le comunicazioni ai sensi dell'articolo 55 non sono pubbliche, quindi il silenzio non è prova che non sia stata effettuata alcuna comunicazione, e afferma che l'unica comunicazione confermata nell'ambito del regime a quel punto era quella di OpenAI, intorno al 7 settembre 2026.

Come leggere i numeri

Due cose rendono più facile usare i numeri del rapporto. La prima è tenere separato il danno dall’autonomia: Anthropic riferisce che alcune delle sue più gravi compromissioni sono derivate da operazioni in cui un essere umano dirigeva ogni fase, quindi un caso a bassa autonomia non è un caso a bassa gravità. La seconda è leggere le cifre come un conteggio di ciò che un singolo fornitore poteva vedere. I 300.000 record di identità, i 2.100 set di token e i 140.000 record di opinioni politiche sono stati tutti prodotti dall’azienda che descriveva l’uso improprio del proprio prodotto, e gli attori che non sono mai stati rilevati non compaiono in nessuno di essi.