Mythos e la Casa Bianca: quando la cybersecurity diventa questione di sicurezza nazionale

Il modello IA di Anthropic per l'individuazione delle vulnerabilità spinge il governo USA a superare le tensioni con il Pentagono e cercare un accesso controll…

Contenuto

Mythos e la Casa Bianca: quando la cybersecurity diventa questione di sicurezza nazionale

Scopri anche

Mythos e la Casa Bianca: quando la cybersecurity diventa questione di sicurezza nazionale

Mythos e la Casa Bianca: quando la cybersecurity diventa questione di sicurezza nazionale

In questo articolo:

Un leak accidentale di dati ha rivelato l'esistenza di Claude Mythos, un modello di intelligenza artificiale sviluppato da Anthropic con capacità di individuazione delle vulnerabilità informatiche senza precedenti. La scoperta ha innescato una reazione a catena istituzionale che ha costretto l'amministrazione americana a riconsiderare la propria posizione verso un'azienda fino a pochi mesi prima inserita in una lista di rischio per la catena di approvvigionamento.

La scoperta accidentale e le capacità del modello

⬆ Torna su

Tutto ha avuto inizio il 26 marzo, quando Roy Paz della società LayerX Security e Alexandre Pauwels dell'Università di Cambridge hanno individuato una cache di dati pubblica e non protetta, riconducibile ad Anthropic. Il materiale conteneva quasi tremila documenti interni non pubblicati, tra cui una bozza di comunicato stampa che descriveva un nuovo modello definito internamente «di gran lunga il sistema più potente che abbiamo mai sviluppato», con avvertimenti su «rischi informatici senza precedenti». Anthropic ha successivamente confermato che si era trattato di un «errore umano» nella configurazione del sistema di gestione dei contenuti.

La documentazione resa pubblica da Anthropic descrive un modello in grado di individuare vulnerabilità critiche in ogni grande sistema operativo e browser diffuso, incluse falle risalenti a decenni mai rilevate da verifiche umane. In un caso documentato, Mythos Preview ha scoperto autonomamente una vulnerabilità vecchia di 27 anni in OpenBSD capace di mandare in tilt da remoto qualsiasi macchina che lo utilizzi. In un altro test, ha concatenato più falle di sicurezza per ottenere accesso diretto al nucleo del sistema operativo partendo da una semplice pagina web visitata da un utente ignaro.

Secondo le verifiche interne di Anthropic, l'83% delle volte Mythos ha riprodotto vulnerabilità note e sviluppato prove di funzionamento al primo tentativo, senza intervento umano. Il modello ha già identificato migliaia di vulnerabilità zero-day, ovvero falle ancora sconosciute agli sviluppatori del software colpito.

Project Glasswing e la strategia del rilascio controllato

⬆ Torna su

Anziché procedere a un lancio pubblico, Anthropic ha avviato Project Glasswing, un programma di accesso controllato riservato a circa quaranta aziende tecnologiche tra cui Microsoft, Google, Apple, Amazon e Nvidia, per utilizzi esclusivamente difensivi. La decisione è supportata dal NIST e dall'Office of Management and Budget (OMB) e mira a evitare che attori malintenzionati possano utilizzare l'IA per amplificare le proprie capacità di hacking contro le infrastrutture critiche.

Questa strategia rappresenta un nuovo standard nella gestione del rischio delle IA di frontiera, dove la capacità di analisi del codice diventa una questione di sicurezza nazionale. L'azienda ha limitato la diffusione di Mythos proprio per il timore che gli hacker potessero sfruttarne le funzionalità per rubare dati o sabotare le reti delle vittime.

La reazione delle istituzioni finanziarie

⬆ Torna su

Il 9 aprile, il Segretario al Tesoro americano Scott Bessent e il presidente della Federal Reserve Jerome Powell hanno convocato i vertici delle principali banche americane - Citigroup, Morgan Stanley, Bank of America, Wells Fargo e Goldman Sachs - per illustrare i rischi informatici associati al modello. I vertici del Tesoro e della Federal Reserve considerano l'esposizione del sistema finanziario ad attacchi guidati dall'IA un rischio esistenziale.

L'Autorità federale di vigilanza sui mercati finanziari svizzera (Finma) ha definito una disponibilità immediata e incontrollata di modelli come Mythos un «rischio sistemico». In uno scenario del genere, praticamente tutti i sistemi software esistenti potrebbero essere colpiti simultaneamente da un numero elevato di vulnerabilità zero-day sfruttate tramite IA. Tuttavia, se le capacità del modello vengono rese disponibili in modo controllato e graduale, il rischio non è tanto un collasso sistemico improvviso, quanto una marcata amplificazione delle minacce ciber esistenti.

Per gli istituti vigilati, la Finma prevede che gli attacchi informatici diventeranno più rapidi, più precisi e più facili da eseguire tramite IA, imponendo una gestione proattiva delle vulnerabilità, architetture zero trust e scenari di verifica basati su simulazioni d'attacco realistiche.

Le tensioni tra Casa Bianca e Pentagono

⬆ Torna su

Il 17 aprile si è svolto un incontro tra Dario Amodei, CEO di Anthropic, e Susie Wiles, Chief of Staff della Casa Bianca. L'incontro riflette quello che il Washington Post definisce un «abbraccio forzato»: l'amministrazione Trump, che ha storicamente accusato Anthropic di essere guidata da «fanatici di sinistra», si trova ora a dover gestire la portata di un software che non può permettersi di ignorare.

La tensione con il Pentagono ha radici più profonde. Tra febbraio e marzo, il Segretario alla Difesa Pete Hegseth aveva tentato di etichettare Anthropic come un «rischio per la catena di approvvigionamento», una designazione solitamente riservata agli avversari stranieri. Il motivo risiede nel rifiuto categorico di Amodei di permettere al Pentagono di utilizzare il modello Claude per alimentare armi completamente autonome o per la sorveglianza domestica di massa.

Il risultato è una frattura insolita: un governo che dialoga con un'azienda considerata problematica da uno dei suoi dipartimenti più potenti. Un funzionario dell'amministrazione ha sintetizzato la situazione: «C'è progresso con la Casa Bianca, ma non con il Dipartimento della Guerra».

L'accesso per le agenzie federali

⬆ Torna su

Gregory Barbaccia, responsabile federale dei sistemi informativi presso l'OMB, ha inviato un'email ai funzionari di diversi dipartimenti - tra cui Difesa, Tesoro, Commercio, Sicurezza Interna, Giustizia e Stato - annunciando la predisposizione di un sistema di sicurezza e regole di utilizzo che permetterà agli enti federali di accedere a Mythos. La comunicazione non fornisce una tempistica definita, ma avvisa i vertici tecnologici e della cybersicurezza di aspettarsi maggiori informazioni «nelle prossime settimane».

Secondo Bloomberg, almeno due grandi agenzie federali vogliono aggirare il ban e testare il nuovo modello: il Dipartimento del Commercio e il Dipartimento del Tesoro. Il Chief Information Officer di quest'ultimo vuole usare Mythos per cercare vulnerabilità nei sistemi interni.

Anthropic ha informato alcuni alti funzionari del governo Usa sulle capacità complete del modello prima del rilascio limitato. Ai colloqui hanno partecipato rappresentanti della Cybersecurity and Infrastructure Security Agency e del Center for AI Standards and Innovation.

Il dibattito etico e strategico

⬆ Torna su

La divergenza filosofica tra Anthropic e il Pentagono resta evidente. L'azienda ha dichiarato apertamente di non voler consentire l'uso dei propri modelli per sorveglianza di massa o per lo sviluppo di armi completamente autonome. Una posizione che il Pentagono considera troppo restrittiva, soprattutto alla luce della necessità di impiegare l'intelligenza artificiale per «tutti gli scopi legittimi».

Eppure, fuori dal perimetro militare, le agenzie civili come il Dipartimento dell'Energia o il Tesoro hanno priorità pragmatiche: proteggere la rete elettrica, blindare il sistema finanziario, anticipare minacce informatiche sempre più sofisticate. Alcuni funzionari del Dipartimento della Difesa riconoscono che gli strumenti sviluppati da Anthropic sono tra i migliori disponibili per applicazioni di sicurezza nazionale, ammettendo che i colloqui continuano semplicemente perché «sono così bravi».

Il contesto competitivo

⬆ Torna su

Il clima di incertezza è alimentato anche dalla concorrenza interna. Mentre Anthropic gestisce Mythos, OpenAI sta ultimando il suo sistema di nuova generazione, nome in codice «Spud», anch'esso accreditato di capacità cibernetiche avanzate. Lo stesso Presidente Trump ha aperto alla possibilità di introdurre un «kill switch» per le forme più avanzate di intelligenza artificiale.

La Cloud Security Alliance ha pubblicato un documento tecnico che avverte come la «finestra di vantaggio difensivo aperta da Anthropic con Project Glasswing sia temporanea». Le capacità di Mythos si diffonderanno presto, con il rischio che le organizzazioni di sicurezza vengano sopraffatte da attacchi autonomi condotti dall'IA a velocità senza precedenti.

Le prospettive degli attori finanziari

⬆ Torna su

R Roberto Malnati, analista finanziario di Royalfid SA, osserva che «Mythos non ha creato il problema». Il problema è più profondo e riguarda la struttura stessa del mondo digitale, che poggia su sistemi datati, componenti trascurati e tecnologie rimaste in funzione per anni, talvolta per decenni. Quando un sistema viene superato, raramente viene eliminato; più spesso continua a operare come archivio o elemento di compatibilità.

«Inserito in questo contesto, Mythos cambia significato», prosegue Malnati, «poiché non è soltanto una nuova minaccia, ma uno strumento capace di rendere leggibile e interrogabile un vastissimo patrimonio di fragilità accumulate nel tempo». La linea di demarcazione «non passerà più tra chi dispone di Mythos e chi no, ma tra chi conosce il proprio debito tecnologico e chi invece lo scoprirà soltanto quando una macchina lo avrà già reso accessibile anche agli avversari».

UBS ha dichiarato di non rilasciare alcuna comunicazione in merito. PostFinance ha precisato di utilizzare già strumenti IA per la difesa informatica, espandendone sistematicamente le capacità, pur riconoscendo che l'accesso a Mythos resta per ora limitato a un ristretto gruppo di grandi aziende tecnologiche. Per Raiffeisen, «non si tratta dell'introduzione di nuovi rischi sistemici, bensì di un'accelerazione e di un'intensificazione di minacce già note».

Questo articolo è una sintesi basata esclusivamente sulle fonti elencate.

Implicazioni e scenari

⬆ Torna su

L'accesso controllato tramite Project Glasswing crea un precedente nella gestione delle tecnologie dual-use. La frattura tra Casa Bianca e Pentagono evidenzia come le capacità di Mythos siano strategiche ma politicamente sensibili.

  • Scenario 1: le agenzie civili ottengono accesso prioritario, mentre il Dipartimento della Difesa resta escluso a causa delle restrizioni etiche sui sistemi autonomi.
  • Scenario 2: la pressione competitiva di OpenAI con "Spud" potrebbe spingere Anthropic a rinegoziare i termini dell'accesso per mantenere rilevanza istituzionale.
  • Scenario 3: il settore finanziario intensifica gli investimenti in architetture zero trust, anticipando un escalation delle minacce informatiche più sofisticate.

Cosa monitorare

⬆ Torna su
  • Le tempistiche di attivazione dell'accesso federale e quali agenzie lo otterranno per prime.
  • L'evoluzione del rapporto tra Pentagono e Anthropic dopo la designazione di "rischio per la catena di approvvigionamento".
  • Le eventuali dichiarazioni di OpenAI riguardo alle capacità di "Spud" e alla sua strategia di rilascio.

Nota editoriale: questa sezione propone una lettura analitica dei temi trattati, senza introdurre dati fattuali non presenti nelle fonti.

Fonti

⬆ Torna su

In breve

  • cybersecurity
  • anthropic
  • ai
  • vulnerabilita

Link utili

Apri l'articolo su DeafNews