Agenti IA violano sistemi interni di Anthropic in meno di 12 ore

Come gli agenti IA hanno scoperto le vulnerabilità in meno di 12 ore

Una giovane società di cybersecurity, Cathedral, ha annunciato di aver individuato, in meno di 12 ore, delle falle critiche in software di terze parti utilizzati da Anthropic, l’azienda dietro il modello di intelligenza artificiale Claude. Il risultato è stato pubblicato in un rapporto preliminare consultato dal Washington Post, che descrive l’accesso a una serie di dati interni, tra cui verbali di riunioni, informazioni salariali e scambi su Slack relativi ai modelli IA avanzati di Anthropic.

Secondo il rapporto, i ricercatori di Cathedral hanno inizialmente trascorso diversi giorni cercando di penetrare direttamente i sistemi di Anthropic senza successo. Solo dopo aver spostato la loro attenzione verso applicazioni commerciali di terze parti, ritenute vulnerabili, hanno ottenuto un “corridoio” verso i sistemi interni dell’azienda. Le “meno di 12 ore” citate si riferiscono quindi al periodo di ricerca fruttuosa, non all’intero arco temporale di tentativi.

L’accesso non è stato ottenuto attaccando direttamente Claude o l’infrastruttura di addestramento, ma sfruttando difetti in software di supporto non identificati pubblicamente. Gli editori di questi software non sono stati nominati nella comunicazione di Cathedral.

Strumenti IA impiegati nella ricerca di vulnerabilità

Cathedral, fondata da ex membri del Department of Government Efficiency (DOGE) dell’amministrazione Trump, utilizza agenti di intelligenza artificiale per automatizzare la ricerca di percorsi d’attacco in applicazioni connesse a sistemi interni. Gli agenti sono in grado di svolgere più compiti in sequenza, riducendo drasticamente il tempo necessario per analizzare sistemi complessi e identificare configurazioni deboli.

• Automazione delle scansioni: gli agenti eseguono scansioni di rete, raccolgono informazioni su versioni software e mappe di dipendenze.
• Analisi delle configurazioni: confrontano le impostazioni rilevate con database di vulnerabilità note, suggerendo possibili exploit.
• Generazione di payload: in alcuni casi, gli agenti creano script o comandi mirati a sfruttare le falle evidenziate.

Nonostante la velocità, l’automazione non elimina la necessità di vulnerabilità effettive o di privilegi di accesso iniziali: gli agenti devono comunque trovare una porta d’ingresso sfruttabile per progredire all’interno dei sistemi.

Reazione di Anthropic e valutazione dell’impatto

Anthropic ha confermato di aver subito un “accesso limitato” a parte dei propri sistemi commerciali, risorse umane e informatiche. L’azienda ha riconosciuto che le seguenti tipologie di dati erano state rese temporaneamente disponibili:

• Coordinate professionali di clienti e partner.
• Informazioni elementari su account utenti.
• Trascrizioni di riunioni interne.
• Dati relativi a retribuzioni e offerte di lavoro.

Tuttavia, Anthropic insiste sul fatto che:

• Le conversazioni degli utenti con Claude non sono state lette.
• Le risposte generate dal modello non sono state esaminate.
• Il codice sorgente e i parametri di addestramento dei modelli sono rimasti inaccessibili.

L’azienda afferma inoltre che i propri meccanismi di monitoraggio hanno individuato parte dell’attività di Cathedral prima che i ricercatori inviano il loro avviso. In risposta, Anthropic ha interrotto gli accessi il medesimo giorno e ha disattivato i software compromessi, attendendo le correzioni da parte dei fornitori.

Divergenze tra le parti

Le opinioni tra Cathedral e Anthropic divergono notevolmente sull’interpretazione dell’incidente. Cathedral presenta i risultati come un “avvertimento” sull’emergere di capacità offensive potenziate dall’IA, sottolineando la rapidità con cui è stato possibile penetrare sistemi complessi. Anthropic, invece, accusa la start‑up di aver esagerato l’entità della minaccia e di non aver rispettato appieno le regole del programma di divulgazione di vulnerabilità, che richiede una dichiarazione completa delle attività svolte.

Al momento, non sono disponibili prove che altri attori abbiano sfruttato le stesse vulnerabilità, né che i modelli di Anthropic siano stati compromessi. La vicenda resta comunque un monito: l’accesso a “applicazioni professionali” può esporre informazioni sensibili, anche se i sistemi più critici rimangono sicuri.

Implicazioni per la sicurezza informatica e il futuro degli agenti IA

L’incidente evidenzia due tendenze fondamentali nel panorama della cybersecurity:

• Accelerazione dei test di penetrazione: gli agenti IA possono ridurre da giorni a ore i cicli di ricerca, portando a una maggiore esposizione di vulnerabilità prima che le organizzazioni le correggano.
• Nuove superfici di attacco: la dipendenza da software di terze parti crea punti di ingresso inesperti per gli aggressori, specialmente quando tali componenti non sono soggetti a controlli di sicurezza rigorosi.

Le organizzazioni dovranno ridefinire le proprie strategie di difesa tenendo conto della possibilità che gli attaccanti impieghino IA per automatizzare il “reconnaissance” e l’esplorazione di reti complesse. Alcune misure consigliate includono:

• Implementare programmi di bug bounty più ampi, con particolare attenzione ai fornitori terzi.
• Adottare monitoraggio continuo dei comportamenti anomali, includendo l’analisi dei pattern di accesso tipici di agenti IA.
• Rafforzare le politiche di gestione delle vulnerabilità per i software di terze parti, con aggiornamenti rapidi e verifiche di sicurezza regolari.
• Utilizzare segmentazione di rete per limitare il “lateral movement” in caso di compromissione di un singolo punto d’ingresso.

Nel lungo termine, la comunità di sicurezza dovrà confrontarsi con una “corsa agli armamenti” digitale, dove le stesse tecnologie IA che migliorano la difesa possono essere impiegate per attacchi più sofisticati e rapidi.

Conclusioni

L’attacco di Cathedral contro Anthropic dimostra che l’uso di agenti IA per la ricerca di vulnerabilità è ormai una realtà concreta, capace di ridurre drasticamente i tempi di scoperta e di sfruttamento. Anche se Anthropic ha limitato i danni, l’incidente ha rimesso in luce la vulnerabilità delle catene di fornitori e la necessità di una vigilanza più efficace sulle applicazioni di terze parti. Le aziende devono considerare l’impiego dell’IA non solo come difesa, ma anche come possibile strumento offensivo nelle mani di attori malintenzionati.

Rimanere informati sugli sviluppi di questa dinamica e investire in pratiche di cyber‑resilience aggiornate saranno passi imprescindibili per proteggere dati sensibili in un contesto digitale sempre più automatizzato.