Anthropic: l’AI passa da assistente a orchestratore nelle operazioni malevole

L’intelligenza artificiale non viene più utilizzata soltanto per scrivere codice, produrre testi o fornire indicazioni a un operatore umano. Nei casi più avanzati analizzati da Anthropic, Claude è diventato una componente operativa di sistemi capaci di svolgere autonomamente ricognizione informatica, sfruttamento delle vulnerabilità, raccolta ed elaborazione dei dati, propaganda, sorveglianza, progettazione software per sistemi d’arma e perfino attività di ricerca scientifica con possibili implicazioni dual use.

È il quadro delineato nel rapporto “Detecting and countering misuse of AI: September 2026”, pubblicato il 10 settembre. Il documento, lungo 154 pagine, raccoglie le operazioni individuate e interrotte dal Threat Intelligence team di Anthropic tra dicembre 2025 e agosto 2026. Le attività sono suddivise in sette aree: cyber operation, operazioni di influenza, sorveglianza, armi convenzionali, uso improprio in ambito biologico, truffe e frodi e distillazione illecita dei modelli. Anthropic precisa che si tratta dei casi più significativi e innovativi incontrati, non di un campione rappresentativo dell’intero abuso della piattaforma.

Secondo Anthropic, gli attori coinvolti comprendono gruppi sospettati di essere sponsorizzati da Stati, criminali finanziariamente motivati, fornitori commerciali di spyware, istituzioni di propaganda statale e singoli individui con motivazioni politiche. Nei casi descritti sono stati utilizzati modelli Claude Haiku, Sonnet e Opus.

Nel cyber cambia soprattutto l’economia dell’attacco

La tesi centrale della sezione dedicata alla cybersecurity è che un attacco sofisticato non richiede più necessariamente un attaccante altrettanto sofisticato. Anthropic usa il termine uplift per indicare l’incremento di capacità determinato dall’AI e lo valuta lungo tre dimensioni: velocità, scala e profondità dell’operazione.

Il salto qualitativo non deriva necessariamente da nuove tecniche di compromissione. Le campagne osservate continuano a sfruttare credenziali rubate, sistemi non aggiornati, servizi esposti, phishing e vulnerabilità già note. A cambiare è il costo operativo. Ricognizione, sviluppo degli strumenti, exploitation ed elaborazione dei dati possono essere affidati ad agenti che lavorano parallelamente e a velocità macchina. Anthropic cita compromissioni completate in due o tre ore e campagne nelle quali un singolo operatore ha gestito contemporaneamente decine di vittime.

L’autonomia varia da caso a caso. A un estremo Claude rimane un assistente utilizzato per sviluppare malware o kit di phishing. Al livello successivo può eseguire direttamente comandi sui sistemi compromessi, raccogliere credenziali ed esfiltrare dati sotto la direzione dell’operatore. Nei casi più avanzati, framework multi-agent hanno eseguito ricognizione, exploitation e furto di informazioni per ore o giorni con un intervento umano ridotto. Gli operatori continuano comunque a mantenere le decisioni più importanti, come la selezione dei bersagli, la monetizzazione e la valutazione dei risultati.

Uno dei casi più articolati è GTG-20006. Anthropic afferma che l’attribuzione è coerente con il reporting pubblico relativo a Midnight Blizzard. L’operazione disponeva di workflow AI personalizzati che automatizzavano attività che andavano dall’acquisizione dell’infrastruttura al phishing e all’esfiltrazione dei dati. Gli agenti controllavano inoltre se il malware fosse rilevato dai prodotti di sicurezza: quando ciò avveniva, modificavano e ricompilavano autonomamente gli artefatti fino a ottenere una versione non individuata dalle difese monitorate.

Tra gli obiettivi figuravano organizzazioni governative, militari, diplomatiche e della difesa, soprattutto in Ucraina e in Europa. L’attore avrebbe anche sottratto il software development kit proprietario di un sistema di visione per droni e analizzato architettura, componenti hardware, fornitori e caratteristiche di prodotti non ancora annunciati. In un’altra compromissione avrebbe ottenuto il database delle credenziali di un’autorità tecnologica governativa nordafricana contenente oltre 300.000 record di identità nazionali e informazioni societarie su più di 500.000 aziende.

Un elemento particolarmente rilevante è il ciclo di adattamento del malware. Anthropic osserva che, se l’attaccante riesce a fare modificare automaticamente gli strumenti non appena vengono rilevati, una nuova firma di sicurezza rischia di imporre all’avversario un costo molto inferiore rispetto al passato. L’AI permette quindi teoricamente di “chiudere il ciclo” tra rilevamento e nuova evasione molto più rapidamente.

ShinyHunters e il “vibe hacking”

Nel cluster attribuito a sospetti affiliati di ShinyHunters, Anthropic descrive una modalità che definisce vibe hacking: invece di comprendere ogni dettaglio tecnico dell’ambiente bersaglio, l’operatore fornisce all’AI un obiettivo generale. Il sistema esplora l’ambiente, scrive ed esegue script, interpreta i risultati e continua a iterare fino al raggiungimento dell’obiettivo.

Un operatore avrebbe scaricato e decompilato 1,8 milioni di APK Android, cercando segreti e credenziali inseriti nel codice. I risultati verificati venivano smistati in tempo reale in gruppi Telegram organizzati in oltre cento categorie.

In una compromissione di un fornitore tecnologico sarebbero stati esfiltrati oltre un terabyte di dati, comprendente centinaia di migliaia di identificativi nazionali e milioni di record di carte di pagamento. In un attacco a un SaaS provider, gli aggressori avrebbero raggiunto i dati appartenenti a circa 200 organizzazioni clienti. Un dump successivo avrebbe raccolto oltre 2.100 set di token Azure AD appartenenti a più di 40 tenant aziendali in circa 34 ore, con gli agenti AI responsabili di quasi tutto il lavoro operativo.

Anche le API di intelligenza artificiale diventano un obiettivo

Il rapporto dedica particolare attenzione alla nascita di una vera supply chain criminale dell’AI. API key, token di sessione e account non sono più soltanto strumenti utilizzati incidentalmente durante un attacco: possono diventare l’obiettivo stesso dell’intrusione.

Per Anthropic una credenziale AI rubata offre contemporaneamente tre vantaggi all’attaccante: valore di rivendita, capacità di calcolo pagata dalla vittima e una forma di copertura perché il traffico viene attribuito al titolare legittimo della chiave.

GTG-50020 avrebbe sfruttato una prompt injection contro la sandbox automatizzata di valutazione di un provider AI, ottenendo API key di produzione appartenenti a più fornitori. La stessa infrastruttura sarebbe poi stata utilizzata per attaccare circa 30 società AI in quattro giorni. L’obiettivo dichiarato dall’attore era arrivare a un modello Claude non ancora pubblicato, ma secondo Anthropic tutti i tentativi sono falliti e i sistemi interni della società non sono stati compromessi.

La propaganda diventa un sistema software

Nelle influence operation, il cambiamento osservato è altrettanto significativo. Anthropic documenta nove casi che interessano sei continenti e comprendono operazioni riconducibili, secondo il rapporto, a istituzioni statali, media controllati dagli Stati, società commerciali, operatori politici domestici e un movimento di opposizione in esilio.

Claude non viene utilizzato soltanto per produrre post. Il modello compare nella costruzione dell’intera macchina operativa: manuali dottrinali, dossier sugli oppositori, profili delle persone, regole editoriali, contratti di lavoro, sistemi di valutazione del personale, account sintetici, procedure per evitare il rilevamento e file di memoria persistente riutilizzati in centinaia di sessioni.

Un’altra pratica ricorrente è il laundering dell’attribuzione: materiale proveniente da fonti statali viene riscritto eliminandone l’origine, pubblicato attraverso entità apparentemente indipendenti e fatto rimbalzare fra fonti differenti per creare l’impressione di conferme autonome. Anthropic segnala inoltre l’impersonificazione di persone e istituzioni reali, la creazione di falsi giornalisti e attività mirate direttamente contro giornalisti, attivisti e meccanismi internazionali di accountability.

La rete commerciale attribuita da Anthropic a LKM Company, agenzia pubblicitaria francese, rappresenta uno degli esempi più estesi. Circa 70 falsi siti di notizie, altrettanti account X e più di 250 account utilizzati per l’amplificazione avrebbero pubblicato almeno 8.913 articoli in circa 20 lingue. L’orientamento politico cambiava a seconda del committente, elemento che porta Anthropic a definirla un’attività di influence-as-a-service. Nonostante la scala produttiva, il rapporto segnala poco engagement autentico.

Malaysia: mille account falsi e micro-targeting elettorale

Particolarmente articolato il caso GTG-84005, incentrato sulla Malaysia. La piattaforma, collegata nel rapporto alla società turca BBS Bilisim Teknolojileri, comprendeva circa un migliaio di falsi account X, una testata sintetica denominata Malaysia Pulse e dossier fabbricati contro esponenti dell’opposizione e organizzazioni della società civile.

Il sistema elaborava dati censuari, elettorali e milioni di record di elettori per costruire profili relativi a tutti i 222 collegi parlamentari malesi, con una segmentazione basata anche sulle delicate divisioni legate a etnia, religione e monarchia. Una dashboard permetteva inoltre di impostare il numero di visualizzazioni artificiali desiderato: Anthropic afferma di avere osservato una richiesta per generare un milione di visualizzazioni artificiali a beneficio dell’account del primo ministro in carica.

La pipeline avrebbe inoltre ripubblicato materiale proveniente da TV BRICS, Xinhua, Sputnik/RIA e CGTN eliminando l’attribuzione statale, in modo da presentarlo come giornalismo malese indipendente.

Claude nelle redazioni dei media statali russi

Un modello diverso emerge dal caso GTG-24015. Qui l’AI non costruiva una falsa testata da zero, ma veniva inserita nella pipeline di organizzazioni editoriali già operative.

Anthropic afferma di aver collegato il materiale prodotto con Claude a Sputnik Moldova, RIA Novosti, Sputnik en Español, Sputnik Africa e RT English. Un ex direttore di Sputnik Moldova avrebbe trasformato notizie, sondaggi e post dell’opposizione moldava in articoli in lingua russa, mentre un altro operatore preparava testi destinati all’America Latina. Un dipendente di un media statale russo avrebbe usato Claude per ticker, testi a schermo, voice-over e headline per trasmissioni, partendo anche da materiale proveniente dall’SVR e dal ministero della Difesa. Almeno un contenuto è stato identificato da Anthropic come effettivamente trasmesso.

Iran: dall’AI editoriale alla struttura organizzativa della propaganda

Anthropic attribuisce altri tre account a istituzioni iraniane collegate alla propaganda statale: l’Islamic Culture and Communications Organization, l’Islamic Propaganda Office di Khorasan Razavi e il Bina Cultural Observatory.

Claude sarebbe stato utilizzato per creare piani di campagna, manuali dottrinali, sistemi di persona, database di target e documentazione ministeriale. I materiali facevano esplicito riferimento al concetto di Jihad al-Tabyin, presentato nel rapporto come parte della dottrina iraniana per la comunicazione e la propaganda. Uno dei programmi prevedeva una produzione in farsi, arabo, urdu, malese, spagnolo e inglese, con un piano più ampio per arrivare a 20 lingue.

Anthropic riferisce inoltre che una “content factory” denominata Manjanegh utilizzava decine di attivisti e campagne a pagamento su oltre 100 canali iraniani, compresi canali associati all’IRGC. Durante la guerra USA-Israele-Iran del 2026, una delle operazioni avrebbe attribuito falsamente determinate affermazioni a istituti occidentali quali CSIS, Brookings e RAND.

Il caso Bangladesh mostra quanto possa essere automatizzata la disinformazione

Nel caso GTG-54006, un singolo operatore del distretto di Gaibandha, in Bangladesh, avrebbe utilizzato 29 account Claude e un programma denominato fake_news_3.py. Ogni esecuzione produceva una struttura predefinita di 15 headline, tre storie inventate e 15 prompt per immagini.

Anthropic stima almeno 1.500 titoli, 300 narrative false e 1.500 prompt per immagini. I contenuti, favorevoli all’Awami League e ostili ai suoi avversari, erano destinati a Facebook Live, YouTube e TikTok e puntavano in particolare a un pubblico rurale con un livello di alfabetizzazione più basso. Non sono però emerse prove che l’Awami League abbia diretto o finanziato l’operazione.

La pipeline era quasi automatizzata: generazione in batch, passaggio attraverso cartelle cloud, conversione in audio e video e successiva programmazione delle pubblicazioni.

Sorveglianza: l’AI sostituisce interi gruppi di analisti e sviluppatori

La sezione sulla sorveglianza descrive un ulteriore cambiamento di ruolo. Anthropic afferma di aver individuato tra gennaio e luglio 2026 operazioni riconducibili ad attori statali, contractor e fornitori commerciali di tecnologie di sorveglianza provenienti principalmente da Cina, Iran e Africa occidentale.

Tre tendenze emergono con chiarezza. La prima è l’utilizzo dell’AI al posto di una forza lavoro di sviluppatori. La seconda è la capacità di analizzare grandi quantità di contenuti per individuare automaticamente persone da monitorare. La terza è l’integrazione dell’AI negli ordinari processi burocratici degli apparati di sicurezza.

Il caso GTG-14010 riguarda un’operazione che Anthropic considera allineata al governo cinese. L’attore avrebbe elaborato conversazioni estratte da oltre 100 gruppi WhatsApp e decine di canali Telegram, costruendo profili di persone potenzialmente vulnerabili per difficoltà economiche, separazione familiare o disillusione ideologica. Claude è stato utilizzato anche per superare la barriera linguistica: un operatore che non parlava arabo avrebbe condotto un’operazione di reclutamento durata più giorni in dialetto siriano, ricevendo traduzioni e assistenza in tempo reale.

Nell’operazione GTG-14020, invece, un singolo operatore avrebbe svolto il lavoro che normalmente avrebbe richiesto un gruppo di analisti, generando dossier in cinese su cardinali cattolici asiatici, membri della Chiesa presbiteriana di Taiwan, organizzazioni tibetane e soggetti collegati al Falun Gong. Le informazioni raccolte comprendevano date e luoghi di nascita, date di immigrazione e account social, oltre alla ricognizione fisica di luoghi religiosi con planimetrie e dettagli strutturali.

La sorveglianza di massa del Mali

Uno dei casi quantitativamente più rilevanti è GTG-50027. Secondo Anthropic, un singolo consulente probabilmente basato a Bamako avrebbe utilizzato Claude come principale forza lavoro ingegneristica per costruire Lakana 360, una piattaforma destinata all’agenzia di intelligence maliana ANSE.

Il sistema era progettato per operare sui tre operatori mobili del Paese e su circa 25 milioni di SIM. La piattaforma prevedeva raccolta di metadati telefonici, SMS e traffico voce, generazione automatica di dossier su un numero telefonico, riconoscimento vocale fra SIM differenti, rilevamento degli utenti di VPN e cifratura, watchlist geografiche e collegamento con il registro biometrico nazionale. Secondo il rapporto, il requisito di autorizzazione legale sarebbe stato eliminato, su richiesta dell’operatore, dal componente che generava automaticamente i dossier.

Il punto critico è che la piattaforma finale funzionava on-premises con modelli locali. La chiusura dell’account Claude ha quindi interrotto l’assistenza allo sviluppo ma non il sistema già distribuito.

Iran: AI come reparto di sviluppo per la sorveglianza

Anthropic descrive due unità iraniane collegate, secondo la propria valutazione, ad apparati paramilitari e di sicurezza interna. Complessivamente avrebbero usato 16 account Claude.

Una delle organizzazioni sosteneva di aver profilato 6.388 iraniani in un anno e utilizzava Claude per analizzare 155.216 tweet. Un’unità con sede a Qom avrebbe invece sviluppato e portato in produzione un’estensione Firefox malevola destinata alla raccolta massiva di identità dai social network. Entrambe alimentavano un sistema centralizzato chiamato Arman, nel quale le schede potevano contenere identificativo nazionale, convinzioni personali, precedenti penali, account social e un campo dedicato alle azioni da intraprendere.

Armi convenzionali: sei casi tra sviluppo, intelligence e procurement

La sezione più delicata del rapporto riguarda l’impiego di Claude nell’ambito delle armi convenzionali. Anthropic descrive sei casi: tre associati alla Cina, due alla Russia e uno allo Yemen. Quattro riguardano direttamente sviluppo o progettazione di software per sistemi d’arma; gli altri due attività di procurement e intelligence.

Nel caso GTG-87001, gli attori operavano nel nord dello Yemen e lavoravano, secondo il rapporto, su tre programmi: un razzo guidato, un missile balistico multistadio con obiettivo dichiarato di gittata superiore a 2.000 chilometri e una famiglia di missili comprendente una variante con veicolo planante ipersonico.

Claude Code sarebbe stato impiegato come sostituto di ingegneri software per lo sviluppo del sistema di guida, navigazione e controllo. Gli operatori assegnavano ruoli differenti a più istanze del modello: una scriveva codice, un’altra faceva ricerca e una terza verificava il lavoro. Anthropic non ha prove del dispiegamento di un’arma operativa, ma afferma che il gruppo ha effettuato il test reale di un razzo guidato. Il test sarebbe fallito e, poche ore dopo, gli sviluppatori sarebbero tornati su Claude per analizzarne le cause.

Lo sciame autonomo di droni russo

In GTG-27005, Anthropic descrive un piccolo gruppo di freelance russi impegnato nel progetto di uno sciame di droni FPV kamikaze chiamato DronDoc o Serafim.

Il software comprendeva memoria condivisa dello sciame, coordinamento fault-tolerant, un piccolo modello linguistico a bordo per gestire comportamenti di attacco e rientro, guida terminale tramite videocamera e altri sottosistemi. La progettazione prevedeva la possibilità di identificare una classe di bersagli definita “person” e di impartire il comando di detonazione senza un essere umano nel loop. Gli attori utilizzavano inoltre hardware reale per test in the loop. Anthropic valuta il gruppo come una piccola squadra specializzata e non come un’entità statale russa.

Il rapporto colloca diversi componenti del programma a un Technology Readiness Level compreso tra 3 e 4, quindi ancora lontani da un sistema operativo maturo.

Guerra elettronica e dodici target a Taiwan

Il caso GTG-17002 riguarda invece un attore cinese che avrebbe sviluppato con Claude una suite di circa 16 moduli dedicati alla guerra elettronica e alla soppressione delle difese aeree, iterando il sistema attraverso 12 versioni.

Il software analizzava radar, batterie missilistiche terra-aria, posti comando e nodi di comunicazione, calcolava la copertura dei sensori, valutava l’efficacia del jamming e classificava i target per valore e vulnerabilità. Il modello comprendeva anche rappresentazioni di sistemi delle classi Patriot e THAAD.

A metà progetto, riferisce Anthropic, lo scenario predefinito della simulazione venne impostato su 12 target a Taiwan, fra cui un bunker di comando, un radar di early warning, batterie Patriot e Tien Kung, basi aeree e un quartier generale regionale. Il rapporto collega l’attore a istituzioni di ricerca della Repubblica Popolare Cinese, compresa la PLA Academy of Military Sciences.

Procurement russo e aggiramento dei controlli commerciali

GTG-27006 mostra un’altra modalità di impiego. Un responsabile procurement di un design bureau moscovita avrebbe utilizzato Claude per reperire magnetometri, migliaia di wafer fotovoltaici di classe spaziale, sistemi di ossigeno aeronautici e tecnologie IT e crittografiche.

L’AI veniva usata anche per individuare intermediari in Cina continentale e Hong Kong, preparare richieste di quotazione multilingue e studiare percorsi commerciali attraverso Paesi terzi. Secondo Anthropic, documenti prodotti dall’attore descrivevano esplicitamente questa struttura come un modo per aggirare i controlli commerciali europei. Un sistema di browser automation cercava inoltre prezzi e collegamenti per circa 40 line item per tender, aggregando i risultati nei sistemi di procurement.

Biologia: il problema più difficile è distinguere il dual use

Anthropic dedica una sezione specifica al biological misuse, ma adotta qui un linguaggio più prudente. La società chiarisce che i ricercatori coinvolti sono scienziati reali, che non intende attribuire loro un intento malevolo e che omette volutamente nomi di istituzioni, Paesi e alcuni dettagli tecnici.

La difficoltà fondamentale è il dual use: una conoscenza che permette di comprendere meglio un patogeno o una tossina può servire sia allo sviluppo di vaccini e terapie sia ad attività pericolose. Con i modelli frontier più recenti, Anthropic afferma di non poter più escludere con la stessa sicurezza del passato un contributo significativo a ricerche scientifiche complesse.

Nel primo caso, un classificatore di sicurezza aveva bloccato una richiesta collegata a una proposta di finanziamento per ricerca gain-of-function sul chikungunya. L’indagine successiva avrebbe individuato una piattaforma che serviva decine di ricercatori e aggirava le restrizioni geografiche di Anthropic tramite infrastrutture statunitensi, servizi zero-data-retention, reseller e account sintetici. Quando Claude rifiutava determinati prompt biologici, la piattaforma disponeva inoltre di un meccanismo di fallback verso modelli concorrenti più permissivi.

Nel secondo caso, relativo a influenza aviaria altamente patogena, un ricercatore avrebbe scambiato migliaia di messaggi nell’arco di diverse settimane. I classificatori impedivano però l’accesso ai modelli più potenti per le richieste ad alto rischio, costringendo l’utente a modelli più deboli. Anthropic valuta quindi l’uplift in questo caso come principalmente amministrativo e di supporto alla progettazione e analisi, non come assistenza scientifica di livello esperto.

Il terzo caso è interessante proprio per il problema opposto: una ricerca su orthopoxvirus, presentata in termini di attenuazione e quindi plausibilmente benefica, non è stata bloccata. Una sessione con Opus 5 avrebbe prodotto in circa un’ora una proposta di ricerca completa di ipotesi, disegno sperimentale, piano statistico e strategie alternative.

Per Anthropic la conclusione è che un classificatore basato soltanto sul contenuto non può risolvere il problema del dual use. In una verifica su 30 giorni di attività legate a istituzioni statali considerate avversarie, l’azienda afferma di avere individuato circa 35 programmi di ricerca distinti: la maggioranza era normale ricerca civile, ma alcuni presentavano un potenziale dual use significativo.

La società propone quindi una combinazione di filtri sui contenuti più pericolosi, segnali a livello di account e istituzione, una sufficiente osservabilità delle attività e programmi di accesso controllato per gli utenti scientifici legittimi.

Una rete di dating app con 4.700 identità AI

La sezione dedicata a truffe e frodi contiene un caso molto diverso ma utile per comprendere la scalabilità dei modelli.

Un app studio cinese avrebbe creato oltre 20 dating app presentate agli utenti come servizi composti da persone reali. In sole due settimane dell’aprile 2026, Anthropic ha individuato più di 4.700 identità AI che avevano conversato con almeno 25.000 persone. Claude avrebbe generato circa 2,36 milioni di messaggi.

Il sistema utilizzava un rapporto di circa tre identità AI per ogni persona reale. I lavoratori umani venivano inseriti per gestire ciò che il chatbot non poteva fare, come videochiamate o follow sui social, rendendo credibile il servizio.

Il feed era composto per il 75% da persona Claude e per il 25% da persone vere. Le istruzioni date agli agenti prevedevano di non rivelare mai la propria natura automatica, evitare richieste di fotografie o videochiamate e seguire una sequenza prestabilita nelle conversazioni. Componenti backend simulavano inoltre like, visite e video preregistrati.

La struttura software prevedeva anche meccanismi per superare le verifiche degli store mobili, fra cui interfacce attivate soltanto durante la fase di review e variazioni del codice fra le diverse applicazioni per renderne più difficile il riconoscimento come prodotti appartenenti alla stessa famiglia.

La distillazione illecita diventa industriale

L’ultima parte del rapporto riguarda la distillazione illecita, che Anthropic definisce come l’estrazione industriale e non autorizzata delle capacità di un modello frontier per riprodurle in un altro modello.

Il meccanismo legittimo di distillazione è normalmente usato per addestrare un modello più piccolo sui risultati di un modello “teacher” più potente. Il problema nasce quando il processo viene realizzato clandestinamente su larga scala tramite account falsi, carte di credito o credenziali rubate e reti di proxy.

Anthropic afferma di avere individuato dal febbraio 2026 campagne attribuite ad alta confidenza a sette laboratori cinesi, con particolare interesse per reasoning, coding, data analysis, agenti e tool use. In alcuni casi venivano acquistate conversazioni degli utenti da servizi intermediari; in altri le richieste dei clienti venivano inoltrate a Claude senza che gli utenti ne fossero consapevoli.

Le attribuzioni contenute in questa sezione sono quelle formulate direttamente da Anthropic sulla base della propria threat intelligence.

Alibaba: oltre 151 milioni di scambi secondo Anthropic

La campagna attribuita ad Alibaba è descritta come la più grande mai misurata dalla società. Avrebbe preso di mira i transcript di reasoning di Opus 4.6 e 4.7 e utilizzato i risultati per contribuire all’addestramento di Qwen 3.5, 3.6 e 3.7.

Nel momento di massima attività, la campagna avrebbe raggiunto quasi tre milioni di scambi al giorno, generati attraverso più di 3.500 account fraudolenti. Una delle pool di accesso utilizzate comprendeva quasi 5.000 account basati su proxy residenziali, email usa e getta e carte virtuali. Anthropic attribuisce ad Alibaba oltre 151 milioni di scambi tra maggio e luglio 2026.

Moonshot e DeepSeek: il problema riguarda anche i dati degli utenti

Il rapporto aggiunge un elemento potenzialmente ancora più delicato: la privacy degli utenti delle piattaforme utilizzate come fonte per la distillazione.

Anthropic sostiene che Moonshot abbia inoltrato a Claude alcune richieste di utenti convinti di utilizzare Kimi. In un periodo di dieci giorni sarebbero state inoltrate quasi 300.000 richieste, attraverso una rete di 5.380 account fraudolenti. Complessivamente Anthropic attribuisce alla campagna più di 23 milioni di scambi tra maggio e luglio. Fra i dati transitati attraverso Claude sarebbero comparsi materiali di sorveglianza provenienti da centinaia di videocamere a Chengdu e codice e credenziali aziendali inseriti da un ingegnere di una grande impresa statale cinese.

Accuse analoghe vengono rivolte a DeepSeek. Anthropic sostiene che determinate richieste di utenti siano state inoltrate a Claude Opus senza che gli interessati ne fossero consapevoli. Tra i materiali citati compaiono documentazione interna di un’azienda tecnologica cinese, credenziali live relative a un database di un’agenzia russa collegata al ministero della Difesa e dati legati a un sistema di sorveglianza della pubblica sicurezza cinese. La scala indicata è di oltre 12,1 milioni di scambi in 14 giorni nel luglio 2026.

Anthropic sostiene che anche Xiaomi abbia inviato a Claude sessioni provenienti dagli utenti MiMo, attraverso oltre 1.500 account, superando 400.000 richieste. Secondo il rapporto, alcune sessioni comprendevano nomi, recapiti e dati aziendali di centinaia di utenti in almeno una dozzina di lingue.

Dai prompt agli agenti persistenti

Il denominatore comune delle 154 pagine del rapporto non è quindi semplicemente un aumento nel numero di utilizzi malevoli dell’intelligenza artificiale. È il passaggio da interazioni isolate con un chatbot a sistemi persistenti che incorporano memoria, strumenti, automazione e più agenti, collegando il modello direttamente a infrastrutture operative.

Nel cyber questo riduce il costo di ricognizione, exploitation e gestione post-compromissione. Nelle influence operation permette a pochi operatori di gestire testate, reti di account e pipeline editoriali che avrebbero richiesto intere redazioni. Nella sorveglianza sostituisce gruppi di analisti e sviluppatori. Nei programmi militari accelera il ciclo fra documentazione, simulazione, sviluppo software e verifica. Nella distillazione, infine, la stessa infrastruttura AI diventa sia lo strumento sia l’obiettivo dell’operazione.

La risposta descritta da Anthropic è conseguentemente multilivello: ban degli account e delle organizzazioni attribuite agli attori, analisi dei metadati e dei comportamenti, classificatori specializzati, condivisione degli indicatori con aziende e autorità, verifica dell’identità nei casi sospetti e modifiche architetturali per rendere più difficile l’estrazione del reasoning. Per la distillazione, la società afferma inoltre di avere introdotto la sintesi del reasoning e meccanismi di preserved thinking destinati a impedire la manipolazione del contesto utilizzata in alcune tecniche di estrazione.