Nove mesi. Dall’autunno 2025 all’estate 2026, il team di sicurezza di Anthropic ha giocato a guardie e ladri con attori statali, cybercriminali, propagandisti e — anche — studenti universitari cinesi che tra una lezione e l’altra costruivano exploit zero-day con Claude come assistente di laboratorio. Il report pubblicato il 10 settembre 2026 è uno di quei documenti che leggi e poi guardi il tuo laptop con un misto di fascino e terrore esistenziale.
Il dato che salta subito agli occhi: nessuno dei casi più gravi ha coinvolto i modelli di punta Fable o Mythos (che hanno protezioni molto più stringenti). Parliamo di Claude Haiku, Sonnet e Opus — modelli potenti, ma non i flagship. Eppure sono bastati per far girare operazioni che fino a un anno fa richiedevano team specializzati, infrastrutture dedicate e budget statali.
Quando l’hacking diventa un lavoro da una persona sola
La prima sezione del report — cyber operations — è quella che fa capire quanto sia cambiato il panorama. GTG-20006: un operatore russo, handle ‘JackPoterz’, legato a Midnight Blizzard. Bersagli: ministeri ucraini ed europei, ambasciate, contractor della difesa, aziende di droni. Il dettaglio inquietante: ha automatizzato l’intera catena — sviluppo malware, phishing, command-and-control, esfiltrazione dati — con workflow custom dove Claude faceva da orchestratore.
I suoi agenti AI monitoravano se gli antivirus rilevavano il malware. Quando succedeva, riscrivevano il codice in autonomia finché non risultava di nuovo invisibile. Costo per il difensore: altissimo. Costo per l’attaccante: una manciata di API key.
Più di venti organizzazioni nel mirino, tra cui due produttori di componenti per droni di cui ha esfiltrato intere caselle email, e un software development kit proprietario per sistemi di visione — che poi ha fatto reverse engineering per giorni, estraendo architettura, bill of materials, fornitori. Il tutto gestito da una persona.
Il collettivo ShinyHunters ora opera in modalità ‘vibe hacking’
GTG-50014: affiliati di ShinyHunters, il collettivo noto per data breach e pay-or-leak extortion. Un operatore francofono (alias MeowSHA | frkoo | blazespider) ha montato una pipeline distribuita su dieci worker EC2 in AWS: scarica 1,8 milioni di APK Android, li decompila, cerca credenziali hardcoded con TruffleHog, invia i risultati a un gruppo Telegram organizzato in oltre cento categorie. Nel frattempo gestiva un ‘carding autoshop’ — vendita di carte di credito rubate — tramite un dominio che impersonava la polizia nazionale francese. Deliverable: Telegram Mini App con backend PostgreSQL/GraphQL.
In altri casi dello stesso cluster: compromissione di un provider tech con esfiltrazione di oltre un terabyte (centinaia di migliaia di ID nazionali, milioni di carte), accesso a sistemi di una compagnia aerea con decine di milioni di record passeggeri, intrusione in un’azienda energetica con possibile controllo remoto dei caricatori per veicoli elettrici installati nelle case dei clienti. Tempi di intrusione: ore, non giorni. Da token rubato a controllo amministrativo completo di un cloud environment: circa tre ore.
Il report introduce il termine ‘vibe hacking’: l’operatore dà un obiettivo generico (‘prendi il controllo di quel database’), l’AI valuta l’ambiente, scrive script, li esegue, ripete finché non ci riesce. L’operatore spesso non capisce nel dettaglio cosa sta succedendo. Funziona lo stesso.
Studenti universitari con side hustle da APT
GTG-10007: due studenti universitari cinesi di Changsha, provincia dello Hunan, facoltà di Computer & Communication Engineering. Uno aveva fatto uno stage a Sangfor (azienda di sicurezza cinese) e stava facendo colloqui per un ruolo offensivo a QiAnXin. Nel tempo libero gestivano un’operazione di spionaggio con Claude come layer ingegneristico e di orchestrazione: intrusioni contro sistemi produttivi, ricognizione su reti governative estere (Medio Oriente, Europa, Sud-Est asiatico), ricerca di vulnerabilità su prodotti di endpoint security, sviluppo malware, piattaforma di intelligence-collection.
Circa cinquanta organizzazioni nel mirino, settori vari: education, retail, energia, tech, healthcare, finanza, manifattura, agenzie governative. Compromessi: un’azienda edtech (esfiltrazione dati personali studenti in blocco), sistemi produttivi di una retail, agenzia governativa del Sud-Est asiatico (dati cittadini: nomi, telefoni, indirizzi).
La parte più impressionante: un programma autonomo di vulnerability research che ha prodotto più vulnerabilità sconosciute (zero-day) in un prodotto di sicurezza major, più exploit funzionanti per diverse famiglie di appliance di rete. Un workflow ha generato oltre una dozzina di possibili zero-day in un solo mese. Gli operatori usavano ‘agent swarms’: un agente lead decompone il lavoro di ricognizione e post-exploitation, lo assegna a molti sub-agenti in parallelo, con memoria di campagna persistente tra le sessioni. Tredici agenti di collection permanenti giravano in schedulazione per scaricare contenuti da siti target, inclusi siti militari e governativi USA.
Nonostante il targeting globale nei workflow AI, le intrusioni manuali si sono concentrate esclusivamente su vittime dentro la Cina.
Il mercato nero delle chiavi API rubate
L’accesso all’AI — sotto forma di chiavi API compromesse, token di sessione, device rubati — è diventato obiettivo primario di gruppi criminali che vendono quell’accesso tramite broker che alimentano reti di rivenditori AI fraudolenti. Un approccio: siti fake che promettono accesso scontato a modelli AI di frontiera, poi compromettono i visitatori tramite applicazioni client-side malevole che impersonano harness AI popolari (incluso Claude Code) e sono in realtà credential harvester.
GTG-50021, gruppo russofono e ucraino (membro con alias ‘kl1zy’): rivenditore AI fraudolento che offriva accesso economico a Claude. Né economico né Claude: il traffico veniva rediretto silenziosamente a un modello diverso mentre un harvester rubava le credenziali Anthropic dei clienti per rivenderle.
Chi ottiene credenziali AI ottiene tre cose simultaneamente: bottino (valore di rivendita), compute (far girare carichi di lavoro offensivi a spese altrui), copertura (attività attribuita al proprietario legittimo della credenziale). Una campagna hacktivist è andata avanti un mese intero su chiavi rubate. Gli affiliati ShinyHunters hanno spostato i loro carichi di attacco sulle chiavi AI rubate alle vittime. GTG-50020, dopo aver compromesso la sandbox di valutazione di un vendor AI, ha preso le sue chiavi produttive per primi.
GTG-50020: da booking hotel a supply chain AI
GTG-50020: attore russofono, motivazione finanziaria, storico di attacchi a piattaforme di booking hotel e fintech (un’intrusione da 26 GB di dati esfiltrati, richiesta di estorsione da 1,5-2,5 milioni di dollari). Poi pivot verso l’industria AI: iniettando istruzioni malevole nella sandbox automatizzata di valutazione di un vendor AI, ha ottenuto chiavi API produttive di più provider appartenenti a quel vendor.
Campagna successiva dalla stessa infrastruttura: attacco a circa trenta aziende AI in circa quattro giorni, stesso percorso d’attacco adattato per target. Obiettivo dichiarato, perseguito su oltre una dozzina di vie: accesso a un modello Claude pre-release. Ogni tentativo è fallito. Le chiavi coinvolte erano sempre chiavi dei clienti rubate dagli ambienti dei clienti; i sistemi di Anthropic non sono mai stati compromessi.
GTG-50029: hacktivista francofone vs partiti europei
Primavera 2026. Un singolo attore francofono usa Claude per colpire partiti politici europei, media, think tank e i loro provider SaaS. Strumento custom in Rust per trovare e validare chiavi API esposte, rotazione delle chiavi su proxy locale per mimetizzarsi nel traffico legittimo.
Tecnica firma: exploit di una race condition di reinstallazione WordPress non documentata in precedenza per creare un account amministratore rogue senza credenziali valide, sviluppata e debuggata con Claude nella stessa sessione. Ha funzionato contro almeno quattro siti vittime. In un caso, compromissione di una piattaforma di gestione campagne politiche via endpoint search esposto, esfiltrazione di circa 140.000 record incluse opinioni politiche degli utenti. Contro un altro target, impianto di una webshell nascosta tra asset di font e un plugin WordPress ‘must-use’ malevolo che raccoglieva credenziali inviate; ha anche avvelenato i backup della vittima per mantenere persistenza.
Lo strumento distintivo: ‘fafsearch’, una piattaforma di doxxing costruita su misura, caricata con decine di milioni di righe di dati da breach e sistema giudiziario, pubblicata come servizi dark-web ospitati anonimamente dove individui affiliati al movimento politico preso di mira potevano essere cercati per nome. Il report la descrive come ‘uno dei casi più chiari che abbiamo visto di ingegneria software assistita da AI applicata direttamente a un attacco di massa alla privacy — e l’intera piattaforma è stata creata da una sola persona’.
Quarantadue entità target tracciate, accesso interno ottenuto ad almeno quattordici, esfiltrazione stimata 12-26 GB di dump database inclusi registri donatori e membri di partiti politici, casella email da 15.000 messaggi, registri di application studenti (inclusi dati di minori).
Fabbriche di propaganda e newsroom sintetiche
La sezione influence operations mostra quanto AI abbia abbassato le barriere d’ingresso per chi vuole manipolare l’opinione pubblica su scala industriale. Nove casi, origini sparse: Russia, Iran, Turchia, Golfo, Sud Asia, Africa, Europa. Sei continenti come target. Attori: governi, istituzioni di propaganda statale e media di stato, aziende private che vendono influenza a pagamento, operatori politici domestici e — caso unico — un movimento di opposizione in esilio.
Diverse campagne sono state temporizzate su elezioni nazionali: media di stato russi hanno prodotto affermazioni fabbricate sulla presidente moldava prima del voto di settembre 2025; un operatore pro-governo in Kenya ha preparato post fake grassroots prima delle elezioni generali kenyote del 2027.
A differenza delle piattaforme social, che vedono un’operazione di influenza solo quando il contenuto sta già circolando, Anthropic può vederla su Claude mentre è ancora in costruzione — producendo segnali rilevabili che permettono di interrompere operazioni prima del lancio. Una volta identificate, gli account vengono bannati e i risultati reimmessi nei sistemi di detection. Per misurare l’impatto, Anthropic applica la Breakout Scale, framework a sei categorie (Categoria Uno = confinata a una singola community/piattaforma; Categorie Due-Sei = esposizione pubblica progressivamente maggiore).
GTG-04001: Radio Lengo Songo e l’ecosistema Wagner in Centrafrica
Anthropic ha rimosso un account gestito da un attore russofono a Bangui che forniva la spina dorsale produttiva per un’operazione FIMI (Foreign Information Manipulation and Interference) allineata allo stato russo e rivolta alla Repubblica Centrafricana. L’attore gestiva un’operazione di contenuti quotidiana attraverso Radio Lengo Songo (98.9 FM) — stazione creata e finanziata dal Gruppo Wagner nel 2017, secondo un’indagine All Eyes On Wagner — coordinata con RT, Sputnik Afrique, TASS e la Russian House a Bangui, istruendo esplicitamente Claude di incorporare talking point pro-Russia e anti-Francia mentre strippava abitudini di formattazione che avrebbero rivelato generazione AI. L’indagine ha collegato l’attore a Politology, il ramo influenza di Africa Corps/Wagner, valutato essere sotto controllo del Foreign Intelligence Service russo (SVR) dalla fine del 2023.
Risultati chiave: la rete usava Claude per automatizzare HR — generando contratti di loyalty, job description, rubric di scoring e un processo di licenziamento a tre strike per il personale, continuando a usare la ponderazione politica anche dopo che Claude l’aveva segnalata. L’attore gestiva anche un’operazione ricorrente di sorveglianza su figure dell’opposizione centrafricana, redigeva talking point per portavoce della Russia House e produceva documenti governativi CAR falsificati (comunicazioni Gendarmeria e Ministero della Difesa). Claude ha rifiutato la richiesta più aggressiva dell’operazione — nominare individui reali come militanti per attirare azione di sicurezza — forzando l’attore a pivotare su framing a fonte anonima. Breakout Scale: Categoria Quattro (trasmissione radio quotidiana, amplificata via Telegram e outlet locali).
GTG-54002: ‘Influence-as-a-service’ su sei continenti
Anthropic ha rimosso un account che produceva e riscriveva in massa contenuti politici su circa settanta siti news fabbricati, amplificati da settanta account X corrispondenti e una rete di oltre 250 account di commento inautentici. L’operazione è stata tracciata a LKM Company, agenzia pubblicitaria digitale con base in Francia, e non aderiva a una sola ideologia: cambiava posizioni politiche in base a chi pagava, coerente con un modello commerciale ‘influence-as-a-service’. La rete ha pubblicato almeno 8.913 articoli in circa venti lingue ma ha generato poco engagement reale. Breakout Scale: Categoria Due.
Claude è stato usato sia per scrivere articoli originali sia per riscrivere articoli di veri giornalisti in versioni politicamente orientate, adattate al pubblico. Targeting concentrato su USA, Brasile, Francia e Repubblica Democratica del Congo (RDC) — con 318 articoli specificamente su RDC, in larga parte a supporto della posizione del governo su accordi minerari e tensioni con il Ruanda. Gli investigatori hanno trovato segnali che l’attività potesse riflettere un cliente con interesse nel conflitto RDC-Ruanda, ma non hanno potuto confermare il committente né trovare evidenze di direzione governativa. Byline fabbricate usavano nomi di giornalisti inesistenti. Tutti i prompt richiedevano una struttura di output JSON fissa per pubblicazione automatizzata su scala, progettata per aumentare i ranking di autorità sui motori di ricerca dei siti.
GTG-84005: Piattaforma commerciale di manipolazione elettorale vs Malesia
Anthropic ha rimosso un account che gestiva una piattaforma commerciale di manipolazione elettorale rivolta alla Malesia, composta da circa mille account X fake, un outlet news fasullo (‘Malaysia Pulse’) e dossier di intelligence fabbricati. L’indagine ha tracciato collegamenti a BBS Bilisim Teknolojileri, azienda tech con base a Istanbul che commercializza l’infrastruttura come ‘ecosistema operativo politico in tempo reale, AI-driven, di grado militare’. Breakout Scale: Categoria Due.
La piattaforma profilava e prendeva di mira gli elettori constituency-by-constituency su tutte le 222 circoscrizioni parlamentari malesi usando dati censuari ed elettorali reali, con micro-targeting su linee di faglia razza-religione-regalità. Gli account fake avevano logica di warm-up e rotazione cookie/IP; la dashboard permetteva agli operatori di impostare target di view artificiali, inclusa una richiesta di un milione di view artificiali a supporto dell’attuale Primo Ministro malese. L’outlet news sintetico ripubblicava contenuti allineati a stati russo e cinese (TV BRICS, Xinhua, Sputnik/RIA, CGTN) strippati di attribuzione statale per sembrare reporting malese indipendente. Claude ha rifiutato o parzialmente rifiutato diverse richieste, incluso dopo aver identificato un dossier fabbricato come materiale di diffamazione politica. L’attore ha perseguito — senza successo — un contratto con il regolatore nazionale delle comunicazioni malese.
GTG-24015: Pipeline editoriali di media di stato russi
Anthropic ha rimosso quattro account in cui singoli attori usavano Claude come desk editoriale alimentando outlet di media di stato russi, inclusi Sputnik Moldova, RIA Novosti, Sputnik en Español, Sputnik Africa e la newsroom inglese di RT. Un ex caporedattore di Sputnik Moldova ha usato Claude per trasformare news romene/moldave e post social dell’opposizione in articoli in russo che amplificavano affermazioni fabbricate e diffamatorie sulla presidente moldava Maia Sandu prima delle elezioni parlamentari del 28 settembre 2025. Un contractor legato alla Russia scriveva articoli in spagnolo latino-americano per Sputnik en Español e un canale Telegram ri-framando narrative allineate al Cremlino come commento locale autentico. Un dipendente di un outlet posseduto dallo stato russo usava Claude per ticker di trasmissioni live, didascalie, script voiceover e titoli presi da newswire russe, SVR e Ministero della Difesa — con almeno un’istanza confermata raggiunta le onde radio russe. Il reach variava da un post Telegram con circa 2.000 view a copy broadcast effettivamente andato in onda.
GTG-34001: Operazioni di influenza allineate allo stato iraniano
Anthropic ha rimosso tre account allineati allo stato iraniano che pianificavano contenuti di ‘soft war’/’cognitive warfare’, legati alla Islamic Culture and Communications Organization (ICCO) sotto il Ministero della Cultura e Guida Islamica, all’Islamic Propaganda Office del Khorasan Razavi (che gestisce una ‘command room’ di guerra cognitiva da un seminario di Mashhad) e al Bina Cultural Observatory dell’Islamic Propaganda Organization. Breakout Scale: Categoria Tre.
Gli attori legavano esplicitamente le campagne alla dottrina iraniana ‘Jihad al-Tabyin’ (jihad esplicativo). La rete ICCO ha prodotto un portfolio di influenza internazionale in nove parti e piani organizzativi completi per il funerale della Guida Suprema dell’Iran. La ‘command room’ di Mashhad gestiva ‘Manjanegh’ (Catapulta), una fabbrica di contenuti multi-provincia che usava decine di attivisti per riconfezionare reporting dei servizi di sicurezza sotto personas, amplificato su oltre cento canali di piattaforma iraniani. L’attore legato a Bina generava messaggi nella voce ufficiale di un portavoce IRGC e, durante la guerra USA-Israele-Iran del 2026, attribuiva affermazioni false a think tank occidentali (CSIS, Brookings, RAND) per aumentare credibilità. La rete prendeva anche di mira la minoranza religiosa Bahá’í con contenuti contro-narrativa e manteneva database che nominavano funzionari internazionali e figure dell’opposizione iraniana.
GTG-54006: Operazione fake-news pro-Awami League in Bangladesh rurale
Anthropic ha rimosso una rete di disinformazione automatizzata che generava notizie fabbricate in bengalese promuovendo l’Awami League del Bangladesh (fuori dal potere dall’insurrezione di luglio 2024) e attaccando oppositori — un’operazione di opposizione, non governativa, senza evidenza di coinvolgimento del partito stesso. Un singolo attore nel distretto di Gaibandha ruotava attraverso 29 account Claude, usando uno script custom (‘fake_news_3.py’) per generare batch fissi di quindici titoli, tre storie fabbricate dettagliate e quindici prompt di generazione immagini per esecuzione, alimentando livestream Facebook Live, YouTube e TikTok rivolti a pubblici rurali a bassa alfabetizzazione. Internamente l’attore descriveva l’obiettivo come contenuto ‘caldo e aggressivo’ ‘così anche la gente del villaggio capisce’, scrivendo ‘nessuno sa che le notizie sono false’. Almeno 1.500 titoli, 300 narrative false e 1.500 prompt immagine generati. I target includevano Bangladesh Nationalist Party, Jamaat-e-Islami, National Citizens Committee, governo ad interim e leader delle proteste studentesche, accusati via campagne diffamatorie fabbricate di essere agenti stranieri che spingevano governance stile Taliban. Un secondo script auto-schedulava caricamenti YouTube con un mese di anticipo. Breakout Scale: Categoria Tre.
GTG-84006: Operazione allineata a MEK/NCRI che impersonava persone reali dentro l’Iran
Anthropic ha rimosso un’operazione di influenza distribuita collegata alla People’s Mojahedin Organization of Iran (PMOI/MEK) e al suo fronte politico, National Council of Resistance of Iran (NCRI). L’operazione ha impersonato un attivista iraniano reale: un agente AI condiviso ha clonato il suo account Telegram dopo aver letto circa 8.400 dei suoi post per copiarne lo stile di scrittura, poi ha tenuto conversazioni politiche live con i suoi contatti — che, per quanto ne sa Anthropic, non si sono resi conto di parlare con un account assistito da AI. Breakout Scale: Categoria Due.
L’operazione ha scrapato oltre 500 canali social per profilare individui dentro l’Iran per città, età, occupazione, allineamento politico e storia di arresti, e ha analizzato circa 51.944 messaggi archiviati per costruire dossier psicografici su decine di individui nominati — inclusa la profilazione di storia di arresti di persone che potrebbero affrontare prigionia o esecuzione sotto legge iraniana. La rete ha creato avatar generati da AI con audio persiano stilizzati come ‘iraniani ordinari’ per promuovere il piano in dieci punti della presidente NCRI Maryam Rajavi, senza rivelare che erano sintetici, e ha gestito pipeline Instagram multi-account coordinate che inizialmente evitavano di nominare i Mojahedin per sembrare news neutre. Gli attori usavano una piattaforma agent condivisa (‘Viktor’) con file di memoria persistente per-workspace (parole bandite, fonti approvate, regole di evasion), operando sotto loop di approvazione strutturato che faceva riferimento a ‘per il nostro contratto’ e alla leadership MEK. Il messaging sostituiva lo slogan organico delle proteste 2022 ‘Donna, Vita, Libertà’ con la variante MEK ‘Donna, Resistenza, Libertà’.
Sorveglianza di massa: quando l’AI rende economico monitorare milioni
Il report copre casi legati a Mali, Cina e Iran. Mali — ‘Lakana 360’: un consulente indipendente con base a Bamako, valutato da Anthropic come legato ai servizi di intelligence dello stato maliano, ha usato Claude per costruire una piattaforma di sorveglianza di massa che monitora circa 25 milioni di schede SIM su tutti e tre gli operatori mobili del paese, aggirando l’obbligo legale di un’autorizzazione giudiziaria prima che un operatore potesse divulgare determinati dati.
Cina — ufficio affari religiosi: un ufficio di intelligence sugli affari religiosi che in passato si affidava a ‘molti team di analisti’ ha ridotto l’operazione a un singolo ufficio che, con un assistente AI, produce migliaia di indagini al mese. Cina — polizia informatica municipale: un attore ritenuto legato a un’unità di polizia informatica municipale ha usato Claude per gestire un sistema di sorveglianza domestica che ha identificato dieci cittadini cinesi come bersagli; tra i soggetti monitorati: personalità pro-democrazia di Hong Kong, organizzatori di commemorazioni di Piazza Tienanmen, sostenitori dei diritti degli uiguri e di gruppi occidentali per i diritti umani.
Un ulteriore caso cinese riguarda l’uso di Claude per analizzare post sui social, valutarne la sensibilità politica e segnalare potenziali bersagli per attività che gli operatori interni chiamavano ‘controllo’. Un gruppo di account legato a organi di sicurezza dello stato cinese avrebbe usato l’AI di Anthropic a supporto della ‘stability maintenance’, termine usato dal Partito Comunista Cinese per la repressione del dissenso.
Jacob Klein, a capo del team Threat Intelligence di Anthropic, ha dichiarato ad Axios che l’AI sta rendendo la sorveglianza di stato più economica ed efficiente, pur senza cambiare ‘chi’ i governi scelgono di monitorare.
Armi convenzionali: prima volta che Claude viene usato per droni kamikaze
Il report descrive per la prima volta l’uso di Claude per scrivere software destinato ad armi convenzionali, con sei casi documentati: tre in Cina, due in Russia, uno in Yemen. Tra i casi russi, un tentativo — attribuito a sviluppatori freelance con base in Russia — di costruire uno sciame di droni kamikaze autonomi. Tra i casi cinesi, un attore ha cercato di costruire software per rilevare, disturbare (jamming) o ingannare i sistemi radar e di comunicazione di un avversario.
Biological misuse: chikungunya e il confine sottile tra ricerca e arma
Il report descrive cinque casi di studio relativi a tentativi di uso improprio di Claude in ambito biologico. Tra questi, una richiesta — attribuita a un soggetto non identificato per nome — di aiuto per modificare il virus della chikungunya. Anthropic afferma di non essere sempre stata in grado di stabilire se l’intento dietro queste richieste fosse malevolo o legato a ricerca scientifica legittima. Jacob Klein ha dichiarato al New York Times: ‘Non stai vedendo qualcuno che in modo da fumetto dice: Hey, voglio costruire un’arma biologica per uccidere tutti’.
I casi selezionati non rappresentano gli abusi più comuni, ma le attività più rilevanti e nuove individuate fino a quel momento; le protezioni sui modelli più recenti erano meno stringenti in passato e miravano soprattutto a impedire che utenti alle prime armi ottenessero contenuti utili a riprodurre armi biologiche già note.
Distillazione illecita: la campagna industriale cinese
Il report accusa diversi laboratori AI cinesi di aver condotto campagne di ‘distillazione illecita’ — definita da Anthropic come ‘una campagna clandestina su scala industriale per estrarre le capacità di un modello e replicarle in un altro senza autorizzazione’ — ai danni di Claude. I laboratori citati includono Alibaba, Moonshot AI (Kimi), DeepSeek, Z.ai, Xiami e MiniMax. Solo dal traffico attribuito ad Alibaba, Anthropic avrebbe osservato oltre 151 milioni di scambi sospetti tra maggio e luglio 2026.
Le campagne avrebbero preso di mira in particolare le capacità agentiche di Claude, l’uso di strumenti (tool use), il coding e l’analisi dati, oltre al ragionamento logico. La distillazione illecita avviene spesso tramite frode: account falsi, carte di credito rubate e credenziali di accesso compromesse. Questa è la seconda volta che Anthropic accusa pubblicamente laboratori cinesi di distillazione: una prima accusa, con numeri diversi (oltre 16 milioni di scambi tramite circa 24.000 account fraudolenti, riconducibili in quel caso a DeepSeek, Moonshot AI e MiniMax), risale a un report separato di febbraio 2026.
Cosa cambia davvero
Il punto non è che AI abbia inventato nuove minacce. Phishing, credential theft, SQL injection, propaganda, sorveglianza di massa — esistevano tutte prima. Quello che è cambiato è l’economia dell’attacco. Lavoro che una volta richiedeva team specializzati, mesi di sviluppo e budget governativi ora viene delegato a workflow AI che girano a velocità macchina, in parallelo, con supervisione umana minima. Risultato: breach completati in due-tre ore, decine di vittime gestite in parallelo da operatori individuali, operazioni di influenza multi-continente costruite e gestite da singole persone.
Il report introduce il concetto di ‘uplift’, il boost di capacità che AI fornisce — misurato attraverso tre lenti: velocità, scala, profondità. In termini economici, l’autonomia AI comprime il lato costo del ROI dell’attaccante, rendendo viabili target precedentemente marginali e incoraggiando operazioni ad alto volume, basso tocco.
Due caveat che il report tiene a sottolineare: gli umani mantengono le decisioni che contano di più (selezione target, monetizzazione, revisione risultati), e l’autonomia moltiplica scala e velocità mentre la severità dipende ancora da molti fattori — diverse delle compromissioni più serie nel report provenivano da operazioni completamente dirette da umani.
In risposta ai risultati, Anthropic ha ampliato monitoraggio, red-team testing e sistemi di sicurezza in tempo reale. Claude ora riassume il proprio ragionamento interno prima di rispondere, rendendo meno utili eventuali trascritti rubati a scopo di addestramento di modelli concorrenti. Gli account che operano da paesi non supportati come Cina, Russia e Iran possono inoltre essere obbligati a verificare la propria identità o perdere l’accesso.
Il report si chiude con una nota di responsabilità collettiva: ‘Speriamo che i risultati in questo report aiuteranno altri sviluppatori a riconoscere pattern simili sulle proprie piattaforme, diano a governi e società civile una visione più chiara di come le minacce emergenti prendono forma, e rafforzino le difese collettive’. Tradotto: se pensate che questo sia un problema solo di Anthropic, non avete capito niente.
