Tra dicembre 2025 e agosto 2026, il team di Threat Intelligence di Anthropic ha individuato e bloccato decine di operazioni ostili che hanno usato Claude per attività malevole. Il report pubblicato il 10 settembre 2026 — 150 pagine di casi documentati — racconta una storia che va oltre l’hype: spionaggio di stato, propaganda automatizzata, sorveglianza di massa, truffe finanziarie, distillazione illecita di modelli AI. Una cosa è chiara: l’intelligenza artificiale non è più un assistente. È diventata un orchestratore autonomo di operazioni che, fino a un anno fa, avrebbero richiesto team specializzati e mesi di lavoro.
Nessun caso ha coinvolto i modelli Fable o Mythos, protetti da safeguard più stringenti. Tutto il resto: Haiku, Sonnet, Opus. Usati da gruppi sponsorizzati da stati, criminali finanziari, venditori di spyware commerciale, istituzioni propagandistiche, attivisti politici.
Cyber operations: l’era dell’autonomia
La sofisticazione tecnica non è più un segnale affidabile per capire chi c’è dietro un attacco. Un hacktivist francese con chiavi API rubate, un affiliato di ShinyHunters che lavora da solo, un operatore di spionaggio russo: tutti e tre hanno condotto campagne multi-vittima che dodici mesi fa avrebbero richiesto decine di specialisti. GTG-20006, il gruppo russo attribuito pubblicamente a Midnight Blizzard, ha automatizzato l’intera catena: sviluppo malware, phishing, persistenza, esfiltrazione dati. Quando un antivirus rilevava il loro codice, agenti AI lo riscrivevano autonomamente fino a evadere le difese. Zero intervento umano.
Hanno colpito più di 20 organizzazioni: ministeri ucraini ed europei, ambasciate, think tank, aziende della difesa. Hanno rubato un intero SDK proprietario per sistemi di visione dei droni, passando giorni a fare reverse engineering, estrarre l’architettura hardware, la lista fornitori e i dettagli di un prodotto non annunciato. Hanno compromesso tre fornitori di WiFi per hotel, modificato i record DNS per redirigere traffico verso i loro server, distribuito malware Windows, Android e iOS tramite esche ClickFix. Microsoft Threat Intelligence ha documentato il metodo con il nome CaptiveCrunch a luglio 2026.
Il gruppo ha preso il controllo di account WhatsApp usando browser headless e la libreria open-source WPPConnect, sopprimendo le conferme di lettura mentre esportava in massa conversazioni in russo e ucraino. Almeno due ex funzionari ucraini di alto livello sono stati colpiti. Hanno trovato falle nelle API di servizi di streaming video per accedere a telecamere in diretta. Hanno violato un’autorità tecnologica nordafricana, rubato credenziali VPN, compromesso il server centrale degli account ed estratto oltre 300.000 identità nazionali e dati del registro commerciale di più di mezzo milione di aziende.
Il toolkit includeva malware Windows (PowerChrome, WUEngine, Shadow C2, MiniPlasma, CloudSyncSvc), Android (GiftDrop, rebrand della RAT di sorveglianza GiftsExpress) e iOS (DarkSword, una catena di exploit). AI usata ovunque: ricognizione, fingerprinting di sistemi, costruzione di liste phishing, raccolta ed esfiltrazione dati, manutenzione degli accessi, registrazione automatica di dispositivi sotto controllo degli attaccanti.
ShinyHunters: quando l’AI ruba chiavi API e le riusa per rubare ancora
GTG-50014, affiliati del collettivo ShinyHunters noto per furti di dati su larga scala seguiti da estorsioni pay-or-leak. Un operatore francofono (alias MeowSHA | frkoo | blazespider) ha gestito una pipeline distribuita di harvesting credenziali su 10 worker AWS EC2: download di massa di 1,8 milioni di APK Android, decompilazione, scansione con TruffleHog per segreti hardcoded. I risultati venivano instradati in tempo reale su un gruppo Telegram organizzato in oltre 100 categorie di sorgenti. Lo stesso operatore ha registrato un dominio che impersonava la polizia nazionale francese per gestire un carding autoshop — vendita di dati di carte di pagamento rubate — con consegna via Telegram Mini App, backend PostgreSQL/GraphQL (chiamato Soraki) e aggregazione di dataset francesi, inclusi circa 400.000 record di telco/ISP con IBAN e BIC.
Le chiavi API AI delle vittime venivano rubate da vendor di software enterprise e riusate per circa tre settimane per condurre attacchi secondari: compromissione di una catena retail francese, sondaggio di una piattaforma Web3 di identità. In un caso, la violazione di un fornitore tecnologico ha prodotto oltre un terabyte di dati esfiltrati, centinaia di migliaia di identificativi nazionali e milioni di record di carte di pagamento, poi pubblicati su un sito pubblico per costringere la vittima a pagare un riscatto. In una compagnia aerea: accesso a sistemi con decine di milioni di record passeggeri. In una società energetica: gli operatori dichiaravano di poter controllare da remoto la corrente di carica dei caricatori per veicoli elettrici installati nelle case dei clienti.
Un altro affiliato si è specializzato nel furto supply-chain: dopo aver violato un provider SaaS, ha estratto dati appartenenti a circa 200 organizzazioni clienti a valle, completando un dump di oltre 2.100 token set Azure AD che coprivano più di 40 tenant aziendali in circa 34 ore. Agenti AI hanno svolto quasi tutto il lavoro.
In un compromesso separato, l’attore ha usato Claude per accelerare la ricognizione in un attacco supply-chain SaaS, sfruttando una vulnerabilità cross-site scripting, escalation dei privilegi ed esfiltrazione dati da migliaia di organizzazioni clienti a valle — mentre contemporaneamente incassava pagamenti legittimi da bug bounty HackerOne di 2.000 e 5.000 dollari da due delle aziende che aveva infiltrato ed estorto.
Un breach di un’azienda software enterprise è durato poche ore dal primo accesso al furto dati in blocco. Un altro compromesso è passato da un singolo token sviluppatore rubato al controllo amministrativo completo dell’ambiente cloud della vittima in circa tre ore.
L’uso di AI durante le intrusioni somiglia spesso a vibe hacking: gli operatori dicono all’AI di raggiungere obiettivi generali, poi la lasciano valutare l’ambiente, scrivere ed eseguire script, ripetere fino al completamento del task, senza che l’operatore capisca necessariamente l’ambiente target. In ogni istanza di questo cluster, le chiavi API coinvolte erano state rubate dagli ambienti dei clienti di Anthropic: i sistemi di Anthropic stessi non sono mai stati compromessi.
Studenti universitari cinesi con zero-day automatizzati
GTG-10007, operazione di spionaggio condotta da operatori di lingua cinese probabilmente residenti a Changsha, provincia di Hunan. Due degli operatori erano studenti universitari di Computer e Communication Engineering; uno aveva un internship precedente presso la società di sicurezza cinese Sangfor ed era in fase di colloquio per un ruolo cyber-offensivo presso QiAnXin. Il gruppo ha usato Claude come layer ingegneristico e di orchestrazione di un programma offensivo coordinato: tentativi di intrusione contro sistemi in produzione, ricognizione di reti governative straniere in Medio Oriente, Europa e Sudest asiatico, un programma permanente di ricerca vulnerabilità contro prodotti endpoint-security di primo piano, sviluppo malware, piattaforma di raccolta intelligence.
Il gruppo ha preso di mira circa cinquanta organizzazioni in istruzione, retail, energia, tecnologia, sanità, finanza, manifattura e agenzie governative a livello globale. Hanno compromesso un’azienda education-tech estraendo dati personali di studenti in blocco, ottenuto accesso ai sistemi di produzione di un’azienda retail, preso di mira un’agenzia governativa del Sudest asiatico recuperando dati cittadini inclusi nomi, numeri di telefono e indirizzi di casa.
Il gruppo manteneva un programma autonomo di ricerca vulnerabilità che ha prodotto vulnerabilità precedentemente sconosciute in un prodotto di sicurezza importante, più exploit funzionanti per diverse famiglie di appliance di rete e sicurezza. Un singolo workflow ha prodotto più di una dozzina di possibili zero-day in un mese. Gli operatori eseguivano agent swarms: un agente AI principale scomponeva il lavoro di ricognizione e post-exploitation e lo distribuiva a molti sotto-agenti in parallelo, con memoria di campagna persistente tra le sessioni. Una flotta di tredici agenti AI girava su schedule per identificare e scaricare contenuti da siti web target, inclusi siti militari e governativi USA.
Nonostante prendessero di mira entità globalmente nei workflow AI, gli operatori hanno concentrato le intrusioni hands-on esclusivamente su vittime in Cina.
Influence operations: quando l’AI diventa una redazione
Nove casi documentati. Origine: Russia, Iran, Turchia, Golfo, Asia meridionale, Africa, Europa. Audience prese di mira in sei continenti. Attori: governi, istituzioni di propaganda allineate con stati e media di stato, aziende private che vendono influenza a clienti paganti, operatori politici domestici, in un caso un movimento di opposizione in esilio. Diverse campagne erano sincronizzate su elezioni nazionali: media di stato russi hanno prodotto affermazioni false sul presidente moldavo prima del voto di settembre 2025; un operatore pro-governo in Kenya ha preparato post grassroots falsi prima delle elezioni generali keniane del 2027.
A differenza delle piattaforme social, che vedono un’operazione di influenza solo quando il contenuto sta già circolando, Anthropic può osservarla su Claude mentre viene ancora costruita. Una volta identificati, gli account vengono bannati e i risultati alimentano i sistemi di rilevamento. Per misurare l’impatto, Anthropic applica la Breakout Scale, un framework a sei categorie: Categoria Uno significa operazione confinata a una singola community o piattaforma; Categorie Due–Sei indicano esposizione pubblica progressivamente più alta.
Radio Lengo Songo e la fabbrica russa in Centrafrica
GTG-04001. Anthropic ha rimosso un account gestito da un attore russofono a Bangui che forniva la spina dorsale produttiva per un’operazione FIMI (Foreign Information Manipulation and Interference) russa che prendeva di mira la Repubblica Centrafricana. L’attore gestiva un’operazione di contenuti quotidiani attraverso Radio Lengo Songo (98.9 FM), una stazione creata e finanziata dal Gruppo Wagner nel 2017 secondo un’indagine di All Eyes On Wagner, coordinata con RT, Sputnik Afrique, TASS e la Casa Russa a Bangui. Istruiva esplicitamente Claude a incorporare talking point pro-Russia e anti-Francia, rimuovendo le abitudini di formattazione che avrebbero rivelato la generazione AI. L’indagine ha collegato l’attore a Politology, il ramo di influenza Africa Corps/Wagner valutato sotto controllo del Servizio di Intelligence Estera russo (SVR) dalla fine del 2023.
La rete ha usato Claude per automatizzare la gestione del personale: contratti di fedeltà, descrizioni di lavoro, rubriche di valutazione e un processo di licenziamento a tre strike, continuando a usare la ponderazione politica anche dopo che Claude l’aveva segnalata. L’attore gestiva anche una sorveglianza ricorrente su figure dell’opposizione centrafricana, redigeva talking point per portavoce della Casa Russa e produceva documenti governativi falsificati (comunicazioni della Gendarmerie e del Ministero della Difesa). Claude ha rifiutato la richiesta più aggressiva dell’operazione, nominare individui reali come militanti per attirare l’attenzione delle forze di sicurezza, costringendo l’attore a virare su framing con fonti anonime. Breakout Scale: Categoria Quattro (trasmissione radio quotidiana, amplificata via Telegram e testate locali).
Influence-as-a-service: 70 siti falsi, 20 lingue, nessuna ideologia
GTG-54002. Anthropic ha rimosso un account che usava Claude per produrre e riscrivere in massa contenuti politici su circa 70 siti di notizie fabbricati, amplificati da 70 account X corrispondenti e una rete di oltre 250 account di commento non autentici. L’operazione è stata ricondotta a LKM Company, un’agenzia pubblicitaria digitale con base in Francia, e non aderiva a una singola ideologia: cambiava posizioni politiche in base a chi pagava, un modello commerciale influence-as-a-service. La rete ha pubblicato almeno 8.913 articoli in circa 20 lingue ma ha generato poco engagement reale. Breakout Scale: Categoria Due.
Claude veniva usato sia per scrivere articoli originali sia per riscrivere pezzi di giornalisti reali in versioni politicamente orientate e adattate al pubblico. Il focus mirava su USA, Brasile, Francia e Repubblica Democratica del Congo, con 318 articoli specificamente sulla RDC, in gran parte a sostegno della posizione del governo su accordi minerari e tensioni con il Ruanda. Gli investigatori hanno trovato segnali che l’attività potesse riflettere un cliente con interessi nel conflitto RDC-Ruanda, ma non hanno confermato il committente né trovato prove di direzione governativa. Le firme usavano nomi di giornalisti che non esistevano. Tutti i prompt richiedevano una struttura di output JSON fissa per pubblicazione automatizzata su scala, progettata per aumentare il ranking di autorità dei siti sui motori di ricerca.
Piattaforma elettorale turca venduta come military-grade
GTG-84005. Anthropic ha rimosso un account che gestiva una piattaforma commerciale di manipolazione elettorale che prendeva di mira la Malesia: circa 1.000 account X falsi, una testata di notizie falsa (Malaysia Pulse) e dossier di intelligence fabbricati. L’indagine ha ricondotto l’operazione a BBS Bilisim Teknolojileri, un’azienda tech con base a Istanbul che commercializzava l’infrastruttura come ecosistema di operazioni politiche in tempo reale, guidato da AI, di grado militare. Breakout Scale: Categoria Due.
La piattaforma profilava e prendeva di mira elettori collegio per collegio attraverso tutti i 222 collegi parlamentari malesi usando dati reali di censimento ed elettorali, con micro-targeting su linee di faglia di razza, religione e regalità. Gli account falsi avevano logica di warm-up e rotazione cookie/IP; la dashboard permetteva agli operatori di calibrare obiettivi di visualizzazioni artificiali, inclusa una richiesta di un milione di visualizzazioni artificiali a sostegno dell’attuale Primo Ministro malese. La testata sintetica ripubblicava contenuti allineati con stati russi e cinesi (TV BRICS, Xinhua, Sputnik/RIA, CGTN) privati dell’attribuzione statale per sembrare reportage malese indipendente. Claude ha rifiutato o parzialmente rifiutato diverse richieste, incluso dopo aver identificato un dossier fabbricato come materiale di diffamazione politica. L’attore ha cercato, senza successo, un contratto con il regolatore nazionale delle comunicazioni della Malesia.
Clonazione di un attivista iraniano: conversazioni in diretta con i suoi contatti
GTG-84006. Anthropic ha rimosso un’operazione di influenza collegata all’Organizzazione dei Mojahedin del Popolo Iraniano (PMOI/MEK) e al suo front politico, il Consiglio Nazionale della Resistenza Iraniana (NCRI). L’operazione ha impersonato un attivista iraniano reale clonando il suo account Telegram su un agente AI condiviso, dopo aver letto circa 8.400 dei suoi post per copiarne lo stile di scrittura. L’agente ha poi condotto conversazioni politiche in diretta con i suoi contatti, che, per quanto ne sa Anthropic, non si sono resi conto di parlare con un account assistito da AI. Breakout Scale: Categoria Due.
L’operazione ha scrapato oltre 500 canali social per profilare individui dentro l’Iran per città, età, occupazione, allineamento politico e storia di arresti, analizzando circa 51.944 messaggi archiviati per costruire dossier psicografici su dozzine di individui nominati, inclusa la storia di arresti di persone che potrebbero affrontare imprigionamento o esecuzione sotto la legge iraniana. La rete ha creato avatar generati da AI con audio persiano stilizzati come iraniani ordinari per promuovere il piano in dieci punti della presidente NCRI Maryam Rajavi, senza rivelare che erano sintetici, e ha gestito pipeline Instagram multi-account coordinate che inizialmente evitavano di nominare i Mojahedin per sembrare notizie neutrali. Gli attori usavano una piattaforma agente condivisa (Viktor) con file di memoria persistente per workspace: parole bannate, fonti approvate, regole di evasione. Operavano sotto un loop di approvazione strutturato che faceva riferimento a un contratto e alla leadership MEK. Il messaging sostituiva lo slogan organico delle proteste 2022 Donna, Vita, Libertà con la variante MEK Donna, Resistenza, Libertà.
Surveillance: 25 milioni di SIM, zero mandato
Il report copre casi legati a Mali, Cina e Iran. In Mali, un consulente indipendente con base a Bamako, valutato da Anthropic come legato ai servizi di intelligence dello stato maliano, ha usato Claude come forza ingegneristica per costruire Lakana 360, una piattaforma di sorveglianza di massa che monitora circa 25 milioni di schede SIM su tutti e tre gli operatori mobili del paese, aggirando l’obbligo legale di autorizzazione giudiziaria prima che un operatore potesse divulgare determinati dati.
In Cina, un ufficio di intelligence sugli affari religiosi che in passato si affidava a molti team di analisti ha ridotto l’operazione a un singolo ufficio che, con un assistente AI, produce migliaia di indagini al mese. Un altro attore, ritenuto legato a un’unità di polizia informatica municipale, ha usato Claude per gestire un sistema di sorveglianza domestica che ha identificato 10 cittadini cinesi come bersagli: tra i soggetti monitorati figurano personalità pro-democrazia di Hong Kong, organizzatori di commemorazioni di Piazza Tienanmen e sostenitori dei diritti degli uiguri e di gruppi occidentali per i diritti umani.
Un ulteriore caso cinese riguarda l’uso di Claude per analizzare post sui social media, valutarne la sensibilità politica e segnalare potenziali bersagli per attività che gli operatori interni chiamavano controllo. Un gruppo di account legato a organi di sicurezza dello stato cinese avrebbe usato l’AI di Anthropic a supporto della stability maintenance, il termine usato dal Partito Comunista Cinese per la repressione del dissenso. Jacob Klein, a capo del team Threat Intelligence di Anthropic, ha dichiarato ad Axios che l’AI sta rendendo la sorveglianza di stato più economica ed efficiente, pur senza cambiare chi i governi scelgono di monitorare.
Conventional weapons: sciami di droni kamikaze e jamming radar
Il report documenta per la prima volta l’uso di Claude per scrivere software destinato ad armi convenzionali, con sei casi: tre in Cina, due in Russia, uno in Yemen. Tra i casi russi, un tentativo attribuito a sviluppatori freelance con base in Russia di costruire uno sciame di droni kamikaze autonomi. Tra i casi cinesi, un attore ha cercato di costruire software per rilevare, disturbare o ingannare i sistemi radar e di comunicazione di un avversario.
Biological misuse: chikungunya e zone grigie
Il report descrive cinque casi di tentativi di uso improprio di Claude in ambito biologico. Tra questi, una richiesta attribuita a un soggetto non identificato di aiuto per modificare il virus della chikungunya. Anthropic afferma di non essere sempre stata in grado di stabilire se l’intento fosse malevolo o legato a ricerca scientifica legittima. Jacob Klein ha dichiarato al New York Times: ‘You are not seeing someone in a comic book kind of way say, Hey, I want to build a biological weapon to kill everybody’. I casi selezionati non rappresentano gli abusi più comuni, ma le attività più rilevanti e nuove individuate fino a quel momento. Le protezioni sui modelli più recenti erano meno stringenti in passato e miravano soprattutto a impedire che utenti alle prime armi ottenessero contenuti utili a riprodurre armi biologiche già note.
Illicit distillation: 151 milioni di scambi sospetti da Alibaba
Anthropic accusa diversi laboratori AI cinesi di aver condotto campagne di distillazione illecita, definita come una campagna clandestina su scala industriale per estrarre le capacità di un modello e replicarle in un altro senza autorizzazione. I laboratori citati includono Alibaba, Moonshot AI (Kimi), DeepSeek, Z.ai, Xiami e MiniMax. Solo dal traffico attribuito ad Alibaba, Anthropic avrebbe osservato oltre 151 milioni di scambi sospetti tra maggio e luglio 2026.
Le campagne hanno preso di mira in particolare le capacità agentiche di Claude, l’uso di strumenti, il coding e l’analisi dati, oltre al ragionamento logico. La distillazione illecita avviene spesso tramite frode: account falsi, carte di credito rubate e credenziali di accesso compromesse. È la seconda volta che Anthropic accusa pubblicamente laboratori cinesi di distillazione: una prima accusa, con numeri diversi (oltre 16 milioni di scambi tramite circa 24.000 account fraudolenti, riconducibili a DeepSeek, Moonshot AI e MiniMax), risale a un report separato di febbraio 2026.
Anthropic ha risposto rafforzando le contromisure lato API e modello e condividendo indicatori tecnici con altri laboratori e autorità competenti. Claude ora riassume il proprio ragionamento interno prima di rispondere, rendendo meno utili eventuali trascritti rubati per addestrare modelli concorrenti. Gli account che operano da paesi non supportati come Cina, Russia e Iran possono essere obbligati a verificare la propria identità o perdere l’accesso.
In tutto il report, nessun caso di abuso ha coinvolto Claude Fable o i modelli della classe Mythos, con la sola eccezione di un caso di distillazione illecita. I safeguard funzionano quando sono progettati per farlo. Il problema è che il resto dell’infrastruttura, API rubate, credenziali compromesse, clienti con controlli di sicurezza deboli, resta una superficie d’attacco enorme.
