Anthropic blocca abusi dell’IA: cyberattacchi, propaganda e rischi biologici

L'intelligenza artificiale generativa sta diventando più potente e, insieme alle applicazioni legittime, aumentano anche i tentativi di utilizzarla per cyberattacchi, sorveglianza, propaganda e attività scientifiche potenzialmente pericolose. Anthropic ha reso pubblico un nuovo rapporto nel quale descrive alcuni dei casi di abuso più significativi individuati fra dicembre 2025 e agosto 2026 e afferma di aver bloccato le attività interessate, chiuso account e rafforzato i sistemi di protezione.
Il documento non sostiene che l'uso malevolo rappresenti il comportamento tipico degli utenti di Claude. La stessa azienda precisa che gli episodi selezionati sono casi particolarmente rilevanti o nuovi proprio perché aiutano a capire come i soggetti ostili stiano sperimentando capacità che fino a pochi anni fa non erano disponibili. La distinzione è essenziale: descrivere rischi reali non significa affermare che ogni modello venga normalmente utilizzato per attività criminali.

Il terzo rapporto sull'abuso dell'IA dal marzo 2025

Si tratta del terzo rapporto pubblico dedicato specificamente agli abusi individuati sui sistemi dell'azienda dal marzo 2025. Nel tempo, il tipo di attività osservato è diventato più diversificato. Dai tentativi relativamente semplici di generare codice o testi ingannevoli si è passati a operazioni nelle quali l'IA viene utilizzata come componente di processi più complessi.
La trasformazione riguarda soprattutto la capacità dei modelli di eseguire task multipli, analizzare grandi quantità di informazioni e utilizzare strumenti esterni. Quando queste capacità vengono inserite in sistemi agentici, un singolo operatore può automatizzare parti di attività che in passato avrebbero richiesto più persone e competenze differenti.

Cybercriminali con meno competenze possono fare di più

Uno degli elementi evidenziati negli ultimi rapporti di threat intelligence riguarda la riduzione della barriera tecnica necessaria per alcune operazioni informatiche. Un modello capace di spiegare codice, trovare errori e automatizzare passaggi può aumentare la produttività sia di un difensore sia di un aggressore.
Questo non significa che un principiante possa improvvisamente diventare un hacker di livello statale, ma che determinate attività cyber possono essere svolte più velocemente o con minore esperienza. È un cambiamento importante perché il numero di persone potenzialmente in grado di tentare operazioni dannose può aumentare anche senza un corrispondente incremento delle competenze tecniche tradizionali.

Il problema dell'IA "dual use"

La caratteristica che rende difficile gestire questi sistemi è il cosiddetto dual use: la stessa competenza può avere una funzione legittima oppure pericolosa. Spiegare come individuare una vulnerabilità informatica può aiutare un'azienda a proteggere i propri sistemi oppure un criminale a cercare un punto di accesso.
Lo stesso vale per la biologia. Informazioni su virus, mutazioni, proteine e risposta immunitaria sono fondamentali per sviluppare farmaci e vaccini, ma alcune conoscenze possono essere utilizzate anche per aumentare la pericolosità di un agente patogeno. Costruire sistemi di sicurezza efficaci richiede quindi di valutare non soltanto l'argomento ma anche contesto e intenzione.

Il caso più sensibile riguarda il virus chikungunya

Fra gli episodi descritti compare un tentativo di ottenere assistenza per la preparazione di una proposta di finanziamento scientifico riguardante una ricerca gain-of-function sul virus chikungunya. Il progetto ipotizzato aveva a che fare con proprietà come trasmissibilità ed evasione della risposta immunitaria.
Il sistema ha bloccato la richiesta. È importante precisare che non esiste in questo episodio la prova che un virus sia stato effettivamente modificato grazie all'intelligenza artificiale né che Claude abbia contribuito alla realizzazione di un'arma biologica. Il caso documenta un tentativo di utilizzare il modello a supporto di una proposta di ricerca considerata potenzialmente pericolosa.

Che cos'è la chikungunya

La chikungunya è una malattia virale trasmessa principalmente attraverso zanzare del genere Aedes. Può provocare febbre, dolori articolari intensi e altri sintomi, e in alcuni pazienti i disturbi articolari possono persistere nel tempo.
Proprio perché si tratta di un patogeno reale, la possibilità di effettuare ricerche che ne modifichino determinate caratteristiche richiede valutazioni di biosicurezza rigorose. Studi di questo tipo possono avere obiettivi scientifici legittimi, ma possiedono anche un potenziale di uso improprio che rende necessarie procedure di controllo particolarmente severe.

Gain-of-function non significa automaticamente arma biologica

Il termine gain-of-function viene spesso utilizzato nel dibattito pubblico come sinonimo di ricerca per produrre armi biologiche, ma l'equivalenza è scorretta. In senso ampio indica esperimenti attraverso i quali un organismo acquisisce o potenzia una determinata proprietà.
Una ricerca può essere finalizzata a comprendere evoluzione virale, patogenicità o risposta immunitaria e contribuire allo sviluppo di misure preventive. Alcuni esperimenti, però, possono creare rischi molto elevati se rendono un patogeno più trasmissibile, più resistente oppure capace di eludere difese immunitarie. È questa componente dual-use ad aver fatto scattare i sistemi di protezione.

Perché i modelli più recenti cambiano il livello del problema

Anthropic sottolinea che i modelli meno recenti erano considerati insufficientemente capaci per fornire un contributo realmente significativo a un esperto impegnato in una sofisticata ricerca biologica pericolosa. Con i modelli più nuovi l'azienda ritiene di non poter formulare la stessa garanzia con altrettanta sicurezza.
Il progresso nelle capacità di ragionamento scientifico, analisi di letteratura e pianificazione modifica quindi la soglia di rischio. Una protezione costruita quando un modello era in grado soltanto di riassumere informazioni pubbliche potrebbe non essere sufficiente quando il sistema riesce a combinare conoscenze specialistiche e assistere attività di ricerca più complesse.

Le protezioni biologiche sono state rafforzate

In risposta a questa evoluzione, l'azienda afferma di aver introdotto restrizioni più ampie sulle richieste biologiche dual-use nei modelli più recenti. L'obiettivo è identificare non soltanto domande esplicitamente finalizzate alla costruzione di armi, ma anche richieste scientificamente plausibili che potrebbero aumentare concretamente capacità pericolose.
È una delle sfide più difficili della moderazione dell'IA. Bloccare tutte le conversazioni di biologia renderebbe il sistema inutilizzabile per ricercatori legittimi; consentire tutto senza controlli esporrebbe invece a rischi evidenti. Il problema consiste nel trovare un confine sufficientemente preciso fra supporto scientifico utile e assistenza potenzialmente dannosa.

Gli episodi non coinvolgevano normalmente i modelli più avanzati

Un altro dettaglio importante è che i casi analizzati nel rapporto non risultano generalmente collegati ai più recenti modelli di fascia avanzata dell'azienda, con l'eccezione di un episodio distinto relativo alla distillazione illecita di capacità.
Questo significa che il rapporto descrive soprattutto abusi individuati su sistemi già disponibili durante il periodo osservato. Non può quindi essere utilizzato per affermare automaticamente che le nuove generazioni abbiano già causato danni maggiori; piuttosto, l'aumento delle capacità spinge l'azienda a preparare salvaguardie prima che possibili nuovi abusi si verifichino.

La distillazione clandestina è un rischio differente

Fra le attività monitorate compare anche un caso di model distillation non autorizzata su scala industriale. In termini generali, la distillazione consiste nell'utilizzare output prodotti da un modello più capace per addestrarne un altro e trasferire parte delle sue competenze.
La tecnica possiede applicazioni perfettamente legittime quando viene utilizzata con autorizzazione. Diventa problematica quando soggetti cercano di estrarre sistematicamente capacità proprietarie violando condizioni di utilizzo o restrizioni. Il rischio riguarda proprietà intellettuale, sicurezza e possibilità che modelli dotati di capacità avanzate vengano replicati senza equivalenti sistemi di protezione.

Le operazioni di influenza sono un'altra area critica

Il rapporto descrive inoltre diversi casi collegati a propaganda e manipolazione politica. In alcune operazioni sarebbero stati creati o gestiti centinaia di profili social progettati per apparire come persone comuni e diffondere messaggi convergenti su specifiche posizioni.
Anthropic riferisce di aver individuato nove operazioni riconducibili a diverse aree geografiche, comprese Russia, Iran, Turchia, Golfo Persico, Asia meridionale, Africa ed Europa. La provenienza geografica indicata non significa necessariamente coinvolgimento diretto dei governi di tutti quei Paesi: i singoli casi possiedono natura e attribuzione differenti.

L'IA rende più economica la costruzione di identità fittizie

Una tradizionale campagna di influenza richiede persone incaricate di scrivere messaggi, modificare tono e lingua, creare profili e mantenere coerenti identità differenti. I modelli generativi possono abbassare notevolmente il costo di queste operazioni.
Un singolo operatore può generare rapidamente testi differenti, adattarli a specifici pubblici e produrre varianti abbastanza numerose da evitare la ripetizione esatta dello stesso messaggio. Non significa automaticamente che il contenuto riesca a persuadere il pubblico: efficacia e capacità di produrre materiale sono due questioni distinte.

Il vantaggio dei fornitori di IA è vedere la campagna prima del social network

Una piattaforma social può accorgersi di un'operazione quando centinaia di profili iniziano a pubblicare. Un fornitore di intelligenza artificiale può invece osservare segnali durante la fase precedente, mentre qualcuno genera contenuti, costruisce personaggi fittizi o organizza l'operazione.
Questa posizione può offrire un vantaggio importante nella prevenzione, ma crea anche interrogativi su privacy, sorveglianza e responsabilità delle aziende. Capire come individuare un abuso senza monitorare impropriamente attività legittime sarà una delle questioni regolatorie più importanti dei prossimi anni.

Spyware e sorveglianza commerciale

Fra i soggetti individuati figurano anche fornitori di spyware. Il settore della sorveglianza commerciale è da anni al centro di controversie perché strumenti teoricamente destinati alla lotta al crimine possono essere utilizzati contro giornalisti, oppositori politici, attivisti o altri individui.
L'intelligenza artificiale può offrire supporto nell'analisi di grandi quantità di dati raccolti, nella scrittura di software o nella gestione delle operazioni. Anche in questo caso, il problema non deriva necessariamente dalla tecnologia in sé ma dal contesto nel quale viene impiegata e dalla possibilità di aumentare scala e velocità della sorveglianza.

L'IA agentica modifica la cybersecurity

Il passaggio più importante riguarda probabilmente l'evoluzione verso sistemi agentici. Un chatbot tradizionale fornisce una risposta e attende una nuova domanda. Un agente può invece ricevere un obiettivo, utilizzare strumenti, analizzare risultati e decidere autonomamente quale passo compiere successivamente.
Nel campo della sicurezza informatica questo può essere estremamente utile per i difensori: ricerca di vulnerabilità, verifica delle configurazioni e analisi degli incidenti possono essere accelerate. Lo stesso livello di autonomia, se utilizzato da soggetti ostili, può però ridurre il bisogno di supervisione umana durante alcune fasi di un attacco.

Già nel 2025 erano emerse operazioni più autonome

Nei precedenti rapporti erano stati documentati casi nei quali l'IA era utilizzata non soltanto come consulente ma come componente operativa di attacchi informatici. Una delle campagne più significative mostrava un livello elevato di automazione nella ricognizione, nella ricerca di vulnerabilità e nelle attività successive.
La tendenza suggerisce che la variabile decisiva non sarà soltanto quanto un modello sia bravo a scrivere codice, ma quanto riesca a coordinare lunghe sequenze di azioni senza un essere umano che controlli ogni singolo passaggio.

Automazione non significa totale autonomia

È tuttavia importante evitare esagerazioni. Anche quando una grande percentuale delle attività viene eseguita automaticamente, un operatore umano può continuare a scegliere obiettivi, fornire istruzioni, correggere errori e decidere come utilizzare i risultati.
Definire un attacco "eseguito dall'IA" può quindi diventare fuorviante se cancella il ruolo di chi ha impostato l'operazione. La domanda più utile è quanta capacità aggiuntiva il sistema abbia fornito all'attore e quali azioni avrebbe potuto compiere senza quel supporto.

Le aziende possono vedere soltanto ciò che passa dai propri sistemi

Un limite importante dei rapporti aziendali è che ogni società osserva soprattutto gli abusi realizzati attraverso i propri servizi. Le attività svolte con modelli di altre aziende, sistemi open source o software eseguito localmente possono non essere visibili.
Le statistiche pubblicate non rappresentano quindi un censimento completo dell'abuso globale dell'intelligenza artificiale. Sono piuttosto una finestra su ciò che una specifica piattaforma è riuscita a individuare, investigare e classificare.

Pubblicare gli incidenti può aiutare altri sviluppatori

Una delle ragioni indicate per rendere pubblici i casi è permettere agli altri operatori di riconoscere pattern simili. Se una campagna utilizza determinati comportamenti per aggirare i controlli, condividere indicatori può consentire a concorrenti e autorità di identificare rapidamente attività analoghe.
Nella cybersecurity questo principio è già comune: le informazioni sulle minacce vengono scambiate perché un singolo attore può colpire contemporaneamente molte organizzazioni. Applicare la stessa logica all'IA può impedire che gli aggressori sfruttino identiche tecniche passando semplicemente da un fornitore a un altro.

Il problema dell'autoregolamentazione

La pubblicazione del rapporto riapre tuttavia una questione politica: fino a che punto aziende private possano essere lasciate sole a decidere che cosa costituisca un uso accettabile dell'IA. Bloccare un progetto potenzialmente pericoloso richiede inevitabilmente una valutazione sulla linea che separa ricerca legittima e rischio inaccettabile.
Queste decisioni possiedono conseguenze scientifiche e sociali e non possono dipendere esclusivamente da policy aziendali. Da qui la richiesta crescente di standard pubblici, valutazioni indipendenti e regole condivise per i modelli più capaci.

Troppa regolazione può avere effetti indesiderati

Allo stesso tempo, una normativa costruita male potrebbe limitare applicazioni difensive e scientifiche proprio mentre i criminali continuano a utilizzare strumenti non regolamentati o open source. Un sistema eccessivamente rigido rischierebbe inoltre di concentrare le capacità più avanzate nelle mani di pochissimi soggetti.
La difficoltà consiste nel creare regole proporzionate al rischio: controlli più forti per capacità realmente pericolose senza trasformare qualsiasi attività di programmazione o ricerca biologica in un settore sottoposto a divieti indiscriminati.

La verifica dell'identità può diventare parte delle difese

Per determinate capacità sensibili, uno degli approcci possibili consiste nel limitare l'accesso a organizzazioni verificate. I modelli destinati a cybersecurity avanzata o ricerca scientifica potrebbero essere disponibili con livelli differenti di capacità in funzione del tipo di utente.
Il modello è già utilizzato in alcuni contesti ad alto rischio. La logica è che una università, un laboratorio o un team di sicurezza identificato possa avere accesso a strumenti più potenti rispetto a un account anonimo creato pochi minuti prima.

Il rischio del mercato nero delle capacità

Più aumentano le restrizioni, tuttavia, più cresce l'interesse verso jailbreak, credenziali rubate e modelli senza protezioni. Gli aggressori possono cercare di aggirare le policy, acquistare accessi compromessi o utilizzare versioni non ufficiali.
La sicurezza non può quindi affidarsi soltanto ai rifiuti del modello. Servono controlli sugli account, monitoraggio dei comportamenti, cybersecurity tradizionale e condivisione delle informazioni tra aziende e autorità.

Il ruolo dei governi diventa inevitabile

Le operazioni descritte coinvolgono fenomeni che attraversano frontiere: cybercrime, propaganda, spyware e biosicurezza. Nessuna azienda può affrontarli completamente da sola e nessun governo può limitarsi esclusivamente ai sistemi sviluppati nel proprio territorio.
La cooperazione internazionale sarà quindi sempre più importante, soprattutto quando si parla di attori statali o reti criminali transnazionali. Attribuire un'operazione rimane però estremamente complesso e ogni accusa dovrebbe essere sostenuta da prove adeguate.

Il rapporto arriva in un momento delicato per Anthropic

La pubblicazione avviene pochi giorni dopo le dimissioni del ricercatore Jacob Coxon, che ha criticato la corsa fra le principali aziende di intelligenza artificiale sostenendo che lo sviluppo delle capacità stia procedendo più rapidamente delle misure di sicurezza.
Le sue affermazioni rappresentano una valutazione personale e non la prova che scenari estremi siano inevitabili. Hanno tuttavia contribuito ad aumentare l'attenzione politica sul rapporto fra concorrenza commerciale e capacità delle aziende di rallentare quando emergono nuovi rischi.

I rischi esistenziali non vanno confusi con gli abusi già documentati

Nel dibattito sull'IA vengono spesso messe sullo stesso piano due categorie diverse: gli abusi attuali e le ipotesi future di perdita di controllo su sistemi molto più avanzati. Cyberattacchi, propaganda e tentativi di utilizzo improprio nella biologia sono fenomeni già osservati; l'idea di una superintelligenza capace di minacciare autonomamente l'umanità appartiene invece a scenari prospettici altamente incerti.
Separare i due livelli è indispensabile per un dibattito razionale. Le misure necessarie contro un criminale che utilizza un chatbot non sono necessariamente le stesse richieste per impedire un ipotetico sistema autonomo fuori controllo.

Il rischio immediato è l'aumento di scala

Nel breve periodo, uno dei problemi più concreti è che l'IA possa rendere le attività malevole più veloci ed economiche. Generare mille messaggi di phishing, adattare propaganda a pubblici differenti o analizzare grandi quantità di dati richiede oggi molto meno tempo rispetto al passato.
Anche se la qualità di ogni singola operazione non aumenta radicalmente, la capacità di moltiplicarla può comunque produrre un effetto significativo. La scala diventa quindi una delle caratteristiche decisive del rischio.

Gli stessi strumenti possono potenziare chi difende

Il quadro non è però unidirezionale. L'IA può permettere ai team di cybersecurity di analizzare malware, individuare vulnerabilità, monitorare reti e rispondere agli incidenti più rapidamente. Sistemi automatici possono inoltre identificare schemi di abuso prima che raggiungano una scala elevata.
Si crea quindi una vera e propria competizione tecnologica fra aggressori e difensori. Il vantaggio dipenderà anche dalla capacità di integrare l'IA nei sistemi di sicurezza senza affidarle decisioni critiche prive di supervisione adeguata.

La trasparenza dovrà diventare uno standard

Un elemento positivo dei rapporti sugli abusi è che rendono osservabile una parte di un fenomeno che altrimenti rimarrebbe nascosto. Ma una reale trasparenza richiede criteri comparabili fra aziende: che cosa viene considerato incidente, quando deve essere comunicato e quali informazioni possono essere pubblicate senza aiutare nuovi attacchi?
Senza standard condivisi, due società potrebbero affrontare eventi simili e descriverli in modi completamente differenti. Questo renderebbe difficile per cittadini, ricercatori e autorità valutare il livello reale del rischio.

La corsa ai modelli più potenti rende il problema urgente

Le capacità dell'intelligenza artificiale stanno aumentando a un ritmo tale che le protezioni devono essere continuamente aggiornate. Una policy sufficiente per un modello del 2024 può diventare inadeguata nel 2026 se il nuovo sistema possiede competenze molto superiori nella programmazione o nella ricerca scientifica.
È questa asimmetria temporale a rendere la sicurezza particolarmente complessa: le misure di controllo non possono essere progettate una volta per tutte. Devono evolvere insieme ai sistemi e, idealmente, anticiparne le nuove capacità.

La lezione del rapporto: il rischio non è più soltanto teorico

I casi pubblicati da Anthropic non dimostrano che l'IA sia diventata una arma autonoma e non provano che una catastrofe sia imminente. Mostrano però qualcosa di più concreto: persone, aziende di sorveglianza, gruppi politici e attori statali stanno già cercando di utilizzare i modelli per aumentare le proprie capacità.
La risposta richiederà quindi un equilibrio fra innovazione, sicurezza e controllo pubblico. Bloccare ogni tecnologia potente non è realistico, ma neppure presumere che il mercato possa correggere autonomamente tutti gli abusi. Voi ritenete sufficienti le misure adottate volontariamente dalle aziende di IA oppure considerate necessarie regole pubbliche più rigide? Lasciate la vostra opinione nei commenti.

Dario Amodei, co-founder and CEO di Anthropic