Il divario di sicurezza dell'IA che nessuno vuole ammettere è già qui

      Il 31 marzo 2026, Anthropic ha accidentalmente spedito l'intero codice sorgente di Claude Code al registro npm pubblico. Circa 512.000 righe di TypeScript distribuite su 1.906 file, inclusi 44 flag di funzionalità nascosti e riferimenti a un modello non rilasciato con il nome in codice Mythos, sono rimasti accessibili pubblicamente su un bucket di archiviazione Cloudflare fino a quando un ricercatore di sicurezza non lo ha trovato e ha pubblicato il link su X. Nel giro di poche ore, il codice sorgente era stato duplicato su GitHub, accumulando migliaia di stelle prima che Anthropic potesse emettere avvisi di rimozione DMCA. Anthropic ha definito l'accaduto un errore di confezionamento causato da un errore umano. Quella spiegazione è accurata e anche in parte fuori tema.

      Esporre i progetti di Claude Code ha fornito ad Anthropic una mappa stradale a chiunque volesse progettare repository malevoli specificamente pensati per ingannare Claude Code a eseguire comandi in background o estrarre dati prima che un utente veda mai un prompt di fiducia. La logica di enforcement dei permessi, l'architettura di sandboxing, i meccanismi di orchestrazione esatti che governano come l'agente convalida ciò che è autorizzato a fare: tutto ciò ora è permanentemente disponibile in rete su decine di migliaia di repository forkati che nessun avviso DMCA raggiungerà completamente. Ciò che la fuga di notizie ha rivelato sullo stato della sicurezza dell'IA è più scomodo della fuga stessa.

      Un Lato Si Muove Più Velocemente

      La cornice convenzionale attorno all'IA nella cybersecurity la tratta come un equilibrio approssimativo, una corsa agli armamenti in cui offesa e difesa accelerano insieme. Quella cornice non regge bene di fronte ai dettagli di ciò che è realmente accaduto a marzo, o rispetto a ciò che i team di sicurezza descrivono lavorando giorno per giorno.

      Il hook e la logica di permesso esposti dalla fuga di Claude Code rendono il takeover silenzioso dei dispositivi più affidabile per gli attaccanti che sanno dove cercare. I difensori, nel frattempo, stanno integrando l'IA negli stack di sicurezza esistenti e convalidando che non genererà falsi positivi prima di diventare operativamente utile. Questi due cronoprogrammi non sono comparabili.

      Tim Burke, che gestisce operazioni di sicurezza gestita da oltre 30 anni presso Quest Technology Management, espone chiaramente l'asimmetria. “Gli attaccanti hanno ottenuto l'intero progetto su come un'IA agentica convalida i permessi e gestisce le credenziali senza dover invertire alcuna parte di esso,” dice. “Ciò significa che gli attaccanti stanno operando con un'IA che si muove più velocemente rispetto alla maggior parte dei sistemi di rilevamento progettati per gestirla, mentre i team di sicurezza stanno ancora cercando di capire come implementare gli strumenti di IA senza creare ulteriore lavoro per SOC già sopraffatti.”

      Il Gruppo di Intelligence sulle Minacce di Google ha identificato il primo exploit zero-day confermato sviluppato interamente con assistenza IA all'inizio di questo mese e ha fermato un evento di sfruttamento di massa pianificato prima che potesse essere eseguito, il che rappresenta la versione ottimistica di questa storia. La maggior parte delle organizzazioni che difendono contro quelle stesse capacità non sono Google, e la loro infrastruttura di rilevamento non è stata costruita per ciò che ora è possibile.

      “Gran parte delle organizzazioni sta ancora utilizzando un'infrastruttura di rilevamento progettata per catturare attaccanti umani che si muovono in modo metodico attraverso le reti per giorni o settimane,” dice Burke. “L'IA ha compresso quei tempi a ore e in alcuni casi a minuti, il che significa che la finestra tra intrusione e danno è ora più breve del tempo necessario alla maggior parte dei SOC per indagare su un singolo avviso.”

      L'Avviso Che Non Esiste

      Sotto il problema della velocità c'è qualcosa di più strutturale. Le piattaforme di sicurezza sono costruite per rilevare anomalie comportamentali, cose che sembrano attività malevole in base a ciò che sta accadendo piuttosto che a ciò che la guida. Ciò che non possono dirti è se un attacco è stato avviato da un umano o da un agente IA che opera autonomamente. Nessuna piattaforma attualmente evidenzia quella distinzione.

      La vulnerabilità scoperta in Claude Code dopo la fuga ha illustrato questo direttamente: un file malevolo può istruire l'IA a generare una pipeline di comandi che appare esattamente come un processo di build legittimo, attivando un comportamento che bypassa completamente il sistema di permessi senza sollevare un avviso che apparirebbe in un SIEM convenzionale.

      “Gli agenti IA possono essere manipolati attraverso descrizioni di strumenti e prompt in modi che bypassano i controlli di accesso tradizionali senza mai attivare un fallimento di autenticazione o sollevare un avviso nel tuo SIEM,” dice Burke. “Ciò significa che il rilevamento deve iniziare a tracciare ciò che l'agente ha compreso di stare facendo e perché ha preso quella decisione, piuttosto che segnalare violazioni delle politiche dopo il fatto.”

      I riferimenti a Claude Mythos nei file trapelati aggiungono uno strato a questo che non ha ricevuto molta attenzione. Ciò che è stato esposto non era solo lo strumento attuale, ma la direzione architettonica verso cui si sta dirigendo l'IA agentica, inclusi capacità di ragionamento avanzate e integrazione più profonda nell'uso degli strumenti nativi. I team di sicurezza stanno costruendo difese contro ciò che questi sistemi possono fare oggi. La roadmap trapelata descrive qualcosa di considerevolmente più capace.

      “Proprio ora la stragrande maggioranza delle piattaforme non può fare quella distinzione tra origine IA e umana,” dice Burke, “e i team di sicurezza stanno essenzialmente difendendo alla cieca contro un'intera categoria di minacce di cui non hanno visibilità.”

      La fuga di Anthropic era un file di debug mal configurato. Le organizzazioni che ora cercano di capire se la loro infrastruttura di sicurezza può rilevare ciò che un agente IA credeva di essere autorizzato a fare stanno lavorando su un problema che esisteva prima del 31 marzo e esisterà a lungo dopo che gli avvisi DMCA saranno elaborati.

      Non c'è ancora una soluzione pulita a quel problema.