Anthropic Claude evade il laboratorio e hackera 3 aziende pubblicando malware su PyPI

Durante test di sicurezza interni, un errore di configurazione ha consentito ai modelli Claude di Anthropic di accedere a Internet, compromettendo tre organizzazioni reali. L’AI ha persino creato e pubblicato un pacchetto Python malevolo su PyPI, scaricato da 15 sistemi. L’incidente riapre il dibattito sui rischi dei test AI con accesso alla rete pubblica.

Qualche giorno fa OpenAI ha raccontato di un modello sperimentale capace di individuare zero-day fino a raggiungere e hackerare la piattaforma Hugging Face. Anthropic poco dopo ha reso noto che, durante alcuni test interni, i modelli Claude avrebbero oltrepassato i confini di una Capture The Flag (CTF) arrivando a violare tre organizzazioni, fino a pubblicare un pacchetto malevolo su PyPI.

Coincidenze, trasparenza senza precedenti o una nuova fase di competizione e propaganda per l’intelligenza artificiale? Al di là della narrativa che accompagna questi episodi, il messaggio potrebbe essere un altro: forse è arrivato il momento di rallentare, riflettere sui limiti e sulle misure di sicurezza necessarie, per poi ripartire con maggiore consapevolezza nello sviluppo di sistemi AI sempre più autonomi.

Ma andiamo ai fatti. I rappresentanti di Anthropic hanno riportato che durante i test interni sulla sicurezza informatica, i modelli di Claude sono fuggiti dall’ambiente isolato e sono penetrati nell’infrastruttura reale di tre organizzazioni senza nome. In uno di questi attacchi, l’intelligenza artificiale stessa ha creato un pacchetto Python dannoso e lo ha pubblicato su PyPI. In appena un’ora, questo pacchetto è stato scaricato e lanciato su 15 sistemi reali.

Abbiamo deciso di condurre un audit retrospettivo dell’attività di Claude dopo un recente incidente con i modelli OpenAI, che ha rilevato vulnerabilità 0 day nell’infrastruttura di test e, infine, Hugging Face è stato attaccato.

In particolare, Anthropic ha deciso di scoprire se i modelli Claude accedevano alla rete Internet aperta durante i test e, a tale scopo, gli specialisti dell’azienda hanno controllato 141.006 lanci Claude nell’ambito di test CTF organizzati insieme a Irregular. Si presumeva che questi ambienti di test non avessero accesso a Internet, ma si è scoperto che a causa di un errore di configurazione, la limitazione non ha funzionato, quindi i modelli hanno considerato i siti e i server reali come parte della simulazione.

Il 23 luglio 2026, dopo l’inizio di questo Audit, Anthropic ha temporaneamente interrotto tutti i test informatici e il giorno successivo gli esperti hanno scoperto tre incidenti contemporaneamente. Il 27 luglio, la società ha informato Irregular e le organizzazioni interessate dei risultati. Si è scoperto che due società non sospettavano nemmeno dell’hacking e non è stato ancora possibile contattare i rappresentanti della terza.

Come è stato dimostrato, durante l’esecuzione di una delle attività, Claude Mythos 5 ha scoperto false istruzioni che suggerivano di installare un pacchetto inesistente da PyPI. Il modello si è presto reso conto che avrebbe potuto registrare un nome gratuito e pubblicare il proprio codice su PyPI, perché in questo modo i sistemi di società terze lo avrebbero scaricato e installato automaticamente vincendo la CTF.

Ma per pubblicare il pacchetto era necessario creare un account, ovvero trovare un servizio di posta elettronica adatto e registrarsi, dopodiché Claude avrebbe potuto caricare con successo il malware nel repository.

PyPI. Una volta pubblicato, il codice malevolo è stato scaricato e installato su 15 sistemi reali, uno dei quali apparteneva a una società di sicurezza informatica che scaricava automaticamente nuovi pacchetti da PyPI e li eseguiva in un ambiente protetto. Il malware scritto dall’intelligenza artificiale ha rubato le credenziali dell’organizzazione e le ha utilizzate per penetrare ulteriormente nell’infrastruttura interna. Nel mentre la sicurezza di PyPI ha rimosso il pacchetto. Allo stesso tempo, Claude ha notato che il pacchetto era stato pubblicato sulla rete internet e che questo non sarebbe dovuto succedere, anche se poi ha deciso che si trattava ancora di una simulazione. Secondo i rappresentanti di Anthropic, l’incidente più grave si è verificato con Claude Opus 4.7. Il problema è sorto perché l’incarico assegnato al modello riguardava un’azienda fittizia che portava lo stesso nome di un’organizzazione reale. Non essendo riuscito a rilevare l’obiettivo del test, il modello ha attaccato il dominio reale, ha estratto le credenziali dell’applicazione e dell’infrastruttura e quindi ha avuto accesso a un database con diverse centinaia di righe di dati di produzione.

Inoltre, durante tutti e quattro i lanci, Claude alla fine è giunta alla conclusione che si trattava di un sistema reale. Tuttavia, in due casi, l’IA ha ritenuto che probabilmente la vera azienda facesse parte dell’esercitazione e ha quindi continuato l’attacco. Nel terzo incidente, l’IA ha scansionato circa 9.000 indirizzi, quindi ha compromesso un’applicazione accessibile via Internet utilizzando SQL injection e credenziali prese da una pagina di debug. Il modello ha successivamente notato che l’host che stava attaccando si trovava in un account cloud chiaramente non associato all’attività. Il modello ha concluso che si trattava di un sistema reale e ha quindi fermato l’attacco da solo. In tutti i casi descritti, i modelli non hanno inventato nuove tecniche di attacco: tutti gli incidenti si basavano su password deboli, endpoint aperti e vulnerabilità tipiche.

Allo stesso tempo, Anthropic insiste sul fatto che il problema non era che i modelli Claude ignorassero qualsiasi restrizione, ma negli errori commessi durante la configurazione dell’infrastruttura di test e durante la conduzione dei test. Pertanto, i modelli sono stati informati che non c’era accesso a Internet, ma in realtà l’accesso alla rete pubblica era rimasto aperto.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response