“Il database è distrutto! È colpa mia” ammette Claude scambiando ambiente di produzione con sviluppo

L'assistente AI Claude Opus 5 ha distrutto il database in produzione di un sito web in dieci minuti, scambiando l'ambiente di produzione per uno di sviluppo. Lo sviluppatore ha raccontato l'incidente su Reddit, specificando che sono state cancellate tutte le tabelle, gli utenti, recensioni e altri dati. Claude ha ammesso l'errore scrivendo "Il database è stato distrutto. È colpa mia".

Non è la prima volta che ci occupiamo dei danni degli assistenti AI all’interno dei sistemi. Ma questa ennesima catastrofe ci deve far comprendere che un agente IA autonomo deve essere considerato come un account di sistema a tutti gli effetti con poteri potenzialmente distruttivi e di amministrazione, pertanto deve avere diversi livelli di protezione.

L’agente prima o poi, se lasciato libero, eseguirà qualsiasi comando disponibile, quindi l’accesso alla produzione non deve essere mai consentito e tale accesso deve essere sempre svolto da un umano.

Ma torniamo all’ultimo caso documentato su reddit. L’assistente AI Claude Opus 5 ha distrutto il database di lavoro di un progetto web in dieci minuti, avendo ricevuto diritti troppo ampi e scambiando la produzione per un ambiente temporaneo. L’agente ha cancellato tutte le tabelle insieme a utenti, recensioni, valutazioni e altri contenuti del sito, dopodiché ha ammesso lui stesso l’errore.

Durante la rielaborazione delle pagine di confronto, l’autore ha collegato Claude Opus 5 in modalità Ultracode direttamente al database Supabase e gli ha permesso di esplorare in modo indipendente il repository GitHub, eseguire comandi e risolvere problemi con lo schema e il contenuto.

Mentre lavorava, Claude creava file TypeScript temporanei ed eseguiva i comandi Prisma. L’agente ha quindi eseguito prisma migrate diff, specificando il database di lavoro Supabase nel parametro –shadow-database-url. Prisma cancella il database shadow prima di riapplicare le migrazioni, quindi lo strumento ha trattato l’ambiente di produzione come un ambiente usa e getta e ha iniziato a ricostruire lo schema utilizzando la cartella prisma/migrations obsoleta.

Dopo pochi minuti, i consueti resoconti di Claude furono sostituiti da messaggi allarmanti. Innanzitutto l’agente ha scritto che avrebbe dovuto fermarsi e verificare eventuali danni, quindi ha detto direttamente allo sviluppatore “Il database è stato distrutto. È colpa mia e devo informartelo immediatamente.”

Di conseguenza, il ripristino ha interessato tutte le 22 tabelle. Dal database sono scomparsi 21 configurazioni, utenti, recensioni, Mi piace e altri dati. Le tabelle BlogPost e ApiKey erano completamente scomparse perché il set di migrazione legacy non conteneva affatto i modelli corrispondenti.

Il progetto si è rivelato personale e non riguardava servizi critici e la maggior parte delle informazioni poteva essere recuperata.

Lo sviluppatore è stato salvato da copie di backup e dati archiviati in altri modelli e fonti. Tuttavia, l’incidente ha comunque richiesto una ristrutturazione non pianificata del sito e il ripopolamento del database.

La storia ha attirato l’attenzione di sviluppatori ed esperti di sicurezza che stanno sperimentando agenti IA autonomi. La causa principale del crash è legata non solo all’errore di Claude, ma anche all’architettura di accesso. L’agente aveva la capacità di eseguire comandi pericolosi direttamente nell’ambiente di produzione senza isolamento, ruoli limitati o conferma manuale.

Per tali sistemi, si consiglia di creare database di test separati, fornire l’accesso in sola lettura per impostazione predefinita e richiedere la conferma prima dei comandi che modificano lo schema o eliminano i dati. Una protezione aggiuntiva è fornita da un piano d’azione preliminare, modalità di prova e revisione delle modifiche prima di eseguire il comando

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response