Claude dalla parte di chi difende: la Cyber Mission di Anthropic tra reti elettriche e codice aperto

L'ammissione di partenza, contenuta nell'annuncio ufficiale di Anthropic, è diretta: i modelli di intelligenza artificiale con elevate capacità cyber sono ormai ampiamente accessibili a chi compie attacchi. Per questo motivo, l'8 ottobre 2026 l'azienda ha presentato la propria Cyber Mission, un impegno a lungo termine che mira a spostare queste stesse risorse tecnologiche nelle mani di chi deve difendere i sistemi digitali. L'iniziativa si concentra su due aree specifiche: la tecnologia operativa che gestisce le reti idriche, elettriche e dei trasporti, e il software open source che costituisce l'infrastruttura di gran parte dei servizi web.

Sul fronte delle infrastrutture fisiche, il Critical Infrastructure Defense Program (CIDP) prevede la fornitura di modelli Claude di frontiera e supporto ingegneristico sul campo a una prima coorte di fornitori tecnologici. Tra i partner fondatori figurano undici aziende del settore, tra cui CrowdStrike, Deloitte e Palo Alto Networks; nella pagina di presentazione di Anthropic, il senior vice president di quest'ultima, Sam Rubin, ha sottolineato come gli aggressori stiano già utilizzando l'intelligenza artificiale per trovare e sfruttare le vulnerabilità a velocità macchina. Al momento, tuttavia, la documentazione di Anthropic non chiarisce quali saranno le condizioni commerciali del servizio una volta superata la fase iniziale, né quando il programma sarà disponibile oltre la prima coorte; nel frattempo le altre aziende del settore possono registrare il proprio interesse tramite un modulo.

La seconda colonna del progetto è OSS Scanner, un servizio gratuito e su adesione volontaria ispirato a OSS-Fuzz di Google. Il sistema esegue scansioni periodiche del codice open source inviando ai manutentori dei report generati direttamente dai modelli che contengono una prova di concetto dello sfruttamento, una spiegazione e, quando disponibile, una correzione proposta. Anthropic ha precisato che questi rapporti vengono spediti senza alcuna revisione umana preliminare e avverte che possono contenere imprecisioni, come una gravità valutata male, pur prevedendo internamente un tasso di veri positivi superiore al 90%. Il servizio è pensato per i progetti in grado di gestire i risultati: chi non ha modo di esaminare i report grezzi continuerà a ricevere segnalazioni verificate da persone tramite la procedura di divulgazione coordinata già in uso. Resta da capire quanto lavoro scaricherà sui manutentori che aderiscono, richiamando il recente dibattito sullo stop di Google alle segnalazioni automatiche nel suo bug bounty.

A fare da cornice finanziaria e operativa a queste novità ci sono l'espansione del Cyber Verification Program — che integrando il Project Glasswing promette ai professionisti della sicurezza un accesso facilitato alle capacità cyber avanzate dei modelli — e il Defender Advantage Fund. Quest'ultimo, lanciato ad agosto anche per garantire la gratuità di OSS Scanner, è un fondo di cui Anthropic non ha reso noto l'importo ma che già sostiene la Python Software Foundation, la Apache Software Foundation e, tramite la Linux Foundation, Alpha-Omega e OpenSSF.

Se l'intelligenza artificiale promette di velocizzare la scoperta dei punti deboli, il vero nodo da sciogliere rischia di rimanere quello del lavoro di verifica. Automatizzare la generazione di report sui bug senza un controllo preventivo sposta l'onere dell'analisi su chi riceve la segnalazione. Nel software libero, dove il tempo è la risorsa più scarsa, l'utilità reale di questo strumento si misurerà sulla tenuta di quella previsione, un tasso di veri positivi oltre il 90% che per ora nessuno ha verificato in modo indipendente. — Olya