Il mondo della cybersicurezza sta vivendo un terremoto. Il 7 aprile 2026, Anthropic ha pubblicato i risultati del suo ultimo modello di intelligenza artificiale, Claude Mythos, rivelando una capacità senza precedenti: la scoperta e lo sfruttamento automatizzato di migliaia di vulnerabilità zero-day in importanti sistemi informatici. Secondo The Register, il modello ha identificato falle in software considerati sicuri da oltre 27 anni, vulnerabilità che eserciti di ricercatori umani non avevano mai rilevato. Anthropic ha deciso di non rendere pubblico il modello «perché manderebbe in pezzi Internet — nel senso peggiore del termine», secondo le sue stesse parole.
I dettagli tecnici, pubblicati sul sito red.anthropic.com il 7 aprile, sono sbalorditivi. Il team di Nicholas Carlini, Newton Cheng e una decina di ricercatori ha documentato la capacità di Mythos di analizzare il codice sorgente, identificare schemi di vulnerabilità invisibili all'occhio umano e generare prove di exploit funzionanti (PoC) in pochi minuti. Il modello ha scoperto falle in sistemi operativi, server web, protocolli di comunicazione e infrastrutture finanziarie. The Hacker News riporta che «migliaia di vulnerabilità zero-day sono state identificate attraverso importanti sistemi» — una cifra che fa girare la testa ai responsabili della sicurezza informatica mondiale.
La reazione delle autorità è stata immediata. Secondo TechXplore (10 aprile 2026), i CEO delle più grandi banche americane si sono riuniti d'urgenza con il presidente della Federal Reserve Jerome Powell e il segretario al Tesoro Scott Bessent per valutare le implicazioni di sicurezza di questa scoperta. Il settore finanziario, che si basa su sistemi informatici obsoleti (i famosi «legacy systems»), è particolarmente vulnerabile. La domanda centrale: se un'IA può trovare queste falle, possono farlo anche attori statali ostili?
Per la comunità infosec, Mythos rappresenta un cambiamento di paradigma. Per anni, la minaccia esistenziale numero uno era l'informatica quantistica, capace di rompere la crittografia classica. Ora, è l'IA che diventa il «nuovo Grande Cattivo», secondo l'espressione di The Register. Anthropic si trova in una posizione paradossale: l'azienda ha creato uno strumento di difesa potenzialmente rivoluzionario, ma che potrebbe diventare l'arma offensiva più pericolosa mai concepita se cadesse nelle mani sbagliate. La decisione di non diffonderlo pubblicamente è lodata dagli esperti, ma solleva la questione della governance dell'IA in materia di sicurezza.
Le implicazioni geopolitiche sono considerevoli. Se un modello di IA commerciale può identificare migliaia di zero-day, i servizi di intelligence delle grandi potenze — Stati Uniti, Cina, Russia — stanno probabilmente sviluppando capacità simili, se non superiori, in segreto. Il Pentagono ha rifiutato di commentare, ma fonti interne al Dipartimento della Difesa hanno confermato alla CNN che «discussioni attive» erano in corso sull'integrazione di tecnologie simili nella cyberdifesa americana. L'era della cybersicurezza come la conoscevamo potrebbe essere finita.
Fonti:
