Report Anthropic: singoli attaccanti ora operano come APT grazie all'AI

Anthropic ha reso pubblico il 10 settembre il report Countering misuse of AI: September 2026, che documenta dieci mesi di attività malevola osservata da dicembre 2025 ad agosto 2026. Il dato che scuote il settore non è la presenza di un nuovo gruppo APT, ma la sua assenza: singoli individui, studenti e criminali affiliati hanno condotto campagne offensive di sofisticazione e scala precedentemente riservate agli attori statali. Il meccanismo è un ciclo chiuso di evasione autonoma, in cui agenti AI modificano, ricompilano e ridistribuiscono malware senza intervento umano significativo. Questo sposta il costo dell'adattamento dal lato offensivo a quello difensivo, invertendo l'asimmetria che ha strutturato vent'anni di cybersecurity.

Il ciclo chiuso che sovverte il rilevamento per firme

L'elemento tecnico più destabilizzante del report è il workflow autonomo documentato in GTG-20006, l'operazione attribuita a Midnight Blizzard. Quando i prodotti di sicurezza rilevavano un campione di malware, gli agenti AI avviavano autonomamente il processo di modifica e ricostruzione per eludere i rilevamenti esistenti. Il sistema identificava i trigger di rilevamento, alterava il codice, ricompilava e ridistribuiva gli artefatti su hosting usa-e-getta. L'intero ciclo richiedeva un intervento umano minimo, secondo quanto documentato da Anthropic e ripreso da CyberScoop e The Record.

La conseguenza è un ribaltamento strutturale. Tradizionalmente, il difensore imponeva costi all'attaccante costringendolo a riscrivere manualmente i tool dopo ogni rilevamento. Con il ciclo chiuso AI, la latenza di adattamento si comprime da giorni o settimane a ore. Come riporta The Record citando il report: "l'AI ha invertito il costo sui difensori. In precedenza, i difensori potevano rallentare il tempo operativo di un attaccante attraverso il deployment di un nuovo rilevamento. Ora, almeno in teoria, avversari capaci possono 'chiudere il ciclo', bypassando i rilevamenti di sicurezza tradizionali più velocemente di quanto i difensori possano svilupparli e distribuirli".

La scala dello "uplift": da studenti a cartelli criminali

Anthropic introduce il termine "uplift" per descrivere l'amplificazione delle capacità offensiva ottenuta attraverso l'AI. Il report presenta tre casi che illustrano lo spettro di questo fenomeno. I due studenti universitari cinesi hanno gestito una "exploit foundry" automatizzata, sostenendo ricerche prolungate contro un prodotto di sicurezza principale. In un singolo mese, gli "agent swarms" hanno prodotto oltre una dozzina di potenziali zero-day, con la memoria della campagna che permetteva iterazioni successive senza ricostruzione del contesto.

Nell'operazione ShinyHunters, affiliati del gruppo criminale hanno esfiltrato oltre 2.100 token di accesso Azure appartenenti a più di 40 tenant aziendali in circa 34 ore. Secondo CyberScoop, citando il report, l'AI "ha eseguito quasi tutto il lavoro". The Record aggiunge un dettaglio operativo: il passaggio da token sviluppatore rubato a controllo completo dell'ambiente cloud richiedeva circa tre ore. Un singolo hacktivista, infine, ha condotto campagna multi-vittima contro partiti politici europei usando API key rubate, dimostrando che "un hacktivista con chiavi API rubate, criminali sparsi e un operatore di spionaggio statale hanno condotto ciascuno campagne che un anno prima avrebbero richiesto molti operatori qualificati e conoscenze specialistiche", come riporta CyberScoop citando Anthropic.

GTG-20006: quando lo stato-novizio opera come lo stato-nazione

La campagna più dettagliata nel report, GTG-20006, mostra come l'AI amplifichi anche gli attori già sofisticati. Il gruppo ha bersagliato oltre 20 organizzazioni governative, di difesa e intelligence in Ucraina, Europa, Medio Oriente e Asia. Le tecniche includevano il furto di un SDK completo per sistema di visione drone, con Claude utilizzato per il reverse-engineering dell'architettura prodotto non annunciata. GTG-20006 ha compromesso vendor Wi-Fi alberghieri per DNS hijacking e usato headless browser per takeover di account WhatsApp.

L'esfiltrazione includeva 300.000 record di identità nazionali e dati di registro di oltre 500.000 aziende da un'agenzia governativa nordafricana. L'attribuzione a Midnight Blizzard — noto anche come BlueBravo, APT29 e Cozy Bear — è stata confermata da tre fonti convergenti: CyberScoop, The Record e il report Anthropic stesso, che dichiara la consistenza con il "public reporting" esistente.

"Per gli investigatori di threat intelligence, la sofisticazione ha smesso di essere un segnale affidabile di chi si trovi dietro un'operazione" — Anthropic report, settembre 2026

Il paradosso della trasparenza: disclosure volontaria contro mercato opaco

Il report introduce una contraddizione di governance. Sappiamo di questi attacchi perché Anthropic li ha trovati e fermati, condividendo poi i risultati. David Agranovich, ex NSC, Meta e Google, ha commentato a The Record: "simile all'industria dello spyware commerciale prima di essa — l'AI sta abbassando la barriera d'ingresso per le operazioni cyber e consegnando ciò che erano capacità di livello statale ad attori che non avrebbero mai potuto costruirle". Agranovich ha aggiunto un avvertimento sul framing mediatico: "alcune coperture stampa incorniceranno questo report come 'Claude è stato usato per [fare qualcosa di male]' senza notare che l'unica ragione per cui sappiamo è perché Anthropic ha scavato e interrotto. Se non incentiveremo (o richiederemo) alle aziende di condividere queste informazioni, smetteranno di farlo".

Questo evidenzia una falla strutturale. La disclosure di Anthropic è l'eccezione, non la regola. Senza framework regolatorio obbligante, i sistemi AI concorrenti — inclusi i sette laboratori cinesi documentati nel report per distillation attacks, con Alibaba che ha raggiunto quasi 3 milioni di scambi al giorno attraverso oltre 3.500 account fraudolenti — non hanno incentivo analogo alla trasparenza.

Perché è importante

Il report non specifica quanti casi di misuse non siano stati rilevati o disruptati da Anthropic, ammettendo esplicitamente la selezione dei casi "più notevoli". Il dossier non documenta misure correttive specifiche per le vittime di GTG-20006, né quantifica l'impatto concreto delle esfiltrazioni documentate. Non emerge se le tecniche di evasione autonoma abbiano superato sistemi di rilevamento in produzione o solo in ambienti di test controllati dall'attaccante. L'identità dei due studenti universitari cinesi non è divulgata, e non emergono sovrapposizioni infrastrutturali che colleghino l'attore GTG-20006 ad altri gruppi oltre a Midnight Blizzard allo stato attuale. Le "intelligence shared with authorities" citate dal report non specificano quali autorità o giurisdizioni siano coinvolte.

Ciò che il report documenta con certezza è sufficiente a ridefinire il modello di minaccia. Quando la sofisticazione smette di indicare provenienza, il perimetro di rischio si espande a ogni organizzazione con dati sensibili, non solo a quelle di interesse geopolitico. Il rilevamento statico, pilastro della cybersecurity aziendale, perde efficacia contro avversari che ricostruiscono autonomamente i propri tool. La transizione verso difese dinamiche comportamentali diventa non una strategia avanzata, ma una necessità operativa.

Il mercato dell'AI offensiva sta replicando la traiettoria dello spyware commerciale: democratizzazione delle capacità in opacità, con l'ecosistema che scopre l'architettura della minaccia solo quando un operatore sceglie la trasparenza.

Fonti

• https://cyberscoop.com/anthropic-report-ai-enabled-cyber-attacks/
• https://therecord.media/anthropic-russia-hackers-claude
• https://thehackernews.com/2026/09/russian-state-sponsored-hackers-use.html
• https://www.securityweek.com/in-other-news-injecteave-attack-sim-swapper-sentenced-glasswing-findings-review/
• https://www.anthropic.com/threat-intelligence-report-september-2026
• https://www.cisa.gov/news-events/news/cisa-releases-updated-insider-threat-guide-new-insights-mitigate-physical-and-cyber-threats
• https://podcast.securityweek.com/

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti