Anthropic ha pubblicato il 10 settembre 2026 il suo quarto report di threat intelligence, intitolato “Detecting and countering misuse of AI: September 2026”. Il documento raccoglie casi di abuso di Claude disattivati tra dicembre 2025 e agosto 2026, distribuiti su sette aree di danno: operazioni cyber, operazioni di influenza, sorveglianza, truffe e frodi, rischio biologico, sviluppo di armi convenzionali e distillazione illecita di modelli.
I casi documentati hanno coinvolto Claude Haiku, Sonnet e Opus; nessuno ha riguardato Claude Fable o Mythos, ad eccezione di un singolo caso di distillazione illecita. Il report fa riferimento a numerosi Generative Threat Group, sigla con cui Anthropic designa internamente gli attori osservati abusare dei propri sistemi, e segue i precedenti report pubblicati a marzo, agosto e novembre 2025.
Indice degli argomenti
L’abuso di Claude nelle operazioni cyber
Il report evidenzia una crescente adozione di modalità d’uso agentive, in cui agenti AI orchestrano fasi estese delle operazioni di attacco. Anthropic precisa che la maggioranza delle operazioni cyber descritte è stata abilitata dall’AI tramite esecuzione diretta o orchestrazione, con gli operatori umani che restano coinvolti nella selezione degli obiettivi e nella revisione dei dati esfiltrati. Il livello di autonomia varia però sensibilmente: alcune operazioni restano fortemente dirette passo per passo da un umano, altre sono quasi interamente autonome.
GTG-20006 e l’attività attribuita a Midnight Blizzard
Tra i casi più rilevanti figura GTG-20006, un attore la cui attribuzione risulta coerente con i report pubblici che lo collegano a un gruppo noto come Midnight Blizzard. L’attore ha preso di mira oltre venti organizzazioni tra ministeri, enti diplomatici e produttori nella filiera dei droni militari, concentrandosi soprattutto su obiettivi ucraini ed europei.
L’AI è stata impiegata per predisporre e gestire l’infrastruttura di phishing ed eseguire porzioni delle intrusioni, inclusi comandi contro i sistemi delle vittime, raccolta di credenziali e movimento laterale nelle reti, sotto la direzione dell’operatore umano. Gli agenti AI monitoravano inoltre il rilevamento del malware da parte dei prodotti di sicurezza e iteravano sulla modifica e ridistribuzione degli artefatti malevoli.
ShinyHunters e l’esfiltrazione accelerata dagli agenti AI
Un secondo filone riguarda gruppi finanziariamente motivati sospettati di essere affiliati al collettivo noto come ShinyHunters. Uno dei cluster individuati, tracciato come GTG-50014, ha condotto violazioni che in alcuni casi hanno richiesto poche ore per passare dal primo accesso all’esfiltrazione massiva di dati, e in un caso circa tre ore per arrivare dal furto di un singolo token di sviluppatore al controllo amministrativo dell’ambiente cloud della vittima.
Un operatore francofono ha gestito una pipeline distribuita su dieci worker AWS EC2 per scaricare 1,8 milioni di APK Android da più store, decompilarli e analizzarli con TruffleHog alla ricerca di credenziali incorporate nel codice. I risultati verificati venivano instradati in tempo reale verso topic dedicati all’interno di un gruppo Telegram, organizzati per oltre cento tipologie di secret individuati.
La supply chain AI come bersaglio
Il report dedica ampio spazio alla supply chain dell’intelligenza artificiale, descritta come bersaglio, bottino e risorsa di calcolo. Anthropic individua tre vantaggi che gli attori ottengono dalle credenziali AI rubate: il valore di rivendita su mercati illeciti, la possibilità di utilizzarle come potenza di calcolo per le proprie campagne a spese della vittima e la copertura derivante dall’attribuire l’attività al legittimo proprietario delle chiavi.
Il caso GTG-50021 descrive un servizio di rivendita fraudolento che prometteva accesso scontato a Claude, mentre in realtà instradava il traffico verso un modello diverso e installava sui dispositivi delle vittime un credential harvester capace di raccogliere credenziali e token di sessione accessibili, comprese quelle degli account Anthropic, poi rivenduti ad altri operatori.
GTG-50020, prompt injection e chiavi API compromesse
Il caso GTG-50020 mostra un attore in precedenza attivo contro piattaforme di prenotazione alberghiera e fintech, che ha successivamente orientato le proprie tecniche verso fornitori AI e la relativa supply chain. Tramite prompt injection contro l’ambiente di valutazione automatizzata di un fornitore AI, l’attore ha indotto il sistema a cedere le credenziali che deteneva, incluse chiavi API di produzione appartenenti a più provider ospitati presso quel fornitore.
Le chiavi sono state poi impiegate per tentare intrusioni contro circa 30 aziende operanti nel settore dell’AI in circa quattro giorni, con l’obiettivo, mai raggiunto, di ottenere accesso a un modello Claude non ancora rilasciato pubblicamente. In questo caso le chiavi coinvolte provenivano da ambienti di clienti compromessi; il report descrive per altri episodi meccanismi diversi di acquisizione delle credenziali, inclusi reseller fraudolenti e credenziali esposte pubblicamente.
Claude nelle operazioni di influenza globale
Sul fronte delle operazioni di influenza, il report descrive nove casi originati da Russia, Iran, Turchia e da altri contesti geografici, rivolti a pubblici distribuiti su sei continenti. Un’operazione è stata ricondotta a LKM Company, agenzia di digital advertising con sede in Francia, che ha prodotto contenuti politici di segno opposto in funzione del cliente pagante, distribuiti su circa settanta siti di notizie fittizi, altrettanti account X e oltre duecentocinquanta account X aggiuntivi impiegati per commenti e amplificazione, con targeting su Stati Uniti, Brasile, Francia e Repubblica Democratica del Congo.
Un’altra operazione, ricondotta a un’azienda con sede a Istanbul, gestiva una piattaforma commerciale di manipolazione elettorale rivolta alla Malesia: profilazione degli elettori sulla base di dati censuari ed elettorali reali, oltre mille account X fittizi e un sito di notizie sintetico, con targeting sulle principali fratture politiche e sociali del Paese.
Media statali russi e propaganda iraniana
Il report descrive inoltre quattro individui che hanno usato Claude come desk editoriale e di produzione per media russi di proprietà statale o finanziati dallo Stato, con un livello di confidenza elevato sul fatto che gli output prodotti siano stati condivisi con quei media e che contenuti generati con Claude siano successivamente comparsi nelle relative pubblicazioni o trasmissioni: Sputnik Moldova e RIA Novosti per il pubblico moldavo, Sputnik en Español per l’America Latina, Sputnik Africa per il pubblico africano, RT English per la trasmissione globale.
Il documento segnala infine più casi distinti riconducibili a istituzioni di propaganda allineate allo Stato iraniano, tra cui l’Islamic Culture and Communications Organization, l’Islamic Propaganda Office di Khorasan Razavi e la Islamic Propaganda Organization con il suo Bina Cultural Observatory. Gli attori descrivono il proprio programma come una “soft war” o “guerra cognitiva”, concetto collegato alla dottrina statale iraniana della “Jihad al-Tabyin”, tradotta da Anthropic come “explanatory jihad”.
I casi comprendono sia attività di pianificazione e sviluppo di capacità, sia contenuti già distribuiti su piattaforme come Eitaa e altri canali allineati alle narrative dell’IRGC.
Le contromisure di Anthropic
Anthropic riferisce di aver disabilitato gli account coinvolti, di aver rafforzato le misure di sicurezza sulla base di quanto appreso e di aver condiviso, a seconda del caso, le informazioni con partner di settore, ricercatori o autorità governative. Il report raccomanda alle organizzazioni di trattare le chiavi di accesso ai servizi AI e le integrazioni costruite attorno ad essi, comprese sandbox, proxy e servizi di rivendita, con lo stesso livello di attenzione riservato alle credenziali di produzione, poiché gli attaccanti attribuiscono a queste risorse un’importanza comparabile.
Partecipa alla community