Nel suo quarto report di threat intelligence, pubblicato il 10 settembre 2026, Anthropic ha reso pubblico un caso che segna una discontinuità nella storia dell’uso improprio dell’intelligenza artificiale generativa: una cellula operativa nello Yemen settentrionale, con ogni probabilità riconducibile ai ranghi tecnici del movimento Houthi (Ansar Allah), ha utilizzato Claude Code — l’agente di sviluppo software del modello — per progettare, sviluppare e sottoporre a debugging il software di guida, navigazione e controllo (GNC, guidance-navigation-control) di tre distinti programmi d’arma.
Non si tratta di un chatbot interrogato su nozioni di balistica: è l’uso dell’AI come sostituto diretto del team di ingegneri che normalmente presiede allo sviluppo di un sistema d’arma guidato.
Il valore di questo caso non sta nell’ennesima conferma che l’AI “può essere usata male” — lo sappiamo da tempo — ma nella sua funzione di indicatore anticipatore (early warning) su una traiettoria strutturale: la compressione del “gap” ingegneristico che per decenni ha separato gli Stati dotati di industria della difesa dagli attori non statali armati.
Indice degli argomenti
Claude Code e i tre programmi missilistici Houthi
È un caso che va letto insieme, e non isolatamente, al resto del report Anthropic, che nello stesso documento descrive operazioni di spionaggio informatico russo e cinese, sorveglianza di massa in Mali e in Iran, e reti di disinformazione elettorale su sei continenti. Il filo conduttore è unico: l’AI agentica ha smesso di essere un moltiplicatore di produttività per diventare, in alcuni casi, un livello di orchestrazione autonoma dell’intera catena operativa, dalla ricognizione all’esecuzione.
Il gruppo, designato internamente da Anthropic con il codice GTG-87001 (Generative Threat Group), è stato individuato attraverso un’indagine interna innescata dal sospetto di attività di sviluppo bellico. Secondo la ricostruzione del report, la cellula portava avanti simultaneamente tre linee di sviluppo:
- un razzo guidato basato su un computer di volo di classe “commodity” (derivato cioè da componentistica telefonica di consumo), con guida terminale per l’homing di fase finale;
- un missile balistico multi-stadio con un obiettivo di gittata dichiarato superiore ai 2.000 km;
- una famiglia di missili multi-varianti che includeva una configurazione a veicolo plananate ipersonico (hypersonic glide vehicle).
In tutti e tre i filoni, gli operatori hanno impiegato Claude Code “in sostituzione di ingegneri del software umani” per scrivere il codice GNC necessario a manovrare e stabilizzare l’ordigno in volo — la componente più delicata e ad alta intensità di competenza di un programma missilistico, quella che tradizionalmente richiede la messa a fattor comune di aerodinamica, controllo automatico, sensoristica inerziale e integrazione hardware/software.
L’elemento più significativo, dal punto di vista dell’analista, non è la sofisticazione tecnica raggiunta — che il report descrive come limitata — ma il pattern operativo osservato. Anthropic riferisce che il gruppo ha condotto un test di lancio reale di uno dei razzi guidati sul campo. Il lancio è fallito.
Nel giro di poche ore, gli stessi operatori sono tornati su Claude per analizzare le cause del fallimento e correggere il tiro: un ciclo di sviluppo iterativo — test, fallimento, diagnosi assistita da AI, correzione — che riproduce in miniatura, con tempi e costi drasticamente ridotti, il processo di ingegneria dei sistemi che un tempo richiedeva team dedicati, banchi prova e cicli di validazione lunghi mesi.
Due elementi di rilievo
“Non abbiamo evidenza che gli attori siano riusciti a schierare un dispositivo operativo; tuttavia hanno condotto un test di lancio di un razzo guidato”, si legge nel report.
Anthropic precisa inoltre due elementi che meritano attenzione analitica. Primo: il gruppo aveva già sviluppato, in autonomia e indipendentemente da Claude o da altri ambienti di calcolo ingegneristico, uno strumento di simulazione offline — a riprova che l’AI non ha creato la capacità dal nulla, ma ne ha accelerato e ampliato lo sviluppo laddove le competenze umane disponibili erano insufficienti o troppo lente.
Secondo: l’azienda non ha trovato evidenza che il materiale prodotto abbia condotto a un sistema d’arma effettivamente schierabile, e ha sottolineato di non aver identificato in modo esplicito gli attori come appartenenti al movimento Houthi — attribuzione che deriva, nella copertura giornalistica successiva, dal fatto che la cellula opera in un’area dello Yemen settentrionale sotto controllo Houthi consolidato, inclusa la capitale Sana’a. Una volta rilevata l’attività, Anthropic ha sospeso gli account coinvolti e condiviso l’intelligence raccolta con partner pubblici e privati.
Missili Houthi tra Yemen, Iran e Mar Rosso
Il caso GTG-87001 non va letto come un episodio isolato di “hacking creativo”, ma inserito nella traiettoria del conflitto nel Mar Rosso e nella più ampia rete di proxy sponsorizzati dall’Iran. Per comprenderne la rilevanza occorre ricostruire la sequenza temporale degli ultimi dodici mesi.
Alla fine del 2025, dopo il cessate il fuoco a Gaza, gli Houthi avevano sospeso gli attacchi contro il naviglio commerciale nel Mar Rosso e nello stretto di Bab el-Mandeb, alimentando un cauto ottimismo tra le marine occidentali e gli armatori: il traffico mercantile aveva iniziato a rientrare gradualmente sulla rotta di Suez nei primi mesi del 2026, mentre le forze navali occidentali mantenevano comunque una postura deterrente nell’area.
L’ipotesi di lavoro prevalente, in ambito sia industriale sia di intelligence marittima, era che la fase più acuta della minaccia asimmetrica nel Mar Rosso fosse alle spalle.
Questa lettura non è più sostenibile dopo gli attacchi israelo-statunitensi contro l’Iran del febbraio 2026, che hanno riacceso la proiezione di potenza della rete di proxy di Teheran e, con essa, la postura offensiva degli Houthi.
In questo scenario si inserisce un vincolo strutturale della catena di rifornimento: l’Iran ha storicamente fornito hardware, sottosistemi propulsivi e assistenza tecnica ai gruppi armati alleati, ma le interruzioni nella catena di approvvigionamento — dovute a sanzioni, interdizioni marittime e pressione militare diretta — hanno reso sempre più difficile per gli Houthi sostenere un programma missilistico affidandosi solo ai rifornimenti esterni.
È esattamente in questa frizione — tra hardware scarso e know-how ingegneristico carente — che si inserisce l’intelligenza artificiale. Quando le scorte sono finite e il resupply è inaffidabile, l’unica leva rimasta per un attore non statale è estrarre più prestazioni dai materiali già disponibili: ottimizzare, correggere, adattare.
È precisamente il compito per cui un modello linguistico agentico, capace di scrivere, testare e correggere codice a costo quasi nullo, offre un moltiplicatore di capacità sproporzionato rispetto alle risorse umane e finanziarie del gruppo che lo impiega.
Il quadro è aggravato da un dato regionale che l’attualità conferma: nelle settimane recenti gli Houthi hanno consolidato la propria proiezione militare nell’area, incluso il controllo di posizioni strategiche in prossimità di rotte marittime cruciali, confermando che il movimento resta, quasi 1.400 miglia da Israele, una minaccia diretta per Tel Aviv, per Washington e per la libertà di navigazione internazionale — come dimostrato dagli episodi di intercettazione di droni e missili da crociera a lungo raggio da parte di unità navali statunitensi nel Mar Rosso.
Come Claude Code riduce il divario di competenze missilistiche
Il valore intelligence del caso yemenita sta nella dimostrazione empirica di un fenomeno che gli analisti di proliferazione discutono da anni in termini teorici: la disintermediazione della competenza tecnica specialistica.
Storicamente, lo sviluppo di software GNC per un sistema missilistico richiedeva l’accesso a competenze rare — ingegneria aerospaziale, teoria del controllo, elaborazione di segnali da sensori inerziali — concentrate in un numero limitato di programmi statali, università tecniche e appaltatori della difesa. Questo collo di bottiglia era, di fatto, una delle barriere non proliferative più efficaci contro la diffusione di capacità missilistiche avanzate verso attori sub-statali.
Il report Anthropic descrive esplicitamente questo fenomeno come una tendenza trasversale osservata in tutti i settori di abuso analizzati, non solo in quello bellico: l’AI ha “collassato il divario di manodopera e strumentazione” che un tempo separava le operazioni statali, ben finanziate, dagli operatori individuali.
Lo stesso pattern — competenze specialistiche rese accessibili a soggetti privi di formazione dedicata, attraverso un’interfaccia conversazionale o agentica — ricorre nel report anche in ambito cyber, dove un singolo hacktivista francofono ha condotto una campagna di esfiltrazione contro 42 organizzazioni politiche ed entità collegate in Europa, e in ambito di sorveglianza, dove un consulente riconducibile ai servizi di intelligence del Mali ha utilizzato Claude per costruire un sistema di monitoraggio di 25 milioni di schede SIM.
Il punto analiticamente più interessante non è “l’AI ha aiutato un gruppo armato”, quanto piuttosto la natura specifica dell’uplift: non la generazione di conoscenza nuova (i principi della guida missilistica sono pubblici da decenni, descritti in trattati di ingegneria aerospaziale accessibili), ma l’accelerazione radicale del ciclo di implementazione, debug e iterazione — esattamente il tipo di lavoro ripetitivo, ad alta intensità di codice e a bassa disponibilità di tempo-ingegnere che i modelli agentici come Claude Code sono ottimizzati a svolgere.
In altre parole, l’AI non ha insegnato agli Houthi la balistica; ha compresso in ore un lavoro di scrittura e correzione software che altrimenti avrebbe richiesto settimane di un ingegnere qualificato, difficile da reperire e da proteggere in un teatro di guerra.
Dal caso Houthi agli abusi globali di Claude
Collocare il caso GTG-87001 nel contesto dell’intero report di settembre 2026 è indispensabile per non trarne conclusioni fuorvianti. Il documento — il quarto della serie, dopo quelli di marzo, agosto e novembre 2025 — copre attività disattivate tra dicembre 2025 e agosto 2026 in sette aree di danno: operazioni cyber, operazioni di influenza, sorveglianza, truffe e frodi, uso improprio in ambito biologico, sviluppo di armi convenzionali e distillazione illecita di modelli.
Anthropic precisa che tutti i casi coinvolgevano i modelli Claude Haiku, Sonnet e Opus, e che nessuno riguardava le famiglie Fable o Mythos, dotate di salvaguardie rinforzate — a eccezione di un singolo caso di distillazione illecita.
Accanto al caso yemenita, il report documenta, tra gli altri:
- GTG-20006 (Russia / Midnight Blizzard): una campagna di spionaggio informatico durata oltre 130 giorni contro almeno 24 istituzioni ucraine ed europee — ministeri della difesa, ambasciate, fornitori della filiera dei droni militari — con workflow AI capaci di ricostruire e ridistribuire autonomamente il proprio malware ogni volta che veniva rilevato dai sistemi di difesa;
- GTG-10007 (Cina, Hunan): un gruppo di lingua cinese, in parte composto da studenti universitari, che ha impiegato Claude come livello di orchestrazione per ricerca di vulnerabilità zero-day su apparati di sicurezza di rete, ricognizione contro reti governative in Medio Oriente, Europa e Sud-est asiatico, e una piattaforma di raccolta OSINT su fonti militari statunitensi;
- le unità di sicurezza interna iraniane, che hanno utilizzato Claude per profilare oltre 155.000 utenti su X/Twitter e produrre analisi open-source relative al posizionamento della flotta navale statunitense, oltre a integrare l’AI nell’ingegneria di droni autonomi, guerra elettronica e procurement militare;
- una rete di disinformazione elettorale in Malesia, gestita da una società turca come servizio di “influence-as-a-service” di livello “militare”, capace di profilare gli elettori su base etnica, religiosa e monarchica in tutti i 222 collegi parlamentari del Paese;
- un’operazione di disinformazione russa nella Repubblica Centrafricana, riconducibile alla rete Africa Corps/Wagner e alla galassia dei servizi di intelligence esteri (SVR), che utilizzava Claude per la produzione quotidiana di contenuti radiofonici e la gestione delle risorse umane della redazione, inclusi contratti di “lealtà” politica generati dal modello.
Ciò che accomuna questi casi, secondo la lettura che Anthropic stessa propone, è il passaggio dell’AI da strumento di assistenza a livello di orchestrazione autonoma dell’intera catena operativa: ricognizione, sviluppo di strumenti, esecuzione e persino auto-correzione in caso di rilevamento da parte dei difensori. Il caso yemenita rappresenta, nella sezione dedicata alle armi convenzionali, l’equivalente cinetico di questa stessa dinamica osservata nel dominio cyber.
Missili Houthi e AI: le implicazioni per la sicurezza nazionale
Dal punto di vista di un analista intelligence, il caso GTG-87001 pone almeno quattro questioni strutturali che travalicano il singolo episodio.
Quando la sofisticazione non basta più per l’attribuzione
Per decenni, gli analisti hanno usato il livello di sofisticazione tecnica di un’operazione come euristica per stimare chi ci fosse dietro: tecniche complesse suggerivano attori statali o ben finanziati, tecniche rudimentali suggerivano attori minori. Il report Anthropic certifica che questa euristica si sta erodendo rapidamente: un hacktivista solitario, un gruppo criminale finanziariamente motivato e un operatore di spionaggio state-nexus mostrano ormai metodologie sovrapponibili, rese possibili dagli stessi strumenti agentici.
Per la comunità di threat intelligence, ciò significa che la sofisticazione non è più un segnale affidabile di attribuzione: bisogna spostare l’attenzione sull’intento e sul contesto operativo, non sulla sola competenza tecnica dimostrata.
La proliferazione diventa un rischio sistemico
Il fatto che un gruppo armato non statale, sottoposto a pressione sulla catena di approvvigionamento, sia riuscito a impostare tre programmi di sviluppo missilistico paralleli con il supporto di un modello linguistico commerciale è un segnale che dovrebbe essere integrato nelle valutazioni di proliferazione delle agenzie di controllo degli armamenti e delle comunità di export control.
Il rischio, per gli anni a venire, non è che un singolo laboratorio d’AI venga aggirato una volta, ma che le tecniche di aggiramento — jailbreak, framing “accademico” o “difensivo” delle richieste, frammentazione dei task in sotto-task apparentemente innocui — diffondano orizzontalmente tra attori di natura molto diversa, esattamente come osservato nel dominio cyber con la proliferazione di framework offensivi open-source come PentAGI.
Le safeguard di Claude e i loro limiti
È significativo che, in più casi documentati nello stesso report — incluse le operazioni di disinformazione in Centrafrica e in Malesia — Claude abbia rifiutato le richieste più esplicitamente dannose (ad esempio la produzione di dossier diffamatori con nomi reali, o contenuti riconducibili esplicitamente a operazioni psicologiche), costringendo gli operatori a riformulare le richieste in termini più ambigui per ottenere comunque un risultato utilizzabile.
Questo dimostra che le misure di sicurezza incorporate nei modelli funzionano, ma non sono impermeabili: rallentano, filtrano parzialmente, ma non impediscono in assoluto a un attore determinato di ottenere un’utilità operativa netta, specie quando il compito viene scomposto in passaggi tecnicamente neutri (debug di codice, ottimizzazione di un algoritmo di controllo) che, presi singolarmente, non attivano i medesimi meccanismi di rifiuto attivati da una richiesta esplicitamente etichettata come bellica.
La trasparenza dei vendor come intelligence pubblica
Un ultimo elemento, di natura più politico-industriale che tecnica, merita attenzione: la scelta di Anthropic di pubblicare sistematicamente, con cadenza semestrale/trimestrale, report di threat intelligence dettagliati fino al livello di indicatori di compromissione (IOC), TTP e in alcuni casi anche attribuzioni nominali, rappresenta un modello di condivisione informativa più vicino a quello delle società di cybersecurity (Mandiant, Microsoft Threat Intelligence, CrowdStrike) che a quello tradizionale dei laboratori di AI.
Per il settore difesa e per i governi, questo significa che i grandi laboratori di modelli linguistici stanno diventando, di fatto, fonti primarie di threat intelligence su scala geopolitica — un ruolo che pone interrogativi non banali su governance, condivisione con le agenzie statali, e limiti di quanto queste aziende debbano o possano rivelare senza compromettere le proprie stesse indagini in corso.
Claude Code e proliferazione: la sfida europea del dual use
Il caso della cellula yemenita non dimostra che l’intelligenza artificiale generativa “crei” armi dal nulla, né che la minaccia missilistica Houthi sia oggi qualitativamente superiore a quella pre-esistente: Anthropic stessa è cauta nel sottolineare l’assenza di evidenze di un sistema d’arma effettivamente operativo.
Ma proprio per questo il caso è utile: mostra con chiarezza dove si colloca oggi il reale contributo marginale dell’AI ai programmi di proliferazione — non nella conoscenza teorica, già ampiamente disponibile, ma nella velocità di implementazione, nella capacità di supplire a competenze ingegneristiche scarse e nella riduzione dei tempi tra fallimento e correzione in un ciclo di sviluppo iterativo.
Per la comunità italiana ed europea di policy, sicurezza e industria tecnologica, la lezione operativa è duplice. Da un lato, occorre integrare stabilmente il monitoraggio dell’uso improprio dell’AI generativa nelle valutazioni di minaccia relative a teatri di crisi già noti — Mar Rosso, Sahel, Europa orientale — trattando i report dei vendor come fonte di intelligence a tutti gli effetti, da incrociare con le fonti classiche SIGINT, HUMINT e OSINT.
Dall’altro, il caso conferma l’urgenza di un dibattito, ancora acerbo in sede europea, su come regolamentare l’accesso a capacità AI a duplice uso (dual-use) senza al contempo soffocare l’innovazione legittima: la stessa capacità di scrivere e correggere codice di controllo che una cellula armata ha usato per un razzo guidato è, letteralmente, la stessa che ogni giorno milioni di sviluppatori legittimi impiegano per costruire sistemi di navigazione, robotica civile e droni per l’agricoltura di precisione.
Distinguere l’uso lecito da quello illecito a monte, prima che il danno sia fatto, resta la sfida tecnica e normativa più difficile — e più urgente — dell’intero ecosistema dell’AI agentica.
Partecipa alla community