modelli che trovano vulnerabilità

Per anni abbiamo pensato all’AI come a uno strumento capace di scrivere codice.

Ora stiamo entrando in una fase diversa: modelli che trovano vulnerabilità software a un livello superiore rispetto alla maggior parte degli esperti umani.

Ed è proprio da qui che nasce Anthropic Project Glasswing.

Non come prodotto commerciale, ma come iniziativa di sicurezza preventiva.

Attorno al progetto sono state coinvolte aziende come Amazon Web Services, Apple, Google, Microsoft, NVIDIA, Cisco e CrowdStrike.

Il motivo è abbastanza semplice: i modelli AI più avanzati stanno diventando estremamente efficaci nel trovare falle reali dentro software critici.

E in alcuni casi lo stanno facendo meglio degli esseri umani.

Cosa ha trovato Claude Mythos

Secondo quanto dichiarato da Anthropic, Claude Mythos Preview ha identificato migliaia di vulnerabilità zero-day durante le fasi di test.

Parliamo di vulnerabilità sconosciute agli stessi sviluppatori dei sistemi coinvolti.

Alcuni esempi sono particolarmente significativi.

Una vulnerabilità rimasta nascosta per 27 anni dentro OpenBSD, considerato uno dei sistemi operativi più sicuri al mondo.

Una falla vecchia di 16 anni in FFmpeg, libreria utilizzata praticamente ovunque per la gestione video.

E una catena di vulnerabilità nel kernel Linux che il modello avrebbe collegato autonomamente fino a ottenere escalation complete di privilegio.

La parte più importante è che, secondo Anthropic, il modello non si è limitato a segnalare anomalie.

Ha sviluppato autonomamente gli exploit necessari per sfruttarle.

Perché questa cosa cambia il quadro

Il punto interessante è che queste capacità non nascono specificamente per la cybersecurity.

Nascono dalla combinazione di ragionamento, coding avanzato, navigazione autonoma e capacità di analisi su sistemi complessi.

Ed è proprio questa convergenza che inizia a rendere i modelli molto più potenti anche nel contesto offensivo.

I benchmark pubblicati da Anthropic mostrano miglioramenti molto forti rispetto alle generazioni precedenti.

Su CyberGym, benchmark utilizzato per la riproduzione di vulnerabilità, Mythos Preview supera nettamente i modelli Claude precedenti.

Lo stesso vale per benchmark di agentic coding come SWE-bench e Terminal-Bench.

In pratica, le stesse capacità che rendono questi modelli ottimi programmatori li rendono anche estremamente efficaci nell’analizzare software vulnerabile.

Perché Anthropic ha creato Project Glasswing

La risposta di Anthropic non è stata rilasciare pubblicamente il modello.

È stata creare un ecosistema di difesa preventiva.

Con Project Glasswing, più di 40 organizzazioni che gestiscono infrastrutture critiche hanno ricevuto accesso controllato al sistema per analizzare codice open-source e software enterprise.

Anthropic ha anche annunciato oltre 100 milioni di dollari in crediti e finanziamenti dedicati alla sicurezza software e ai maintainer open-source.

Ed è un passaggio importante.

Perché gran parte dell’infrastruttura digitale mondiale si regge ancora su software mantenuto da team molto piccoli, spesso senza risorse adeguate per audit di sicurezza avanzati.

La parte più delicata

C’è però un aspetto che rende tutto questo molto diverso rispetto alle normali evoluzioni software.

Anthropic sta sostanzialmente dicendo che questi modelli sono già abbastanza potenti da diventare strumenti offensivi reali se distribuiti senza controlli.

Ed è probabilmente la parte più importante dell’intera vicenda.

Per anni il rischio AI nella cybersecurity è stato raccontato soprattutto in termini teorici.

Qui invece si parla di vulnerabilità reali trovate dentro sistemi reali.

Non è ancora uno scenario in cui l’AI sostituisce completamente i ricercatori di sicurezza. Però il livello di automazione raggiunto inizia chiaramente a cambiare gli equilibri del settore.

Cosa significa davvero

La cybersecurity ha sempre vissuto in un equilibrio instabile tra attacco e difesa.

Ogni nuova tecnologia migliora contemporaneamente entrambi i lati.

L’AI probabilmente non cambia questa dinamica di fondo.

Però la accelera enormemente.

Ed è questo il punto che emerge leggendo Project Glasswing: non stiamo più parlando soltanto di AI che scrive codice o automatizza task.

Stiamo iniziando a parlare di sistemi capaci di analizzare infrastrutture software complesse, trovare vulnerabilità profonde e costruire percorsi di exploit con livelli di autonomia sempre più elevati.

E probabilmente siamo ancora nelle fasi iniziali di questa transizione.

AI Disclosure

Contenuto sviluppato dall’autore con supporto AI per revisione editoriale e leggibilità.