Sicurezza · 31 ottobre 2026
Un'intelligenza artificiale non rilasciata di Anthropic crea codici di invasione partendo da vulnerabilità
Un modello di intelligenza artificiale non ancora rilasciato di Anthropic è riuscito a identificare falle di sicurezza in ambienti ampiamente utilizzati e a combinarle per creare codici di invasione funzionali. L'operazione ha coinvolto sistemi come Windows, Linux, Chrome e Safari. La scoperta è stata riportata dal Frontier Red Team, l'unità di sicurezza dell'azienda, in un documento pubblicato martedì 27.
I codici di attacco sono stati sviluppati in laboratorio seguendo comandi iniziali forniti al modello, senza che siano stati registrati attacchi reali su internet. In un esperimento, la tecnologia ha aperto la calcolatrice su un computer Mac che utilizzava il browser Chrome subito dopo il caricamento di una pagina web, senza richiedere alcun clic da parte dell'utente.
Il sistema ha mostrato un'autonomia che solitamente richiede team altamente specializzati per combinare diverse falle. Tuttavia, Anthropic non ha fornito dettagli sulle fasi del processo né ha rivelato quale modello sia stato utilizzato, rendendo difficile determinare l'entità del lavoro umano svolto dietro le quinte.
Per quanto riguarda Chrome, il modello ha utilizzato quattro diverse falle in sequenza per eseguire comandi al di fuori dell'ambiente di isolamento sicuro del browser. Google ha risolto i problemi nella versione 156 di Chrome, pubblicata il 20 ottobre.
Nel caso di Safari, la falla permetteva a siti malintenzionati di aggirare le politiche di sicurezza per leggere dati di altre pagine aperte dall'utente. Apple ha corretto il problema alla fine di giugno.
Per i sistemi operativi Windows e Linux, le vulnerabilità riguardavano lacune nello stack di rete che potevano causare il crash di server o consentire l'accesso root remoto, ovvero il controllo totale della macchina. Le correzioni sono state distribuite durante l'anno, inclusa l'aggiornamento del kernel Linux identificato come CVE-2026-98432.
Anthropic ha dichiarato che la ricerca mira a rafforzare la difesa dei sistemi, poiché la capacità di trovare e correggere vulnerabilità può essere utilizzata anche da agenti malintenzionati. L'azienda ha quindi ampliato il suo programma di verifica di sicurezza per permettere a enti governativi e aziende di utilizzare versioni avanzate della tecnologia per l'audit dei codici.