La startup di cybersecurity Cathedral afferma di aver identificato, in meno di 12 ore, delle falle in software di terze parti utilizzati da Anthropic, l’editore del modello Claude. L’azienda conferma un accesso limitato ad alcuni sistemi interni, ma assicura che le conversazioni degli utenti e i componenti dei suoi modelli non sono stati consultati.
Gli agenti IA, cioè programmi capaci di concatenare diversi compiti in modo automatizzato, possono accelerare sia la ricerca di vulnerabilità che le capacità di attacco. Secondo un rapporto preliminare di Cathedral, una giovane società di cybersecurity, i suoi ricercatori hanno trovato delle vie d’accesso a diversi sistemi interni di Anthropic in meno di 12 ore. Consultato dal Washington Post, il documento menziona informazioni potenzialmente accessibili, in particolare resoconti di riunioni, dati salariali e scambi su Slack relativi ai modelli di IA avanzati dell’azienda.
Anthropic precisa che i ricercatori avevano passato diversi giorni a tentare, senza successo, di penetrare direttamente i suoi software. Si sarebbero poi rivolti a delle applicazioni professionali di terze parti vulnerabili. Le « meno di 12 ore » corrispondono quindi solo alla fase di ricerca fruttuosa, e non all’insieme dei tentativi. Secondo le informazioni pubblicate, l’accesso non sarebbe stato ottenuto attaccando direttamente Claude o la sua infrastruttura di addestramento, ma sfruttando dei software utilizzati per le attività commerciali e amministrative. Gli editori di questi software non sono stati identificati pubblicamente.
Un programma di divulgazione al centro della vicenda
Cathedral è stata fondata da ex membri del Department of Government Efficiency (DOGE), l’organismo dell’amministrazione Trump incaricato di ridurre la spesa pubblica. La società sviluppa capacità di cybersecurity basate sull’IA, in particolare per usi governativi. Afferma di aver condotto le sue ricerche nell’ambito del programma di divulgazione delle vulnerabilità di Anthropic, che autorizza ricercatori esterni a testare alcune protezioni e a segnalare le falle scoperte, e indica di aver comunicato i suoi risultati all’editore e ai fornitori interessati.
Un’ampiezza contestata
Anthropic riconosce che i ricercatori hanno raggiunto un perimetro limitato dei suoi sistemi commerciali, di risorse umane e informatiche. Coordinate professionali di clienti e partner, così come informazioni elementari su alcuni account utente, erano accessibili. Invece, l’azienda afferma che le conversazioni degli utenti con Claude, le risposte del modello, il codice sorgente e i parametri addestrati non sono stati consultati. Indica che i suoi meccanismi di monitoraggio avevano rilevato una parte dell’attività di Cathedral prima della segnalazione dei ricercatori, che ha bloccato gli accessi lo stesso giorno e disattivato i software interessati in attesa di correzioni da parte dei loro fornitori. Afferma infine di non disporre di alcun elemento che mostri che altri attori abbiano sfruttato le stesse vulnerabilità.
Le due società divergono sull’interpretazione dell’incidente. Cathedral presenta i suoi risultati come un avvertimento sulle capacità offensive emergenti dell’IA. Anthropic stima invece che la startup abbia esagerato le implicazioni delle sue scoperte per la sicurezza nazionale, e le rimprovera di non aver dichiarato l’insieme delle sue attività conformemente alle regole del programma di ricerca. Le informazioni pubblicate non permettono, a questo stadio, di concludere a una compromissione dei modelli di Anthropic. Stabiliscono tuttavia che un accesso limitato ad applicazioni professionali può esporre informazioni sensibili.
