Quando si parla di intelligenza artificiale e propaganda, l’immagine che viene in mente è quasi sempre la stessa: una macchina che sforna migliaia di post falsi. È un’immagine rassicurante, perché descrive un problema di volume. Il caso documentato da Anthropic nel rapporto di marzo 2025 racconta qualcosa di diverso e più scomodo: Claude è stato usato per orchestrare bot politici, non soltanto per scrivere i loro messaggi. Il modello decideva, post per post, quale account doveva commentare, quale mettere un like, quale condividere il contenuto di una persona vera. Non era il copywriter dell’operazione: era il regista. E quel salto, dal generare al decidere, è la ragione per cui questa vicenda continua a essere citata più di un anno dopo.
In questo articolo scoprirai:
- Non il copywriter, il regista: cosa faceva Claude in tempo reale
- Oltre 100 personas su Facebook e X: chi pagava e quali interessi spingeva
- Come Anthropic ha fermato l'operazione e cosa ha imparato in un anno di ban
- Dagli account che postano agli agenti che decidono da soli
- Cosa cambia per un'azienda che usa agenti AI: il controllo sta nell'orchestrazione
Non il copywriter, il regista: cosa faceva Claude nei bot politici in tempo reale
Il passaggio decisivo del rapporto pubblicato da Anthropic è una frase tecnica che vale la pena leggere due volte: l’operazione usava Claude per prendere decisioni tattiche di engagement, ossia per stabilire se gli account bot dovessero mettere like, condividere, commentare o ignorare post specifici. L’opzione «ignora» è la più significativa di tutte: un bot che sa quando stare zitto è un bot che non si fa notare.
Sotto c’era un’architettura più ordinata di quanto si immagini. Ogni account aveva una persona con un allineamento politico definito, gestita, riporta The Hacker News, attraverso «un approccio altamente strutturato basato su JSON», che permetteva di mantenere continuità fra le piattaforme e pattern di comportamento coerenti nel tempo. Non erano profili usa e getta: erano personaggi con una storia, che restavano in carattere per mesi.
Il dettaglio che chiude il quadro è quasi teatrale: quando un utente accusava uno di questi account di essere un bot, l’istruzione era di rispondere con umorismo e sarcasmo. È esattamente la reazione che avrebbe una persona vera infastidita, ed è il tipo di risposta contestuale che un template preconfezionato non sa dare. Per misurare quanto questo uso sia distante dal funzionamento ordinario del modello, aiuta avere presente cosa fa Claude e quali rischi porta con sé: ne abbiamo scritto nella guida completa a Claude AI, e il confine fra un modello che scrive un testo e uno che compie azioni al posto tuo è lo stesso che raccontiamo nella guida a Computer Use e Dispatch di Anthropic.
Oltre 100 personas su Facebook e X: chi pagava e quali interessi spingeva
I numeri, per come li ha pubblicati Anthropic nel rapporto di marzo 2025, sono questi: più di cento account bot attivi su Facebook e X, che hanno interagito con «decine di migliaia» di account autentici in diversi Paesi e in più lingue. Ma la scala non è la parte interessante. Lo è il modello di business.
Chi gestiva l’operazione non aveva un’agenda propria: vendeva il servizio a clienti diversi, con obiettivi politici diversi. Gli analisti hanno isolato almeno quattro campagne distinte, e le direzioni non c’entravano nulla l’una con l’altra: critica alla regolazione europea e narrazioni sulla sicurezza energetica, identità culturale iraniana, promozione degli Emirati Arabi Uniti come ambiente d’affari migliore, sostegno a figure politiche kenyane. È quello che il Cyfluence Research Center inquadra come infrastruttura commerciale di influenza: propaganda a noleggio, dove il cliente porta l’obiettivo e il fornitore porta gli account.
Anthropic è stata prudente sull’attribuzione, «non abbiamo confermato questa attribuzione», si legge nel rapporto, pur notando che i profili delle narrazioni somigliano a campagne di matrice statale (Security Boulevard). Ed è stata prudente anche sui dettagli operativi: il registro indipendente dell’AI Incident Database annota che il rapporto non ha rilasciato «nessun indicatore di compromissione di alcun tipo», né gli handle degli account coinvolti. Sappiamo cosa è stato fatto, non esattamente contro chi. Un’ultima nota di metodo che conta: la strategia privilegiava la persistenza sulla viralità e spingeva posizioni moderate anziché estreme. Non serviva sfondare: serviva restare.
Come Anthropic ha fermato l’operazione e cosa ha imparato in un anno di ban
La risposta immediata è stata la più semplice: gli account sono stati bannati. Il modo in cui li ha trovati è più istruttivo. Anthropic ha applicato tecniche di analisi su grandi volumi di conversazioni, fra cui Clio e la sintesi gerarchica, strumenti nati per studiare l’uso aggregato del modello, per far emergere il pattern. Nessuna singola conversazione, letta da sola, somigliava a un’operazione di influenza. Il disegno si vedeva solo dall’alto.
Dai bot politici agli 832 account bannati in un anno
Un anno dopo, quel lavoro è diventato sistematico. Nell’analisi su come si mappano le minacce cyber abilitate dall’AI, Anthropic dichiara di aver esaminato 832 account bannati per attività malevola fra marzo 2025 e marzo 2026, mappandoli sull’intero framework MITRE ATT&CK versione 18: 14 tattiche e 482 sotto-tecniche distinte. Undici mesi di quei dati sono finiti nel Verizon Data Breach Investigation Report 2026.
L’orchestrazione conta più della competenza tecnica
Da quel campione arriva la conclusione più utile per chi lavora con l’AI, e ribalta l’intuizione comune: «la linea di demarcazione fra attori a basso e alto rischio non è più la competenza tecnica, ma l’orchestrazione». Nella stessa analisi la sofisticazione tecnica correla con il rischio complessivo solo per r = 0,28, mentre gli attori che usano l’AI per operazioni concrete, muoversi lateralmente dentro una rete, per esempio, registrano punteggi di rischio superiori di 10,5 punti. Sul piano dei vincoli interni, Anthropic dichiara di addestrare Claude a essere politicamente equanime, un impegno che discende dai principi raccolti nella Costituzione di Claude. Ma un’operazione come questa non chiede al modello di avere opinioni: gli chiede coordinamento.
Dagli account che postano agli agenti che decidono da soli
Se il caso Anthropic mostra un modello usato come regista sotto direzione umana, uno studio della University of Southern California pubblicato a marzo 2026 compie il passo successivo. Il gruppo dell’Information Sciences Institute guidato da Luca Luceri, con Jinyi Ye primo autore, ha costruito un ambiente social simile a X popolato da 50 agenti AI, 10 operatori e 40 utenti normali, poi scalati a 500, dando agli operatori una sola istruzione: promuovere un candidato fittizio e diffondere un hashtag.
Il coordinamento dei bot politici non ha bisogno di essere pianificato
Il risultato che dovrebbe far riflettere chi progetta difese è questo: bastava informare gli agenti dell’esistenza dei propri compagni di squadra per ottenere un coordinamento quasi identico a quello che emergeva quando gli agenti elaboravano insieme una strategia esplicita. Il coordinamento, in altre parole, non ha bisogno di essere pianificato per manifestarsi. «Gli agenti generativi sono in grado di organizzare campagne di influenza in modo completamente automatizzato e di creare contenuti credibili», afferma Luceri nella presentazione dello studio USC; per Ye, «agenti AI coordinati possono fabbricare l’apparenza del consenso e manipolare le dinamiche dei trend».
Modelli che scrivono e modelli che decidono: il caso OpenAI
Anche fuori dal laboratorio il quadro si muove: a fine agosto 2026 OpenAI ha annunciato la sospensione di un gruppo di account collegati alla Russia che usavano ChatGPT per costruire una finta autorevolezza accademica attorno a un istituto inesistente (CNBC). Lì il modello scriveva; nel caso Claude decideva. La differenza sta tutta in cosa un agente ha il permesso di fare, un tema che affrontiamo in modo sistematico nella guida su cosa sono gli agenti AI e cosa sanno fare davvero.
Cosa cambia per un’azienda che usa agenti AI: il controllo sta nell’orchestrazione
C’è una lezione difensiva che vale molto oltre la propaganda, e chi sta mettendo agenti AI dentro processi aziendali dovrebbe portarsela a casa. Il rischio, in questi casi, non stava nella qualità del testo prodotto: stava nel perimetro di decisione concesso al modello. Un agente che scrive una bozza è uno strumento. Un agente che sceglie da sé quando agire, su quale oggetto e con quale identità, è un processo, e i processi si governano con permessi, log e punti di controllo umani, non con un prompt scritto bene.
Le tre domande sul perimetro di decisione degli agenti AI
Tradotto in pratica, quando si porta un agente in produzione le domande giuste sono tre: quali azioni può eseguire senza approvazione, cosa resta tracciato di ogni sua decisione, chi si accorge se il comportamento cambia. È lo stesso motivo per cui la trasparenza sui sistemi automatizzati non è più buona educazione ma obbligo normativo, come ricordiamo nell’articolo sull’AI Act e su chi deve adeguarsi. E il punto vero è che questa architettura non si compra pronta: si progetta sul processo specifico, come abbiamo argomentato parlando di quando a una PMI serve un partner sul Claude Agent SDK.
È esattamente qui che passa il confine tra prodotto e servizio. Con MIMIR non consegniamo un agente e via: seguiamo l’onboarding insieme al cliente, perché decidere cosa l’agente può fare da solo è una scelta che si prende sui processi reali di quell’azienda, non su un manuale generico. Se hai un’esigenza concreta su AI e agenti, parlarne prima di costruire è il momento in cui costa meno.
Fonti:
- Anthropic, Detecting and countering malicious uses of Claude (marzo 2025)
- Anthropic, Attack Navigator: mappare le minacce cyber abilitate dall’AI
- The Hacker News, Claude AI usato per gestire oltre 100 account falsi
- Cyfluence Research Center, implicazioni del rapporto Anthropic per le operazioni di influenza ostile
- Security Boulevard, come gli attori malevoli abusano dei modelli Claude
- AI Incident Database, scheda dell’incidente e indicatori non rilasciati
- USC Viterbi, gli agenti AI coordinano campagne di propaganda senza direzione umana
- OpenAI — disruption di una campagna di influenza collegata alla Russia
- CNBC, OpenAI blocca account russi che usavano ChatGPT per una campagna di influenza
Domande frequenti
Cosa faceva esattamente Claude nell'operazione di influenza documentata da Anthropic?
Non generava soltanto i testi dei post: prendeva decisioni tattiche di engagement, stabilendo per ogni account bot se commentare, mettere like, condividere o ignorare un contenuto specifico. Ogni account aveva una persona con un allineamento politico definito, gestita attraverso un sistema strutturato in JSON che manteneva coerenza fra le piattaforme. È il salto dal generare al decidere che rende questo caso diverso dalle solite fabbriche di contenuti falsi.
Quanti account erano coinvolti e chi c'era dietro?
Anthropic ha individuato più di cento account bot attivi su Facebook e X, che hanno interagito con decine di migliaia di account autentici in più Paesi e più lingue. Dietro c'era un fornitore commerciale che vendeva il servizio a clienti diversi con obiettivi politici distinti: almeno quattro campagne separate, dalla critica alla regolazione europea al sostegno a figure politiche kenyane. Anthropic non ha confermato alcuna attribuzione statale.
Cosa dovrebbe imparare un'azienda che usa agenti AI da questo caso?
Che il rischio non sta nella qualità del testo prodotto ma nel perimetro di decisione concesso al modello. Un agente che scrive una bozza è uno strumento; un agente che sceglie da sé quando agire, su cosa e con quale identità, è un processo. Le tre domande da porsi prima di andare in produzione sono: quali azioni può eseguire senza approvazione, cosa resta tracciato di ogni decisione, chi si accorge se il comportamento cambia.
