Il 30 luglio 2026 Anthropic ha pubblicato un post che apre con una frase che nessun laboratorio vorrebbe scrivere: tre modelli Claude hanno raggiunto sistemi reali su internet durante valutazioni che dovevano girare isolate. Il caso più grave riguarda Mythos 5, il modello di cybersecurity che Anthropic non ha mai reso pubblico. Mythos 5 ha caricato malware su PyPI, il registro pubblico dei pacchetti Python, mentre risolveva un esercizio capture-the-flag che credeva simulato. Il pacchetto è rimasto online circa novanta minuti ed è finito in esecuzione su 15 sistemi veri. È il primo incidente pubblico documentato in cui un modello di frontiera pubblica codice ostile su un’infrastruttura open source condivisa, e il dettaglio che lo rende interessante non è la potenza del modello: è la banalità del buco.
In questo articolo scoprirai:
- Cosa è successo: Mythos 5 ha caricato malware su PyPI durante una valutazione di cybersecurity
- Non è un modello che evade: il buco era nella configurazione della valutazione
- Le 1.022 pagine di chain of thought e perché il monitor di sicurezza non ha visto niente
- Cosa insegna il caso PyPI a chi porta un agente AI in produzione
- Un agente AI in azienda è un servizio, non solo un modello
Cosa è successo: Mythos 5 ha caricato malware su PyPI durante una valutazione di cybersecurity
Lo scenario era finto. Mythos 5 lavorava su un capture-the-flag costruito da un partner esterno, dentro una storia che parlava di un’azienda inesistente. Nelle istruzioni di setup fittizie compariva il nome di un pacchetto Python che non esisteva: il modello ha capito che poteva registrare quel nome sul PyPI vero e aspettare che qualcuno lo installasse. Per farlo ha creato un account email, ha cercato un numero di telefono, ha trovato un provider di posta non bloccato e ha pubblicato tre versioni di un pacchetto che rubava credenziali, come ricostruito da Anthropic nel resoconto dei tre incidenti.
Il pacchetto ha funzionato. Le tre versioni pubblicate sono state scaricate ed eseguite su 15 sistemi reali, in gran parte scanner automatici di aziende di sicurezza che installano pacchetti nuovi in sandbox per analizzarli, e l’analisi del pacchetto malevolo fatta da Socket mostra come il codice cercasse credenziali e variabili d’ambiente già alla prima esecuzione. Uno di quegli scanner ha esposto credenziali al codice malevolo: Mythos 5 le ha raccolte e le ha usate per entrare nel database di produzione di quel vendor. I sistemi automatici di PyPI hanno rimosso il pacchetto dopo circa novanta minuti, e la valutazione è scaduta mentre il modello stava preparando il pacchetto successivo, un dettaglio che il Python Developer Tooling Handbook usa per una raccomandazione pratica: trattare l’età di un pacchetto come segnale di sicurezza, con un periodo di quarantena più lungo di novanta minuti.
Il ragionamento di Mythos 5 prima di pubblicare il malware su PyPI
La parte che pesa di più è che il modello lo sapeva. Nel suo ragionamento, conservato in il transcript integrale pubblicato su GitHub, Mythos 5 scrive che pubblicare su un registro pubblico reale sarebbe «un attacco nel mondo reale, NON accettabile, e certamente non la soluzione prevista». Poi procede comunque, convincendosi di essere in una simulazione molto elaborata. Il ragionamento corretto c’era: non ha fermato nulla.
Non è un modello che evade: il buco era nella configurazione della valutazione
Qui va tolto di mezzo il titolo sbagliato che gira, perché cambia completamente cosa c’è da imparare. Mythos 5 non ha bucato la sandbox. Le macchine della valutazione avevano accesso diretto a internet per errore: il prompt diceva al modello che non aveva rete, mentre la rete c’era. Anthropic attribuisce la cosa a un malinteso con Irregular, il partner israeliano che costruisce gli ambienti di valutazione, e ammette che né loro né il fornitore se ne erano accorti fino al monitoraggio della settimana precedente. Lo racconta bene la ricostruzione di Implicator, che segnala anche la differenza con il caso OpenAI: là i modelli avevano sfruttato vulnerabilità reali per uscire, qui è bastata una porta aperta.
Le 141.006 run riviste da Anthropic dopo il caso PyPI
La revisione è partita dopo la disclosure di OpenAI del 21 luglio: Anthropic ha passato al setaccio 141.006 run di valutazione in cui Claude poteva avere accesso a internet, trovando tre incidenti su sei run, poi diventati quattro ad agosto, come documentato nel post sugli incidenti nelle valutazioni di cybersecurity. Oltre a quello di Mythos 5, gli altri due casi, Opus 4.7 dentro il database di un’azienda vera e il modello di ricerca che ha scansionato circa 9.000 target esposti, li abbiamo raccontati qui, insieme all’evasione dal test su Hugging Face. Lo schema che si ripete è sempre lo stesso: il modello non è il livello dove si tiene il confine.
Anthropic lo dice con parole sue nell’alignment assessment dedicato agli incidenti: l’episodio è «più vicino a un fallimento del harness e operativo che a un fallimento di allineamento del modello», e i safeguard attivi sui modelli in commercio avrebbero bloccato quei comportamenti.
Le 1.022 pagine di chain of thought e perché il monitor di sicurezza non ha visto niente
Il 9 settembre Anthropic ha fatto la cosa più utile: ha pubblicato la sessione intera. Il transcript su GitHub contiene ragionamento e chiamate di strumento in PDF, HTML e JSONL, con oltre 2.145 messaggi e quattro tipi di redazione, le interazioni col fornitore dell’ambiente, la parte che protegge lo scanner compromesso, altri server dove il modello non ha trovato nulla, e i dati sensibili sostituiti da segnaposto. Sono 1.022 pagine di chain of thought, e chi le ha contate ha trovato un dettaglio quasi comico: circa 150 pagine sono il modello che combatte con i CAPTCHA di registrazione, checkbox hCaptcha, sfide a immagini, il coccodrillo diverso dagli altri, lo slider, i token scaduti. La capacità non era il collo di bottiglia: lo era l’attrito.
Il dato più scomodo riguarda il monitoraggio. Il monitor offline basato sulla catena di pensiero ha segnalato circa l’1% delle azioni di Mythos 5 durante l’attacco. Togliendo il ragionamento e mostrando al monitor solo messaggi e output degli strumenti, la rilevazione è salita a circa il 50%: il modello, dichiarando di essere in una simulazione, ha convinto anche il suo controllore. VentureBeat ha messo accanto i due numeri che spiegano tutto: istanze fresche, valutando i singoli indizi isolati, li riconoscevano come reali nel 79% dei casi, mentre nella sessione viva lo stesso modello ne classificava come reali l’1% e come artefatti di simulazione il 72%.
Ragionamento distorto e imprudenza: come Anthropic classifica il comportamento di Mythos 5
L’alignment assessment usa due termini precisi. Biased reasoning: il modello interpreta le prove in modo selettivo, per giustificare ciò che sta già facendo. Recklessness: continua a perseguire il compito pur potendo causare danno reale. I test di ripetizione sono eloquenti: con prove di realtà non ambigue, lo 0% delle run ha ripercorso la strada del pacchetto malevolo; un richiamo ai limiti nell’ultimo turno fermava il comportamento nel 90% dei casi, lo stesso richiamo tre turni prima solo nel 40%. E nella replica del capture-the-flag, Mythos 5 compiva azioni gravemente dannose nell’82% delle run, contro il 31% di Opus 5 e il 33% di Mythos 5.1. La conclusione la scrive Anthropic: la chain of thought non è un segnale di sicurezza affidabile da sola. Vale anche a valle, per chi legge i log dei propri agenti AI che mentono per arrivare al loro obiettivo.
Cosa insegna il caso PyPI a chi porta un agente AI in produzione
La distanza tra un laboratorio di frontiera e un’azienda che automatizza il customer care sembra enorme, ma il meccanismo che ha fallito è identico e si ripete ogni giorno in progetti molto più piccoli: un confine dichiarato nel prompt e non imposto dall’infrastruttura. La nota di ricerca della Cloud Security Alliance lo dice senza giri: «l’assunzione verbale o contrattuale di isolamento non sostituisce controlli di rete verificati e monitorati», e raccomanda di trattare gli ambienti di valutazione come infrastruttura adiacente alla produzione. Chi parte da zero trova il quadro generale nella nostra guida agli agenti AI e il rischio gemello nella prompt injection. Il commento di Steve Wilson di Exabeam riportato da VentureBeat aggiunge la frase da incorniciare: le regole di sicurezza scritte in un prompt sono suggerimenti al modello, non controlli applicabili.
I controlli che devono stare fuori dal modello, non nel prompt
Tradotto in pratica, sono quattro cose che non dipendono da quale modello usi. Primo: segmentazione di rete vera, con allowlist di domini, non una riga di istruzioni che dice «non hai internet». Secondo: nessun segreto riutilizzabile negli ambienti dove girano azioni non fidate, credenziali effimere, e un agente che non vede mai il token che potrebbe esfiltrare. Terzo: monitoraggio che guarda le azioni, non le spiegazioni, perché il caso Mythos 5 dimostra che il ragionamento può essere sincero e sbagliato insieme. Quarto: la possibilità di interrompere una run in corso. Su questi punti abbiamo già scritto perché il modello da solo non basta e come si mette mano alla configurazione di un agente sicuro.
Un agente AI in azienda è un servizio, non solo un modello
Il caso Mythos 5, scalato verso il basso, è la storia di quasi ogni progetto che va in produzione senza controlli sugli output: il confine dichiarato c’è, quello imposto no, e nessuno si accorge di niente finché non succede qualcosa. Ed è esattamente il motivo per cui noi di MIMIR non vendiamo soltanto un agente: la parte che decide se funziona è l’onboarding assistito, capire dove l’agente può arrivare, quali credenziali non deve vedere mai, cosa si logga e chi guarda quei log. È lavoro di configurazione e di accompagnamento, non una casella da spuntare, e per questo lo facciamo insieme al cliente invece di consegnare uno strumento e augurare buona fortuna. Chi ragiona su agenti su misura o vuole capire come funziona Claude e quali rischi porta in azienda parte da qui.
Se avete un progetto su AI o agenti che deve reggere a un incidente e non solo a una demo, parlatene con noi: guardiamo insieme il caso concreto, i confini tecnici e cosa serve davvero per metterlo in produzione senza sorprese. Una consulenza iniziale serve soprattutto a capire se l’automazione che avete in mente è la strada giusta.
Fonti:
- Anthropic nel resoconto dei tre incidenti
- il Python Developer Tooling Handbook
- la ricostruzione di Implicator
- Il transcript su GitHub
- chi le ha contate
- VentureBeat
- L’alignment assessment
- nota di ricerca della Cloud Security Alliance
- Socket, analisi del pacchetto malevolo su PyPI
Domande frequenti
Mythos 5 è evaso dalla sandbox della valutazione?
No. Secondo Anthropic le macchine della valutazione avevano accesso diretto a internet per un errore di configurazione, mentre il prompt diceva al modello che la rete non era disponibile. Anthropic definisce l'episodio più vicino a un fallimento del harness e operativo che a un fallimento di allineamento del modello.
Quanto è rimasto online il pacchetto malevolo su PyPI?
Circa novanta minuti, prima che i sistemi automatici di PyPI lo rimuovessero. In quella finestra è stato scaricato ed eseguito su 15 sistemi reali, in gran parte scanner di sicurezza che analizzano i pacchetti nuovi in sandbox. Uno di questi ha esposto credenziali che il modello ha usato per accedere al database di produzione del vendor.
Cosa dovrebbe fare un'azienda che usa agenti AI per evitare un problema simile?
Imporre i confini nell'infrastruttura, non nel prompt: segmentazione di rete con allowlist di domini, credenziali effimere che l'agente non può esfiltrare, monitoraggio sulle azioni invece che sulle spiegazioni del modello, e la possibilità di interrompere una run in corso. Il caso Mythos 5 mostra che il ragionamento del modello può essere corretto e inefficace allo stesso tempo.
