Il governo statunitense ha ordinato ad Anthropic di sospendere i suoi modelli più recenti, Claude Fable 5 e Mythos 5, per timore che possano essere utilizzati in modo improprio da soggetti ostili.
Secondo quanto riportato da Reuters, Anthropic ha dichiarato che "disattiverà immediatamente" i suoi modelli di IA più avanzati per tutti gli utenti, dopo che il governo statunitense le ha ordinato di sospendere l'accesso a tali modelli per i cittadini stranieri, adducendo motivi di sicurezza nazionale.
Secondo quanto riferito, i responsabili ritengono che un'evasione dal sistema di sicurezza potrebbe trasformare Fable 5 e Mythos 5 in strumenti di individuazione delle vulnerabilità per gli avversari; pertanto, Anthropic afferma che li disattiverà a livello globale piuttosto che tentare di filtrare l'accesso in base alla nazionalità, poiché è praticamente impossibile verificare la nazionalità di ogni utente.
In una dichiarazione pubblicata sul proprio sito web, Anthropic afferma:
«La lettera non forniva dettagli specifici riguardo alle preoccupazioni in materia di sicurezza nazionale. A quanto ci risulta, il governo ritiene di essere venuto a conoscenza di un metodo per aggirare, o “sbloccare”, Fable 5. Abbiamo esaminato una dimostrazione di questa tecnica specifica utilizzata per individuare un numero limitato di vulnerabilità minori già note. Tali vulnerabilità appaiono tutte relativamente semplici e abbiamo riscontrato che anche altri modelli disponibili al pubblico sono in grado di individuarle senza bisogno di aggirare le protezioni.»
Mythos 5 è la versione completa non destinata al pubblico, attualmente utilizzata solo da enti governativi e da alcuni partner aziendali selezionati per rafforzare la sicurezza dei propri sistemi. Fable 5 è un modello della classe Mythos che dovrebbe essere sicuro per l'uso generale.
Mi sembra logico che, se Fable 5 è facile da "sbloccare", dovrebbe essere soggetto alle stesse restrizioni di Mythos 5. Tuttavia, Anthropic sostiene che il modello sia dotato di meccanismi di protezione integrati, per cui le richieste su determinati argomenti riceveranno invece una risposta dal modello successivo per capacità, ovvero Claude Opus 4.8.
I rapporti tra il governo statunitense e Anthropic avevano mostrato segni di distensione in alcuni settori dell'amministrazione dopo le tensioni relative all'uso militare, alla sorveglianza e alle armi autonome. A marzo, il segretario alla Difesa Pete Hegseth ha definito l'azienda con sede a San Francisco un «rischio per la sicurezza nazionale nell'ambito della catena di approvvigionamento».
Per comprendere la natura della questione, è necessario tenere presente che Mythos 5 è descritto in numerose relazioni come particolarmente efficace nell'individuare le vulnerabilità dei software, compresi i bug di lunga data presenti in sistemi complessi e obsoleti, come quelli utilizzati nel settore bancario e in altre infrastrutture critiche. Molti lo considerano uno strumento a duplice uso: ottimo per rafforzare la sicurezza, ma potenzialmente catastrofico se finisse nelle mani sbagliate.
Negli ultimi aggiornamenti rilasciati dai principali fornitori di software, come Microsoft e Google, abbiamo assistito a un aumento del numero di vulnerabilità corrette da quando questi fornitori hanno iniziato a utilizzare la ricerca guidata dall'intelligenza artificiale per individuare nuove vulnerabilità nei propri prodotti. Sappiamo inoltre che Mozilla ha individuato oltre270 vulnerabilità in Firefoxgrazie al nuovo modello Claude Mythos di Anthropic.
Cosa significa questo
Se finissero nelle mani sbagliate, queste vulnerabilità potrebbero sicuramente causare gravi danni. Sembra quindi che ci vorrà ancora un po' di tempo prima che gli utenti comuni e gli sviluppatori possano accedere pienamente a Fable 5 e Mythos 5. Tuttavia, i modelli Anthropic esistenti (le varianti precedenti di Claude) rimangono disponibili.
Per gli utenti privati che si limitavano a chattare con Claude o a utilizzarlo per semplici operazioni di scripting, il cambiamento si tradurrà principalmente in un messaggio del tipo «questa versione specifica non è disponibile», piuttosto che in un'interruzione generalizzata dei servizi di IA.
Togliere dalla circolazione un modello di alto livello per l'individuazione delle vulnerabilità non complica poi così tanto il lavoro dei cybercriminali con risorse limitate che cercano di automatizzare l'individuazione di bug complessi nei software e nei servizi destinati al grande pubblico. Sul mercato nero sono disponibili altri modelli che potrebbero rivelarsi altrettanto efficaci. E per la maggior parte dei cybercriminali, trasformare una vulnerabilità in un metodo da utilizzare in un exploit è molto più importante.
Non ci limitiamo a segnalare le minacce, ma le eliminiamo.
I rischi per la sicurezza informatica non dovrebbero mai diffondersi al di là di un titolo di giornale. Tenete le minacce lontane dai vostri dispositivi scaricando Malwarebytes oggi stesso.
