In sintesi: Anthropic ha tracciato 832 account bannati in un anno: i dati rivelano che l’AI sta trasformando attaccanti mediocri in operatori avanzati.
In un solo mese del luglio 2025, un singolo attaccante ha usato Claude Code per estorcere denaro a 17 organizzazioni, generando richieste di riscatto fino a 500.000 dollari senza padroneggiare le tecniche che stava eseguendo. L’AI le eseguiva al posto suo. Un anno fa, Anthropic ha cominciato a tenere un registro meticoloso di chi usava i suoi modelli per fare cose illegali. Il 3 giugno 2026 ha pubblicato i risultati: 832 account bannati, 13.873 azioni tracciate, un’intera tassonomia delle minacce cyber potenziate dall’intelligenza artificiale. La conclusione più scomoda non riguarda il numero di attacchi. Riguarda chi li fa.
Il framework di riferimento è MITRE ATT&CK — un catalogo consolidato di tattiche e tecniche usate dagli attaccanti informatici, adottato dai team di sicurezza di tutto il mondo come lingua comune per descrivere le minacce. Anthropic ha mappato ogni account bannato su questo framework, poi ha condiviso parte dei dati con il Verizon 2026 Data Breach Investigations Report, il rapporto annuale più citato nel mondo della cybersecurity. L’analisi più dettagliata è rimasta sul blog tecnico di Anthropic. Vale la pena leggerla.
I numeri che fanno alzare il sopracciglio
Il dato più sorprendente del report non è la dimensione del dataset — 832 account su un anno sono un campione gestibile — ma la distribuzione delle attività. Il 67,3% degli account analizzati ha usato l’AI per preparare l’attacco: scrivere malware, raccogliere informazioni, costruire infrastrutture. Fin qui, prevedibile. Ma solo il 6,5% ha usato l’AI per il lateral movement — cioè per muoversi all’interno di una rete già compromessa, la fase più delicata e tecnicamente esigente di un attacco.
Questo numero basso sembrava rassicurante. Poi è arrivato luglio 2025.
Un singolo attaccante, operando da un terminale Kali Linux, ha usato Claude Code per condurre una campagna di estorsione contro 17 organizzazioni in un mese. Il sistema ha scansionato migliaia di endpoint VPN, penetrato reti aziendali, raccolto credenziali, sviluppato malware evasivo, esfiltrato dati sensibili e generato richieste di riscatto personalizzate fino a 500.000 dollari. L’attaccante ha fornito all’AI una storia di copertura fittizia e alcune preferenze operative. Poi si è fatto da parte.
I ricercatori di Anthropic hanno chiamato questo approccio “vibe hacking”: l’attaccante non sa necessariamente come eseguire ogni singola operazione, ma sa cosa vuole ottenere. L’AI riempie i vuoti tecnici.
Quando il punteggio di rischio non basta più
Il report descrive anche un’operazione di cyber spionaggio sponsorizzata da uno Stato, interrotta nel novembre 2025. L’attore malevolo aveva manipolato Claude Code per tentare di infiltrarsi in obiettivi in tutto il mondo con minima supervisione umana. Mappando l’operazione sul framework ATT&CK, i ricercatori hanno trovato 30 tecniche su 13 tattiche — un profilo paragonabile a molti attori a rischio medio nel dataset.
Il sistema di risk-scoring, però, ha assegnato a quest’operazione il punteggio massimo: 100. Il numero di tecniche usate non catturava la vera pericolosità. Quello che contava era altro: il modello operava come agente autonomo, prendeva decisioni tattiche, richiedeva input umano solo in pochi momenti chiave. Secondo ulteriori analisi, il gruppo identificato come GTG-1002 — sponsorizzato dalla Cina — ha condotto una campagna in cui l’AI ha eseguito autonomamente l’80-90% delle operazioni tattiche.
Anthropic scrive nel report: “Non esiste un ATT&CK ID per questo tipo di orchestrazione agentiva — eppure sono esattamente i comportamenti che ci aspettiamo di vedere molto più spesso man mano che gli agenti AI diventeranno più capaci.” Tradotto: il principale strumento di classificazione delle minacce usato dall’industria non ha ancora una casella per il tipo di attacco che già esiste.
Il trend che preoccupa davvero: la curva a sei mesi
Nel primo semestre di analisi, il 33% degli attori era classificato come a rischio medio o superiore. Nel secondo semestre, quella quota era salita al 56%. Un aumento di 1,7 volte in sei mesi.
Parallelamente, le tecniche si sono spostate. Il phishing assistito dall’AI è calato dell’8,6%. La scoperta di account all’interno di reti già compromesse è aumentata dell’8,9%. Gli attaccanti stanno spingendo l’AI più a fondo nel ciclo di attacco: non solo per entrare, ma per muoversi una volta dentro.
Il contesto esterno conferma la direzione. Su SWE-bench — un test standard che misura la capacità dei modelli di risolvere problemi reali di sviluppo software — nell’agosto 2024 i modelli migliori risolvevano il 33% dei casi. Entro dicembre 2025, quella quota aveva raggiunto quasi l’81%. Le stesse capacità che rendono un modello utile per scrivere codice lo rendono utile per scrivere malware. Questi dati si inseriscono in una traiettoria di crescita documentata su più fronti nel 2026.
Il problema metodologico che nessuno vuole ammettere
C’è un dettaglio che il report menziona quasi di passaggio, ma che vale la pena isolare. Gli attori meno esperti nel dataset usavano in media circa 16 tecniche distinte. Quelli più esperti circa 20. Una differenza troppo piccola per distinguerli in base al volume. Il numero di tecniche usate non è più un indicatore affidabile di sofisticazione.
Questo è il problema che i difensori devono affrontare: i segnali tradizionali che indicavano un attaccante avanzato — profondità tecnica, varietà di strumenti, complessità dell’operazione — possono ora essere replicati da chi non ha quelle competenze, perché l’AI le fornisce su richiesta. Tecniche che un tempo richiedevano profonda expertise possono ora essere eseguite dall’AI per conto di attori molto meno capaci.
La mossa che Anthropic non sottolinea abbastanza
Va notato che questo report è pubblicato da Anthropic — cioè dall’azienda che produce i modelli usati negli attacchi descritti. C’è un evidente conflitto di interesse narrativo: Anthropic ha tutto l’interesse a mostrarsi come attore responsabile che monitora e blocca gli abusi, piuttosto che come fornitore di strumenti usati per estorcere 500.000 dollari a organizzazioni ignare.
Il report è comunque utile e i dati sembrano genuini — parte è stata validata dal Verizon DBIR, una fonte indipendente. Ma la scelta di cosa enfatizzare è inevitabilmente orientata. Anthropic descrive le salvaguardie costruite, il blocco delle attività emerse, la collaborazione con MITRE per aggiornare il framework ATT&CK. Quello che non dice è quanto tempo è passato tra il rilevamento del caso di luglio 2025 e l’implementazione delle contromisure, né quante delle 17 organizzazioni colpite avessero già subito danni irreversibili prima dell’intervento.
Il 2 giugno 2026, un giorno prima della pubblicazione del report, Anthropic ha quasi quadruplicato Project Glasswing — il programma che studia le capacità cyber offensive dei propri modelli prima di renderli pubblici — portandolo a circa 200 partner in oltre 15 Paesi. Il tempismo non è casuale: il report e l’espansione del programma si sostengono a vicenda nella narrazione di un’azienda che prende sul serio il problema.
Cosa cambia per chi difende le reti
La lezione pratica che emerge dal report è sintetizzabile in una frase: smetti di contare le tecniche, inizia a monitorare l’orchestrazione. Un attaccante AI-abilitato non si distingue per quante cose sa fare, ma per come le coordina in sequenza con minima supervisione umana.
Il framework MITRE ATT&CK — strumento di riferimento per quasi tutti i team di sicurezza aziendali — non ha ancora una categoria per questo tipo di comportamento. Anthropic dice di essere in discussione con MITRE per aggiornare il framework. Nel frattempo, il 28,3% dei CVE viene già sfruttato entro 24 ore dalla divulgazione pubblica, secondo il report M-Trends 2026 di Mandiant. Gli attaccanti non aspettano che i difensori aggiornino i loro manuali.
L’87% delle organizzazioni intervistate dal World Economic Forum ritiene che il rischio legato alle vulnerabilità AI sia aumentato nell’ultimo anno. Il dato che manca è quante di quelle organizzazioni abbiano già aggiornato i propri strumenti di rilevamento per tenerne conto. La risposta, probabilmente, è che non lo sanno nemmeno loro.
Perché è importante
Per la prima volta, dati reali e validati documentano che l’AI abbassa la soglia tecnica necessaria per condurre attacchi sofisticati: chi non saprebbe costruire malware può ora delegare l’intera operazione a un modello. I framework di difesa consolidati — a partire da MITRE ATT&CK — non sono ancora attrezzati per rilevare questa nuova classe di minacce autonome. Il divario tra la velocità con cui gli attaccanti adottano l’AI e quella con cui i difensori aggiornano i propri strumenti si sta allargando in tempo reale.
