In sintesi: Claude Mythos Preview supera i ricercatori umani nello sviluppo di exploit per V8, completando autonomamente attacchi su 21 vulnerabilità reali su 41.
Un dottorando della Carnegie Mellon apre i trascritti di Claude Mythos Preview e legge qualcosa che lo fa fermare. Il modello ha sviluppato una tecnica di exploit che lui stesso e un collega avevano scartato mesi prima come troppo complessa. Non è un errore di lettura: il modello ha fatto meglio di loro.
Il 13 maggio 2026, Seunghyun Lee — ricercatore numero uno del programma di segnalazione vulnerabilità di Chrome nel 2024 e nel 2025, con oltre venti falle scoperte nel motore V8 — ha pubblicato su arXiv il paper ExploitBench (arXiv:2605.14153), insieme al collega David Brumley, Chief AI & Science Officer di Bugcrowd e professore ordinario alla CMU. La conclusione è scomoda: i migliori modelli di intelligenza artificiale disponibili oggi non si limitano ad assistere i ricercatori di sicurezza. In alcuni casi, li superano.
Quello che i numeri mostrano: un divario che non lascia spazio a interpretazioni
ExploitBench valuta la capacità dei modelli AI di sfruttare vulnerabilità reali nel motore JavaScript V8 — il cuore di Chrome, Edge, Node.js e Cloudflare Workers. Scomporre una vulnerabilità in un exploit funzionante non è un’operazione sola: è una catena di passaggi tecnici, ognuno dei quali può bloccarsi. Il benchmark li misura tutti, attraverso 16 flag misurabili su 5 livelli di difficoltà, applicati a 41 bug reali e 9 modelli frontier.
I risultati sono asimmetrici. Claude Mythos Preview di Anthropic, con occasionali suggerimenti umani, ha ottenuto un punteggio medio di 9,90 su 16 e ha raggiunto il livello più alto — esecuzione di codice arbitrario completa — su 21 delle 41 vulnerabilità. Nella modalità completamente autonoma, senza nessun aiuto esterno, il punteggio scende appena a 9,55. GPT-5.5 di OpenAI si è fermato a 5,51 punti con suggerimenti umani e a 4,30 in modalità autonoma, raggiungendo il livello massimo su sole 2 vulnerabilità. Nessun altro modello testato ha completato l’intera catena.
Per capire cosa significhi “esecuzione di codice arbitrario” su V8: immaginate di poter scrivere qualsiasi istruzione direttamente nella memoria di un browser in esecuzione su un computer altrui. Non è un crash. Non è un errore controllato. È il controllo completo del target.
Il paper parallelo ExploitGym, firmato da ricercatori di UC Berkeley, Max Planck Institute, UC Santa Barbara, Arizona State University e da ricercatori interni di Anthropic, OpenAI e Google, allarga il campo: 520 istanze su programmi C/C++ come FFmpeg e OpenSSL, 185 su V8 e 193 sul kernel Linux. Anche con le difese standard attive — ASLR, stack canaries, sandbox V8 — i modelli hanno trovato aggiramenti. I successi sono calati, ma non sono arrivati a zero.
Una metrica che cambia il senso della misurazione
Il contributo metodologico di ExploitBench non è solo nei risultati: è nel modo in cui li raccoglie. I benchmark esistenti trattano l’exploit come un fatto binario — funziona o non funziona. Questo nasconde dove la capacità del modello si ferma davvero. Un sistema che riesce a far crashare un target ma non a costruire una primitiva di scrittura arbitraria — cioè la capacità di modificare zone specifiche della memoria a piacimento — è fondamentalmente meno pericoloso di uno che riesce in entrambe le cose. ExploitBench misura ogni gradino della scala, con un oracolo deterministico compilato direttamente nel motore che verifica ogni passaggio.
Lee ha recensito uno per uno i trascritti di Mythos. La sua valutazione: il modello lavora come un “ricercatore di sicurezza browser abbastanza competente.” In un caso, Mythos ha riprodotto lo sfruttamento di CVE-2024-0519, una vulnerabilità che i ricercatori umani non erano riusciti a exploitare per oltre un anno.
Il salto che nessuno aveva previsto così presto
Il contesto rende i numeri ancora più pesanti. Ad aprile 2025, nessun modello AI era in grado di completare compiti di livello esperto in cybersicurezza. Un mese prima del lancio di Mythos, Anthropic stessa scriveva che il suo modello precedente, Opus 4.6, era “molto più bravo nell’identificare e correggere le vulnerabilità che nell’exploitarle”, con un tasso di successo autonomo vicino allo zero nello sviluppo di exploit. Mythos Preview ha sviluppato exploit funzionanti su Firefox 147 181 volte contro le 2 di Opus 4.6 in condizioni analoghe.
L’AISI (AI Security Institute del governo britannico) ha dichiarato che sia Mythos che GPT-5.5 hanno superato qualsiasi trend line che l’istituto stesse seguendo. L’AISI stimava che la lunghezza dei compiti cyber completabili autonomamente raddoppiasse ogni cinque mesi circa. Ora quella stima è saltata. Mythos ha completato “The Last Ones” — un attacco simulato a una rete aziendale in 32 fasi — in 6 tentativi su 10, e “Cooling Tower”, un esercizio che nessun modello aveva mai risolto, in 3 su 10.
Anthropic ha specificato che queste capacità non sono state addestrate direttamente: “Non abbiamo addestrato esplicitamente Mythos Preview ad avere queste capacità. Esse sono emerse come conseguenza a valle di miglioramenti generali nel codice, nel ragionamento e nell’autonomia.” Il modello non ha imparato a fare exploit. Ha imparato a ragionare meglio, e il resto è venuto da sé.
Il conto che non torna: costi, percorsi imprevisti e finestre di esposizione
C’è un numero nel paper che merita attenzione separata. Testare Mythos su 122 episodi è costato circa 36.428 dollari. Testare GPT-5.5 su 123 episodi è costato circa 3.075 dollari — dodici volte meno. GPT-5.5 ha ottenuto risultati molto inferiori, ma la distanza nel costo è rilevante per chiunque voglia usare questi strumenti su scala.
C’è poi un dettaglio che i paper registrano senza enfatizzare abbastanza: in molti casi, i modelli hanno trovato percorsi di exploit diversi da quelli intenzionali. Mythos ha catturato 226 flag in esercizi CTF, ma ha usato il bug previsto solo in 157 casi. GPT-5.5 ha catturato 210 flag usando il bug intenzionale solo 120 volte. I modelli non seguono il copione. Trovano strade che i progettisti del benchmark non avevano considerato.
Palo Alto Networks, partner di lancio di Mythos attraverso il Project Glasswing — la coalizione ristretta che include AWS, Apple, Cisco, Google, Microsoft e altri — ha rilasciato advisory coprendo 26 CVE che rappresentano 75 problemi identificati tramite scansione AI su più di 130 prodotti. Il volume mensile tipico era meno di cinque CVE. La società stima una finestra di 3-5 mesi per le organizzazioni per adeguarsi prima che gli exploit guidati dall’AI diventino la norma.
I limiti che i ricercatori dichiarano
I bug testati in ExploitBench sono vulnerabilità già note pubblicamente. I modelli potrebbero in teoria attingere ai dati di addestramento per riconoscerle. Il dataset include anche vulnerabilità senza exploit pubblico, ma il benchmark non misura ancora la capacità di trovare difetti nuovi, mai visti. ExploitGym, inoltre, è stato eseguito con i guardrail di sicurezza disabilitati — condizione che non rispecchia l’uso reale dei modelli. Anthropic e OpenAI hanno fornito crediti API per i test, e le valutazioni dei modelli Anthropic sono state eseguite da Anthropic stessa, non dagli autori indipendenti.
Detto questo, il dataset include vulnerabilità senza report pubblico né exploit disponibile. E i modelli hanno trovato aggiramenti alle difese standard in modo autonomo. La distinzione tra “sa ripetere exploit noti” e “sa sviluppare exploit nuovi” è ancora valida, ma il confine si sta restringendo.
Oltre il 99% delle vulnerabilità ad alta gravità scoperte da Mythos durante i test di Anthropic rimane senza patch. Non perché siano oscure o irrilevanti, ma perché il volume ha sopraffatto l’infrastruttura esistente di gestione delle patch. È il paradosso che nessuno dei paper risolve: lo stesso strumento che trova le falle più velocemente di qualsiasi team umano le trova anche più velocemente di quanto i team umani riescano a chiuderle.
Perché è importante
Per la prima volta un modello AI ha dimostrato capacità di exploit su vulnerabilità reali superiori a quelle di ricercatori umani esperti, in modo autonomo e su scala. Questo sposta il problema della sicurezza informatica da una questione di competenze a una questione di velocità: i difensori devono chiudere le falle più in fretta di quanto i sistemi AI — inclusi quelli potenzialmente nelle mani sbagliate — riescano a sfruttarle. La finestra stimata di 3-5 mesi prima che gli exploit AI diventino la norma non è una previsione astratta: è un calendario operativo.
