Anthropic: la porta era il software dei fornitori

Il modello, il codice, le conversazioni dei clienti con Claude: lì, dice Anthropic, i ricercatori non sono arrivati. Sono entrati da un’altra parte. Dal software che Anthropic usa per l’amministrazione e per le vendite, lo stesso che usano molte altre aziende. E per trovare la strada, racconta chi è entrato, ai suoi agenti AI sono bastate meno di dodici ore.

Lo ha raccontato oggi, 26 ottobre, il Washington Post, che ha letto la bozza di un rapporto di Cathedral, una start-up di sicurezza informatica nata da pochi mesi. Anthropic ha confermato l’accesso con una dichiarazione. Era un test, fatto dentro il programma con cui Anthropic invita esperti esterni a cercare i suoi punti deboli, e le due aziende litigano su quanto sia stato grave. Ma il modo in cui è andato riguarda anche te, se la tua azienda lavora con una manciata di programmi in cloud collegati fra loro. Cioè, con ogni probabilità, sì.

Cosa è successo, in ordine

Si comincia da un’abitudine sana. Anthropic ha un programma di bug bounty: una taglia sulle falle. Invita ricercatori esterni a mettere alla prova i suoi sistemi e prevede ricompense per chi le segnala delle vulnerabilità, secondo le regole del programma. È il modo più onesto che esista per farsi controllare: chiedere a qualcuno bravo di trovarti i difetti prima che li trovi qualcuno cattivo.

Cathedral ha partecipato a quel programma. Secondo Gizmodo, che riporta la versione di Anthropic, i ricercatori avevano passato prima diversi giorni a provare a entrare direttamente nel software di Anthropic, senza riuscirci. Poi hanno cambiato bersaglio. Hanno puntato su un software aziendale usato, scrive il Post, da Anthropic e da molte altre aziende per i compiti amministrativi e di vendita. Lì hanno trovato delle vulnerabilità. E qui il rapporto di Cathedral mette il suo numero: dopo aver fatto lavorare i loro agenti AI per meno di 12 ore, i ricercatori avevano trovato strade per arrivare a trascrizioni di riunioni, dettagli di stipendi e offerte di lavoro, messaggi Slack in cui si parlava dei modelli più avanzati.

Nel corso di ottobre, prima che uscisse l’articolo del Post, Cathedral ha comunicato le sue scoperte ad Anthropic, attraverso il programma. Ha avvisato anche i fornitori del software sfruttato, i cui nomi non sono stati resi noti per ragioni di sicurezza.

La risposta di Anthropic, nella dichiarazione data al Post, è precisa. Cathedral ha avuto accesso a «un insieme limitato» dei suoi sistemi di vendita, risorse umane e IT. Quei sistemi contenevano, fra l’altro, i contatti di lavoro di alcuni clienti e partner e alcuni dati di base degli account degli utenti. I ricercatori non hanno potuto vedere i messaggi che i clienti mandano ai modelli, le risposte, il codice, né i pesi dei modelli, cioè i numeri che, messi insieme, sono il modello stesso. «Il nostro monitoraggio ha segnalato una parte dell’attività di Cathedral prima che ce la comunicassero, e abbiamo chiuso il loro accesso lo stesso giorno», dice la dichiarazione. Anthropic ha spento il software coinvolto e lo ha riacceso solo quando i fornitori hanno confermato di aver chiuso le falle. Ha informato i funzionari federali. E dice di non avere prove che qualcun altro, oltre a Cathedral, abbia sfruttato quelle vulnerabilità.

Il fatto, quindi, lo raccontano tutte e due le parti. Si discute su quanto pesi.

Due racconti dello stesso fatto

Cathedral lo racconta come un allarme. Le sue scoperte, scrive nel rapporto, mostrano «un divario serio fra le capacità offensive che stanno emergendo e le difese» che proteggono alcuni dei beni tecnologici più vulnerabili d’America. E aggiunge la frase che dà il senso a tutto: il fatto che le debolezze di un normale software aziendale possano compromettere l’infrastruttura anche delle organizzazioni più avanzate «dovrebbe essere un campanello d’allarme per ogni azienda d’America». Sugli accessi ai dati, il rapporto dice che sono stati tenuti «al minimo assoluto», secondo le buone pratiche della ricerca di sicurezza.

Anthropic lo racconta come un incidente circoscritto. Dice che Cathedral ha esagerato le implicazioni di sicurezza nazionale lasciate intendere. E dice che la start-up non ha seguito del tutto le regole del programma, perché non ha dichiarato tutta l’attività svolta dentro i sistemi.

Per capire perché i toni sono così diversi serve sapere chi è Cathedral. L’hanno fondata ex membri del DOGE, la struttura del governo americano nata per tagliare la spesa pubblica. Uno dei cofondatori, Gavin Kliger, dopo il DOGE è stato il responsabile dei dati del Pentagono. La start-up vende strumenti di sicurezza basati sull’AI al governo americano e alle aziende, è valutata 1,4 miliardi di dollari e ha raccolto 160 milioni. Secondo un alto funzionario dell’amministrazione, che ha parlato al Post chiedendo l’anonimato, ha firmato di recente contratti con tre agenzie federali. Lo stesso funzionario dice che il rapporto è circolato nel governo e ha sollevato preoccupazioni di sicurezza nazionale: «Se un gruppo di ragazzi che ha appena fondato un’azienda può fare questo, allora forse i cinesi non sono molto lontani».

E c’è lo sfondo. All’inizio di quest’anno il Pentagono ha escluso Anthropic dai sistemi federali, dopo che l’azienda si era rifiutata di lasciare usare la sua tecnologia per armi autonome o per la sorveglianza di massa all’interno del paese. Il Post è uscito lo stesso giorno in cui Anthropic ha reso pubblico il prospetto per quotarsi in Borsa. Se le due date siano legate, nessuna fonte lo dice, e io non lo so.

Quello che so, perché è il mio mestiere, è come si leggono due comunicazioni che si contraddicono. Un rapporto di sicurezza scritto come bozza di un post per il blog di una start-up che vende sicurezza è anche una vetrina: mostra il prodotto al lavoro sul bersaglio più famoso disponibile. Una dichiarazione aziendale data a un giornale fa tre mosse in fila: conferma, delimita, contrattacca. La parola che lavora di più, lì dentro, è «limitato». Nessuna delle due versioni ha bisogno di mentire per funzionare. Basta scegliere cosa illuminare.

E quando due parti litigano su quanto sia grave una cosa, la parte su cui sono d’accordo di solito è la più importante. Qui sono d’accordo su un punto: la porta era il software di qualcun altro.

Si è entrati dalla porta di servizio

Il Post ha chiesto ad Alex Stamos di guardare le scoperte di Cathedral. Stamos dirige la sicurezza di Cognition, una start-up che fa AI per programmare e che usa anche i modelli di Anthropic, e in passato ha guidato lo Stanford Internet Observatory. Il suo giudizio sta in quattro frasi. «Hanno trovato qualcosa di grosso.» Il rischio di collegare applicazioni di terzi ai sistemi di un’azienda «è un problema enorme per tutti». Le scoperte mostrano un buco nel modo in cui Anthropic gestisce i fornitori di software esterni. «È un problema davvero difficile, ma Anthropic avrebbe potuto fare molto meglio.»

Leggi bene la seconda frase, perché è quella che parla a te. Pensa alla tua azienda e conta i programmi in affitto su cui lavora. Quello dove tieni i clienti, quello delle paghe, quello dei preventivi, la posta, la chat interna, lo strumento delle firme, quello dei ticket dell’assistenza. Ognuno ha i suoi accessi, i suoi aggiornamenti, i suoi difetti. Ognuno può essere collegato agli altri con permessi che qualcuno ha dato una volta e nessuno ha più riguardato. E ognuno è mantenuto da persone che tu non hai mai visto in faccia.

Dentro Anthropic qualcuno lo aveva detto ad alta voce. Il mese scorso Jacob Coxon, un dipendente, si è dimesso in pubblico, spiegando di temere che l’azienda fosse irresponsabile con una tecnologia pericolosa, anche perché si appoggiava a normale software aziendale. Su X ha scritto di una «scommessa arrogante che non andrebbe lanciata dallo Slack di un’azienda privata». Si può pensare che esagerasse. Si può anche notare che fra i dati raggiungibili, secondo Cathedral, c’erano proprio i messaggi Slack.

Pochi giorni fa avevamo raccontato l’attacco a Microsoft 365 guidato da agenti AI, entrato dalle credenziali di un’applicazione di backup usata dai fornitori informatici. E avevamo raccontato il caso di LiteLLM, caduto per una chiave pubblicata per errore a maggio e mai revocata. Oggi Anthropic. La forma è sempre la stessa: nessuno sfonda il portone. Si entra da un fornitore, da una chiave dimenticata, da un programma che fa il suo mestiere con troppi permessi.

Puoi blindare la cassaforte quanto vuoi. Se la porta sul retro la gestisce un altro, la tua sicurezza è anche la sua.

Dodici ore: il numero che conta

Di tutta la storia, il dato che porterei a casa è il tempo. Le falle nei software dei fornitori esistono da quando esistono i fornitori. Quello che cambia è chi le cerca, e con che ritmo. Un agente AI è un programma che non si limita a rispondere: riceve un obiettivo, prova una strada, guarda cosa succede, ne prova un’altra. Microsoft, raccontando l’attacco a Microsoft 365, l’ha scritto così: gli agenti «possono lavorare giorno e notte, nei fine settimana e nei giorni festivi, e provare più strade d’ingresso contemporaneamente».

Per come la vedo io, la difesa di un’azienda ha avuto a lungo un alleato silenzioso: la fatica di chi attacca. E leggo i casi di queste settimane come un segnale che quell’alleato si sta indebolendo. Di quanto, i dati che ho non permettono di dirlo. Gli esempi, però, si accumulano. Lo avevamo visto con i siti forzati quasi da soli dagli agenti AI, con un costo per l’attaccante che può scendere a 50 dollari. Lo avevamo visto con Microsoft, che in diversi casi della campagna di Storm-0940 ha misurato meno di tre ore fra la scelta del bersaglio e l’accesso privilegiato al cloud. Oggi lo rivediamo su un’azienda che l’AI la costruisce.

C’è però una riga, nella dichiarazione di Anthropic, che vale quanto le dodici ore. Il monitoraggio ha segnalato una parte dell’attività di Cathedral prima ancora che Cathedral la comunicasse, e l’accesso è stato chiuso lo stesso giorno. La dichiarazione non dice con quali strumenti, né chi abbia dato l’allarme. Dice però che un controllo c’era, e che ha visto qualcosa prima che glielo dicessero. Per una piccola impresa il controllo più semplice si chiama registro degli accessi: il diario automatico di chi entra e cosa fa, che molti servizi in cloud tengono già. Se chi attacca va più veloce, scoprire tutto dopo non basta più. Bisogna vedere mentre succede.

Se chi entra può fare in fretta, accorgersene in fretta diventa il lavoro da fare. Il tuo, e quello dei tuoi fornitori.

E se usi Claude?

La domanda pratica è legittima: le mie conversazioni sono al sicuro? Secondo Anthropic sì: i messaggi mandati ai modelli e le risposte stanno in sistemi che i ricercatori non hanno raggiunto. Lo stesso vale per il codice e per i modelli. È la versione di Anthropic. Il rapporto di Cathedral, per come lo descrive il Post, parla di riunioni, stipendi e messaggi Slack; delle chat dei clienti non dice niente.

Nei sistemi raggiunti c’erano però i contatti di lavoro di alcuni clienti e partner e dati di base di alcuni account. Nelle dichiarazioni riportate non c’è scritto quanti siano, né di chi. Anthropic dice di non avere prove che qualcuno, oltre a Cathedral, abbia sfruttato quelle falle, e questo è rassicurante. La precauzione sensata resta quella di sempre: un’email che sembra arrivare da Anthropic, ti parla di un problema di sicurezza e ti chiede di rifare l’accesso da un link, va trattata con sospetto. Si entra dal sito, scrivendo l’indirizzo a mano.

Le chat, dice Anthropic, sono rimaste fuori portata. Di chi fossero i biglietti da visita, per ora, nessuno l’ha detto.

Come portarlo nel tuo lavoro

Anche senza un programma di bug bounty, la domanda che si è dovuta fare Anthropic vale per te: da dove si entra, oltre che dalla porta principale? Ecco cosa farei questa settimana, in quest’ordine.

1. L’elenco dei programmi. Scrivi su un foglio tutti i servizi in cloud che usa la tua azienda: gestionale, programma clienti, paghe, posta, chat, firme, assistenza, sito. Accanto a ciascuno, tre cose: chi lo amministra, a cosa è collegato, chi ti avvisa se esce una falla. Se una delle tre caselle resta vuota, hai trovato il primo lavoro da fare.
2. Una domanda ai fornitori. Ai due o tre più importanti chiedi per iscritto come gestiscono le vulnerabilità: in quanto tempo le correggono, come ti avvisano, se hanno un canale per chi le segnala. Anthropic ha riacceso il software solo dopo la conferma dei fornitori. Tu sapresti a chi chiedere quella conferma?
3. Via i collegamenti che non usi. Ogni integrazione attiva fra due programmi è una chiave in giro. Io partirei da quelle provate una volta e dimenticate: controlla che permessi hanno ancora e spegni quelle che non servono più.
4. Qualcuno che guarda. Molti servizi in cloud tengono già un registro degli accessi. Serve solo se qualcuno lo legge, o se almeno ha impostato un avviso per gli accessi strani. Anthropic dice che il suo monitoraggio aveva segnalato una parte dell’attività prima che Cathedral la comunicasse, e che l’accesso è stato chiuso lo stesso giorno.
5. Attenzione a cosa scrivi in chat. Fra i dati raggiungibili, secondo Cathedral, c’erano anche messaggi Slack in cui si parlava dei modelli più avanzati. Io tratterei la chat aziendale come un archivio: scrivici come se un giorno qualcuno potesse aprirlo.
6. Un test, ogni tanto. Un penetration test è la versione su misura di quello che ha fatto Cathedral: paghi qualcuno per provare a entrare, con regole scritte, prima che ci provi qualcun altro. Per una piccola impresa non deve essere un’impresa: anche un controllo mirato sui due o tre programmi più delicati è un inizio.

E una lezione di comunicazione, perché prima o poi capita a tutti. Se un giorno dovessi spiegare ai tuoi clienti un incidente, la struttura della dichiarazione di Anthropic è quella giusta: cosa è stato toccato, cosa no, cosa hai fatto e quando. Con i fatti in quest’ordine, chi legge si fa un’idea prima di arrivare alla parte in cui ti difendi. Senza, arriva solo la difesa.

Oggi la sicurezza di un’azienda è la somma della sicurezza dei suoi fornitori. Conviene conoscerli per nome.

👉 Leggi anche: Claude Code: il nome giusto, il negozio sbagliato — la versione manomessa dell’estensione passata dal negozio di Cursor il 29 ottobre.

Domande frequenti

Anthropic è stata davvero hackerata?

I ricercatori di Cathedral sono entrati davvero in alcuni sistemi interni, e Anthropic lo conferma. Ma lo hanno fatto dentro il programma di bug bounty dell’azienda, cioè in un test a cui Anthropic invita esperti esterni, non in un attacco criminale. Anthropic dice che l’accesso ha riguardato «un insieme limitato» di sistemi di vendita, risorse umane e IT, e accusa Cathedral di non aver rispettato del tutto le regole del programma.

Le mie conversazioni con Claude sono state lette?

Secondo Anthropic no: i messaggi inviati ai modelli, le risposte, il codice e i pesi dei modelli non erano raggiungibili. Nei sistemi toccati c’erano invece i contatti di lavoro di alcuni clienti e partner e dati di base di alcuni account. Anthropic dice di non avere prove che altri, oltre a Cathedral, abbiano sfruttato le falle.

Da quale software sono entrati?

Non si sa. Il Washington Post scrive che si tratta di un software aziendale usato da Anthropic e da molte altre aziende per compiti amministrativi e di vendita. Cathedral ha avvisato i fornitori, ma i loro nomi non sono stati resi noti per ragioni di sicurezza.

Chi c’è dietro Cathedral?

Una start-up di sicurezza informatica nata da pochi mesi, fondata da ex membri del DOGE, la struttura del governo americano nata per tagliare la spesa pubblica. Fra i cofondatori c’è Gavin Kliger, che dopo il DOGE è stato il responsabile dei dati del Pentagono. È valutata 1,4 miliardi di dollari e, secondo un funzionario dell’amministrazione che ha parlato al Post chiedendo l’anonimato, ha firmato di recente contratti con tre agenzie federali.

Cos’è un programma di bug bounty?

È una taglia sulle falle: un’azienda invita ricercatori esterni a cercare vulnerabilità nei suoi sistemi e prevede ricompense per le segnalazioni, con regole su cosa si può fare e cosa va dichiarato. Serve a scoprire i difetti prima che li trovi chi vuole sfruttarli.

Cosa c’entrano gli agenti AI?

Secondo il rapporto di Cathedral, sono stati gli agenti AI a trovare le strade d’ingresso, lavorando per meno di 12 ore. Un agente AI è un programma che riceve un obiettivo e prova da solo una strada dopo l’altra. In casi come questo, e come l’attacco a Microsoft 365 di ottobre, i tempi raccontati si misurano in ore: per questo conta sempre di più accorgersi presto di chi entra.

Fonti

• The Washington Post, «It took just 12 hours for an AI start-up founded by ex-DOGE staffers to break into Anthropic», 26 ottobre 2026
• Gizmodo, «Former DOGE Staffers’ New Startup Claims It Hacked Anthropic», 26 ottobre 2026
• Cyber Security News, «Researchers Use AI Agents to Breach Anthropic’s Internal Systems in Just 12 Hours», 26 ottobre 2026
• The CyberWire, Daily Briefing, 26 ottobre 2026
• TechCrunch, «Anthropic officially files for its public debut», 26 ottobre 2026