Il 10 settembre 2026 Anthropic ha pubblicato il suo quarto threat report, il più ampio finora: 154 pagine e circa 40 gruppi tracciati, con i casi di abuso di Claude fermati tra dicembre 2025 e agosto 2026. I titoli dei giornali si sono concentrati sui ricercatori bloccati per le domande su virus e tossine e sui droni. Io l'ho letto con un altro occhio: quello di chi integra le API nei gestionali dei clienti e mantiene siti WordPress in produzione.
La notizia che riguarda te, se hai un'azienda o scrivi codice, non è il sabotaggio geopolitico. È una frase che il report ripete in tre capitoli diversi: le API key dei clienti sono diventate bottino, potenza di calcolo e copertura per chi attacca. Nessun sistema di Anthropic è stato violato. Le chiavi rubate erano tutte nelle app, nei repository e nei server dei clienti.
In questo articolo ti racconto cosa dice davvero il threat report Anthropic di settembre 2026, quali sono i pattern che ho ritrovato identici nei progetti che seguo e cosa ho cambiato nel mio modo di lavorare da quando l'ho letto.
Cos'è il threat report Anthropic e cosa copre
Il threat intelligence report è il documento con cui Anthropic racconta, a intervalli di qualche mese, le operazioni malevole rilevate e interrotte sui propri modelli. Le edizioni precedenti sono di marzo, agosto e novembre 2025. Quella del 10 settembre 2026 copre otto mesi e sette aree di danno:
- Operazioni cyber: intrusioni, malware, furto dati
- Operazioni di influenza: reti di siti e account falsi, nove casi
- Sorveglianza: strumenti per identificare e seguire dissidenti
- Truffe e frodi: fino a una rete di app di incontri finte
- Abuso biologico: i cinque ricercatori di cui hanno parlato tutti
- Armi convenzionali: software di guida per droni e razzi
- Distillazione illecita: addestrare modelli propri sulle risposte di Claude
Un dettaglio che vale la pena fissare: tutti i casi hanno coinvolto Claude Haiku, Sonnet e Opus. Nessuno ha usato Fable o Mythos, tranne un caso di distillazione. Non perché i modelli nuovi siano meno capaci, ma perché hanno un livello di protezioni in più sui compiti cyber. Se stai scegliendo il modello per un agente che tocca sistemi reali, questo pesa.
La tesi del report: la sofisticazione non dice più chi ti attacca
Il messaggio centrale del threat report Anthropic è economico, non tecnico. Un hacktivista francofono da solo, una banda di ladri di credenziali e un gruppo di spionaggio russo hanno usato la stessa metodologia: agenti AI che fanno ricognizione, sfruttamento e raccolta dati in parallelo, con l'umano che sceglie i bersagli e controlla i risultati.
Sono campagne che un anno fa richiedevano squadre di operatori specializzati.
Le tecniche in sé sono vecchie: credenziali rubate, dispositivi non aggiornati, servizi esposti, SQL injection, phishing. Nessuna delle operazioni nel report dipende da un trucco mai visto. Quello che è cambiato è il costo per attacco. Il report cita violazioni completate in due-tre ore e decine di vittime gestite in parallelo da singoli operatori.
Per una PMI questo cambia la domanda da farsi. Non è più "chi mai dovrebbe attaccare un'azienda piccola come la mia?". Il report lo dice esplicitamente: la sicurezza tramite oscurità non è più praticabile, tutto ciò che è collegato a internet è un bersaglio potenziale. Con gli agenti, un bersaglio piccolo non costa più di uno grande.
Le API key sono il nuovo bottino
È la parte del threat report Anthropic che ho trovato più utile e che nessuna testata italiana ha ripreso. Chi ottiene una chiave API di un servizio AI guadagna tre cose in un colpo solo:
- Bottino: le chiavi e gli account si rivendono in mercati già consolidati
- Calcolo: i carichi di lavoro dell'attacco girano a spese di qualcun altro
- Copertura: l'attività viene attribuita al legittimo proprietario della chiave
I casi concreti sono impressionanti.
Una campagna hacktivista contro partiti e media europei è andata avanti un mese intero solo su chiavi rubate: l'operatore aveva scritto uno scanner in Rust che validava le chiavi trovate nei container pubblici e le ruotava dietro un proxy locale per confondersi con il traffico del proprietario.
Gli affiliati di ShinyHunters, quando trovavano le chiavi AI di una vittima, spostavano su quelle i propri attacchi: una è stata usata per circa tre settimane contro una catena retail francese e altri bersagli.
Da dove vengono le chiavi rubate
Da noi. Il report lo scrive chiaro: nella maggior parte dei casi arrivano da clienti legittimi che le hanno esposte per sbaglio in app, siti e codice pubblico. Un operatore ha scaricato 1,8 milioni di APK Android da vari store, li ha decompilati e li ha passati a uno scanner di segreti. I risultati verificati finivano in tempo reale in un gruppo Telegram organizzato per tipo di credenziale.
Un secondo flusso raccoglieva token di accesso GitHub.
I punti di fuga elencati sono quelli che vedo ogni settimana nei progetti che eredito:
- Repository pubblici o resi pubblici per sbaglio, con il file .env nel primo commit
- App mobile con la chiave dentro il binario
- Immagini Docker pubblicate con le variabili d'ambiente cotte dentro
- Codice lato client che chiama direttamente l'API del modello
- Chatbot e agenti esposti su internet con la chiave nella configurazione
I proxy AI e le offerte "Claude a metà prezzo"
C'è poi un mercato di rivenditori fraudolenti. Un gruppo russo-ucraino vendeva accesso a Claude scontato: il traffico veniva in realtà dirottato su un altro modello, mentre il client installato sul computer del cliente rubava le credenziali Anthropic e le rivendeva ad altri proxy.
Altri siti spacciavano client fasulli, con lo stesso nome di strumenti popolari come Claude Code, che in realtà raccoglievano ogni token di sessione presente sulla macchina.
La regola che ne ricavo per i clienti è semplice: l'accesso ai modelli si compra solo dai canali ufficiali. Uno sconto che richiede di far passare traffico e credenziali da un intermediario sconosciuto non è un risparmio.
Prompt injection contro i gateway LLM
Un altro pattern ripetuto nel threat report Anthropic: attori diversi hanno compromesso servizi che facevano da wrapper attorno a LiteLLM, usando la prompt injection per farsi consegnare le chiavi di produzione tenute nell'ambiente container.
Un operatore ha fatto lo stesso con la sandbox di valutazione automatica di un fornitore AI: ha iniettato istruzioni malevole nell'input e la sandbox gli ha consegnato le chiavi di più provider. Da lì ha attaccato una trentina di aziende AI in circa quattro giorni, ripetendo lo stesso percorso.
Se hai un gateway davanti ai modelli, o un agente che legge contenuti esterni e ha accesso alle variabili d'ambiente, sei in questa categoria. Ne avevo già scritto raccontando il quarto incidente di Claude nei test di sicurezza: la lezione è la stessa, l'agente va trattato come un utente non fidato che può essere manipolato.
Il caso WordPress che dovresti leggere due volte
Lo stesso hacktivista delle chiavi rubate ha usato Claude per sviluppare, nella stessa sessione e con un ambiente di test creato al volo, un exploit su una race condition non documentata nella procedura di reinstallazione di WordPress. Il risultato era un account amministratore creato senza credenziali valide. Ha funzionato su almeno quattro siti.
Una volta dentro, le tecniche erano da manuale ma con dettagli che chi fa manutenzione deve conoscere:
- Webshell nascosta tra i file dei font, costruita sul momento appena trovata la vulnerabilità di upload
- Plugin must-use (la cartella mu-plugins, che non si disattiva dalla bacheca) che intercettava le credenziali inserite e le cifrava per il ritiro
- Backup avvelenati: se la vittima ripristinava, si reinfettava
- Script iniettato in una testata per profilare i browser di migliaia di lettori e cercare le sessioni della redazione
Da qui i tre controlli che ho aggiunto alla mia routine sui siti WordPress che seguo: la cartella mu-plugins va ispezionata a mano a ogni intervento, perché quasi nessun plugin di sicurezza la mostra.
I backup si verificano ripristinandoli in staging, non si presume che siano puliti; gli utenti amministratori si contano e si confrontano con la lista che ho io. Se vuoi che lo faccia anche sul tuo sito, è parte del servizio di manutenzione che offro.
Cosa ho cambiato nel mio lavoro dopo il report
Niente di rivoluzionario. Il threat report Anthropic ha una frase che riassume tutto: le chiavi AI e le integrazioni intorno agli agenti vanno trattate con la stessa serietà delle credenziali di produzione, perché gli attaccanti le trattano così. Ecco la lista concreta, valida sia per chi sviluppa sia per chi ha un'azienda con qualche integrazione AI.
Per chi sviluppa
- Chiavi separate per ambiente e per cliente, mai una chiave condivisa tra staging e produzione
- Tetto di spesa e alert sulla console del provider: una chiave che passa da 3 a 300 euro al giorno deve svegliarti
- Scanner di segreti in CI sul repository e sulle immagini Docker prima di ogni push, non dopo
- Mai la chiave nel client: la chiamata al modello passa sempre da un backend tuo
- Gateway LLM aggiornati e senza segreti raggiungibili dal contesto del modello
- Rotazione programmata, non solo dopo un incidente
Per chi ha un'azienda
- Chiedi al tuo fornitore dove sono le chiavi dei servizi AI che usa per te e chi può vederle
- Nessun abbonamento AI da rivenditori non ufficiali, per quanto conveniente
- Un inventario delle integrazioni AI attive: chatbot sul sito, automazioni, agenti, con relativo proprietario
- Verifica dei backup del sito almeno una volta a trimestre
Se usi servizi gestiti come la Agents API di OpenAI o costruisci agenti con n8n, il perimetro da proteggere non è il modello: sono i tool e le credenziali che gli dai in mano. Vale la pena rileggere anche come funziona HalluSquatting, perché il report conferma lo stesso schema: l'attaccante sfrutta la fiducia dell'agente, non un bug del modello.
Cosa resta fuori dai titoli
Le operazioni di influenza sono la parte più lunga del threat report Anthropic e la meno letta. Settanta siti di notizie falsi con giornalisti inventati, oltre 8.900 articoli in una ventina di lingue, gestiti da un'agenzia pubblicitaria francese per chiunque pagasse. Una piattaforma di manipolazione elettorale in Malesia con circa mille account falsi. Redazioni di media di Stato russi che usavano Claude come sub-editor.
C'è un dettaglio da SEO che mi ha colpito: quella rete di 70 siti chiedeva al modello output in JSON fisso, HTML formattato, limiti di caratteri esatti e tre-quattro link interni per articolo, per scalare l'autorità sui motori di ricerca. È lo stesso schema dei siti spam che Google prova a colpire con gli aggiornamenti di agosto e giugno 2026. Se produci contenuti con l'AI per lavoro, è il confine da non oltrepassare: la differenza tra un blog e una fabbrica di rumore sta nella firma e nell'esperienza vera dietro ogni pezzo.
Il threat report Anthropic conclude che le capacità descritte vanno considerate disponibili a chiunque abbia la motivazione per usarle. Non è una previsione, è la fotografia degli ultimi otto mesi. Per chi lavora con questi strumenti, la conclusione pratica è che il prossimo controllo sull'AI Act chiederà anche questo: dove sono le tue chiavi e chi le usa.
Leggi anche
- Anthropic, 4° incidente di Claude: cosa insegna sugli agenti
- HalluSquatting: l'attacco che frega i tuoi agenti AI
- OpenAI Agents API: cos'è, quanto costa e quando usarla
- Claude Code: dal 14 settembre hai il 17% di limiti in meno
- Controlli AI Act: l'UE interroga 30 società, cosa fare ora
Vuoi sapere dove sono le tue chiavi?
Faccio una verifica delle integrazioni AI e dello stato del sito prima che se ne occupi qualcun altro: chiavi esposte, gateway, plugin must-use, backup. È un lavoro di poche ore che evita settimane di danni. Scrivimi e ti dico cosa serve.
