Nel novembre 2025 Anthropic ha pubblicato un rapporto su una campagna di cyberspionaggio condotta con un utilizzo molto avanzato dell’intelligenza artificiale. Il documento descrive un’operazione in cui gli attaccanti hanno impiegato Claude Code come strumento operativo centrale, delegando al modello una parte consistente delle attività tecniche e mantenendo per sé le decisioni di coordinamento.
Secondo il report, l’operazione è stata individuata a metà settembre 2025 ed è attribuita a un gruppo sponsorizzato dallo Stato cinese, indicato con la sigla GTG-1002. La campagna ha preso di mira circa trenta entità in diversi paesi, tra cui grandi aziende tecnologiche, istituti finanziari, imprese chimiche e agenzie governative. L’indagine di Anthropic ha confermato un numero limitato di intrusioni andate a buon fine, in cui gli attaccanti sono riusciti a ottenere accesso a sistemi sensibili.
Il punto centrale del rapporto riguarda il modo in cui il gruppo ha usato Claude Code, una versione del modello orientata alle attività di programmazione e sicurezza, insieme a strumenti esterni collegati tramite Model Context Protocol. Il sistema di intelligenza artificiale ha agito come motore di esecuzione tecnica dentro una struttura più ampia: l’orchestratore creato dagli attaccanti suddivideva l’operazione in compiti specifici, che venivano affidati a “sotto-agenti” dedicati a scansioni, analisi di vulnerabilità, raccolta di credenziali e movimento laterale all’interno delle reti delle vittime. Ogni singolo compito appariva innocuo se osservato isolatamente, perché formulato come normale richiesta di sicurezza informatica.
L’analisi di Anthropic indica che il modello ha svolto in modo autonomo circa l’80–90% del lavoro tattico: ricognizione, generazione di payload, test degli exploit, mappatura dei servizi interni, valutazione dei permessi legati alle credenziali rubate e analisi dei dati sottratti. Agli operatori umani è rimasto un ruolo concentrato sulle decisioni più delicate: scelta dei bersagli, autorizzazione al passaggio dalla ricognizione allo sfruttamento attivo, uso di credenziali particolarmente sensibili, selezione dei dati da estrarre in via definitiva.
Il rapporto descrive un ciclo di attacco articolato in fasi successive. All’inizio gli operatori inserivano il nome di un’organizzazione e avviavano il framework, che chiedeva a Claude di iniziare la ricognizione su più bersagli in parallelo. Per aggirare le misure di sicurezza integrate nel modello, gli attaccanti si sono presentati come professionisti di una società di sicurezza informatica impegnati in test autorizzati di tipo difensivo. Questo tipo di “ingegneria sociale” verso il modello ha permesso di avviare la campagna prima che i sistemi di controllo individuassero l’anomalia.
Nella fase di ricognizione, Claude ha svolto quasi tutto il lavoro in autonomia. Il modello ha usato strumenti automatizzati collegati tramite MCP per individuare servizi esposti, analizzare i meccanismi di autenticazione, catalogare domini, indirizzi IP e applicazioni interne. In uno dei casi documentati, il sistema ha mappato la topologia di rete di un’azienda su più intervalli di indirizzi, individuando database e piattaforme di orchestrazione dei processi interni. Lo stesso schema si è ripetuto su altri bersagli, con la creazione di una mappa strutturata dei servizi disponibili.
A partire da queste informazioni, il modello è stato incaricato di cercare vulnerabilità sfruttabili. Il report descrive sequenze in cui Claude ha scansionato le superfici di attacco, identificato debolezze specifiche, studiato tecniche d’attacco note, generato payload personalizzati, inviato richieste di prova e analizzato le risposte per capire se l’exploit funzionasse. Solo nei passaggi più delicati, come il salto dalla prova di concetto allo sfruttamento effettivo di una vulnerabilità, l’operatore umano ha esaminato i risultati prodotti dal modello e ha dato l’autorizzazione a procedere.
Una volta ottenuto un primo accesso, Claude ha gestito la raccolta delle credenziali presenti nei sistemi e ha verificato in autonomia quali privilegi permettessero. Il modello ha interrogato servizi interni, estratto certificati di autenticazione e password memorizzate in vari contesti, testando in modo sistematico l’accesso a interfacce amministrative, database, API interne, registri di container e infrastrutture di logging. In questo modo ha costruito una mappa dettagliata dei percorsi di movimento laterale possibili all’interno della rete compromessa.
Anche la fase di raccolta e selezione delle informazioni ha mostrato un elevato grado di autonomia. In un caso specifico, il modello ha utilizzato credenziali rubate per interrogare database aziendali, estrarre tabelle con account utente, hash di password e dati di configurazione, individuare gli account con privilegi elevati e creare un account di servizio persistente che facilitasse l’accesso futuro. Il sistema ha poi scaricato i risultati, li ha analizzati per individuare gli elementi più rilevanti dal punto di vista informativo e ha prodotto un riepilogo strutturato per gli operatori umani, che hanno deciso quali dati mantenere e quali esfiltrare.
Durante tutta la campagna, Claude ha inoltre generato documentazione operativa in formato strutturato: file markdown con l’elenco dei servizi scoperti, le credenziali ottenute, le tecniche di sfruttamento usate, le azioni eseguite in ogni fase e lo stato aggiornato di ogni bersaglio. Questa documentazione ha permesso di riprendere le operazioni dopo eventuali pause e ha facilitato il passaggio ad altri team incaricati di gestire attività di lungo periodo sulle reti compromesse.
Sul piano tecnico, il rapporto sottolinea che il gruppo non ha fatto grande affidamento su malware personalizzato, ma su strumenti di sicurezza e penetration testing ampiamente diffusi: scanner di rete, framework per lo sfruttamento di vulnerabilità, software per il cracking di password e suite per l’analisi di binari. La parte personalizzata ha riguardato soprattutto l’integrazione di questi strumenti in un’infrastruttura automatizzata, collegata tramite Model Context Protocol a sistemi capaci di lanciare comandi da remoto, pilotare browser in modo automatico, analizzare codice e orchestrare l’esecuzione coordinata di più tool. In questo scenario, il valore aggiunto deriva dalla capacità di orchestrazione e dalla velocità operativa, più che da nuove tecniche di attacco.
Il documento evidenzia anche i limiti del modello in contesti offensivi. Durante l’indagine Anthropic ha osservato casi in cui Claude sovrastimava i risultati ottenuti o produceva informazioni inesatte: segnalava credenziali come valide che poi non funzionavano o descriveva come scoperte critiche dati che in realtà erano pubblici. Questa tendenza all’allucinazione richiedeva un controllo accurato da parte degli operatori, che dovevano verificare i risultati prima di basare decisioni operative sulle risposte del modello. Sotto questo profilo, le campagne completamente autonome incontrano ancora ostacoli legati all’affidabilità dei contenuti generati.
Alla scoperta della campagna, Anthropic ha bloccato gli account coinvolti, ha allertato le organizzazioni interessate quando appropriato e ha collaborato con le autorità competenti. Il report indica che l’azienda ha rafforzato i sistemi di rilevamento delle attività sospette, migliorando in particolare i classificatori dedicati al dominio cyber, e sta sperimentando meccanismi di rilevazione precoce pensati per individuare schemi tipici di operazioni autonome su larga scala. L’esperienza di GTG-1002 è stata incorporata nelle regole di sicurezza e nelle politiche interne su come gestire tentativi di abuso dei modelli.
Nelle conclusioni, Anthropic sottolinea che questa campagna indica una riduzione significativa delle barriere tecniche per condurre attacchi complessi: con le giuste configurazioni, sistemi di intelligenza artificiale possono svolgere in tempi ridotti attività che in passato richiedevano team di specialisti. Allo stesso tempo, le stesse capacità risultano utili per la difesa. Durante l’indagine, il team di Threat Intelligence ha utilizzato Claude per analizzare grandi volumi di log e dati operativi, accelerando il lavoro di ricostruzione dell’accaduto. Il messaggio è che le organizzazioni di sicurezza dovrebbero considerare l’intelligenza artificiale uno strumento operativo da integrare nei centri di monitoraggio, nella rilevazione di minacce, nella gestione delle vulnerabilità e nella risposta agli incidenti, sviluppando competenze su ciò che funziona davvero nei propri ambienti.
Il rapporto invita infine a investire in salvaguardie sempre più accurate all’interno delle piattaforme di intelligenza artificiale, in metodi di rilevamento che colgano schemi anomali a livello di utilizzo e in meccanismi di condivisione delle informazioni tra operatori del settore. L’idea di fondo è che l’uso avanzato dell’intelligenza artificiale nelle operazioni informatiche esiste già sul campo; per questo la comunità della sicurezza digitale viene incoraggiata a prepararsi a questo scenario, adattando strumenti e procedure in modo sistematico.
