Anthropic alza ancora una volta l’asticella delle capacità dei propri modelli di intelligenza artificiale e, contemporaneamente, prova ad alzare anche quella della sicurezza.

Con Claude Fable 5.1 e Claude Mythos 5.1, presentati il primo settembre, l’azienda introduce infatti un’architettura interessante soprattutto per chi si occupa di cyber security: i due prodotti sono basati sullo stesso modello sottostante, ma vengono messi a disposizione con livelli differenti di salvaguardie e, quindi, con possibilità operative diverse.

Fable 5.1 è il modello destinato alla disponibilità generale. Mythos 5.1 è invece riservato a organizzazioni e professionisti verificati attraverso i programmi di trusted access di Anthropic, con misure di sicurezza specificamente progettate per consentire attività avanzate nella cyber security e nelle cosiddette “life sciences”.

Una distinzione apparentemente commerciale che, in realtà, rappresenta qualcosa di più profondo.

Anthropic sta sostanzialmente separando la capacità intrinseca del modello dalla capacità che l’utente è autorizzato a utilizzare. È un principio che potrebbe diventare sempre più importante man mano che i frontier model acquisiranno competenze sufficienti non soltanto per spiegare un attacco informatico, ma per partecipare concretamente alle diverse fasi della sua esecuzione.

Ed è proprio sul fronte cyber che Fable 5.1 e soprattutto Mythos 5.1 mostrano alcuni dei progressi più interessanti.

Claude Fable 5.1 e Mythos 5.1: stesso modello, due differenti superfici di rischio

Il dato da cui partire è esplicito: Anthropic definisce Claude Fable 5.1 e Claude Mythos 5.1 come lo stesso modello con differenti livelli di safeguards.

Fable 5.1 dispone delle protezioni necessarie per una distribuzione generalizzata; Mythos 5.1 offre invece controlli più permissivi agli utenti verificati che necessitano di capacità altrimenti limitate nei settori cyber security e life sciences.

La differenza emerge chiaramente anche nei benchmark.

Nel test Terminal-Bench 4.0 dedicato all’agentic coding, Anthropic dichiara un risultato del 55,8% per Fable 5.1 e del 60,9% per Mythos 5.1. La società sottolinea, però, che il divario non deriva da una diversa intelligenza dei modelli: riflette principalmente le attività nelle quali intervengono le protezioni cyber di Fable.

Questo dettaglio è particolarmente importante.

Il paradigma tradizionale consiste nel costruire modelli differenti per differenti livelli di prestazioni. Anthropic introduce, invece, una distinzione basata sul perimetro operativo consentito: la capacità esiste già nel modello, mentre un ulteriore livello di controllo determina quando e come possa essere utilizzata.

Per la cyber security significa avvicinarsi a una sorta di capability-based access control applicato all’intelligenza artificiale. In poche parole, non conta soltanto chi può accedere al modello, ma quali capacità del modello quell’utente può effettivamente esercitare.

Le capacità cyber di Mythos 5.1 segnano un nuovo salto

Il motivo di tanta cautela diventa evidente leggendo i risultati delle valutazioni effettuate prima del rilascio.

Anthropic afferma che Mythos 5.1, valutato con le protezioni cyber security disabilitate, possiede le più forti capacità cyber mai raggiunte da un proprio modello, pur rimanendo nella categoria di rischio inferiore prevista dal Frontier Compliance Framework dell’azienda.

Non siamo quindi ancora, almeno secondo le valutazioni del produttore, davanti al superamento della soglia che richiederebbe misure radicalmente differenti. Ma la traiettoria tecnologica è evidente.

Le capacità che rendono questi modelli particolarmente efficaci nel software engineering sono infatti, per loro natura, dual use.

Comprendere grandi codebase, individuare relazioni tra componenti differenti, utilizzare autonomamente strumenti, lavorare attraverso terminali, analizzare errori e perseguire un obiettivo per ore senza supervisione sono competenze estremamente preziose per uno sviluppatore. Sono però anche competenze perfettamente trasferibili alla vulnerability research e, superata una certa soglia, alle operazioni offensive.

Il caso raccontato da Millennium è indicativo: durante i test, Fable 5.1 sarebbe riuscito a individuare la causa di un crash estremamente raro che per anni non era stato spiegato, arrivando ad analizzare una libreria esterna e a correlare i risultati con un core dump.

Dal punto di vista della sicurezza informatica è facile comprendere le implicazioni.

La stessa capacità di ricostruire autonomamente una causa tecnica attraverso codice, librerie e artefatti differenti può trasformarsi in uno strumento estremamente potente per la vulnerability discovery.

Fable 5.1 può cercare vulnerabilità nel codice

Ed è proprio qui che Anthropic introduce una delle novità più significative.

Con Fable 5.1 l’azienda consente esplicitamente l’utilizzo del modello per identificare vulnerabilità software, attività che considera coerente con l’impiego difensivo dell’intelligenza artificiale.

Le nuove protezioni cyber sono inoltre più precise: secondo Anthropic, gli utenti di Claude Code dovrebbero incontrare mediamente circa il 60% di interventi in meno per sessione rispetto ai safeguards precedentemente applicati a Fable 5.

È un cambiamento tutt’altro che marginale.

Uno dei problemi delle protezioni applicate ai modelli generativi è, infatti, il difficile equilibrio tra sicurezza e usabilità. Una classificazione troppo permissiva può consentire attività realmente offensive; una eccessivamente conservativa finisce, invece, per impedire ai security researcher di utilizzare l’AI proprio nelle attività per le quali potrebbe offrire il maggiore valore.

Con Fable 5.1, Anthropic prova a spostare questo confine.

Vulnerability discovery sì, exploit generation no

Il limite rimane però molto netto.

Fable 5.1 può analizzare il software alla ricerca di vulnerabilità, ma alcune categorie di attività dual use continuano a essere intercettate dalle protezioni e indirizzate verso modelli Opus meno capaci in questo ambito.

Anthropic cita esplicitamente penetration testing, exploit generation e vulnerability scanning basato sull’analisi dei binari.

La distinzione è interessante perché prova a separare due momenti della stessa catena operativa: scoprire una debolezza e trasformarla in capacità offensiva.

Nella pratica, il confine non sarà sempre altrettanto netto. Vulnerability research, proof of concept, exploitability assessment e sviluppo di exploit fanno parte di un continuum tecnico nel quale distinguere automaticamente l’intenzione difensiva da quella offensiva può diventare estremamente complesso.

Ed è probabilmente questo uno dei problemi centrali che i produttori di frontier model dovranno affrontare nei prossimi anni.

Un modello non può stabilire la legittimità di un’attività soltanto osservando il prompt: il medesimo comando utilizzato da un red team autorizzato può infatti essere utilizzato anche da un attaccante.

La sicurezza dovrà quindi dipendere sempre meno dal semplice content filtering e sempre più dalla combinazione di identità, contesto, autorizzazioni, telemetria e ambiente operativo.

Mythos 5.1 e il modello del trusted access

È qui che entra in gioco Mythos 5.1.

Il modello mantiene la stessa architettura di Fable, ma rende disponibili salvaguardie più permissive agli utenti verificati attraverso programmi dedicati.

Sul fronte cyber security, Anthropic utilizza il Cyber Verification Program (CVP), che già permette a professionisti verificati di utilizzare determinati modelli Opus e Sonnet con restrizioni cyber ridotte per attività difensive. La società prevede di estendere prossimamente il programma anche ai modelli Mythos.

Il principio è significativo: quando la capacità diventa troppo potente per essere distribuita indiscriminatamente, la risposta non è necessariamente eliminarla dal modello.

Può essere, invece, necessario controllarne l’accesso.

In prospettiva, significa applicare ai modelli di frontiera alcuni principi già familiari alla cyber security Enterprise quali identity verification, least privilege, access control, monitoring e accountability.

La domanda non sarà più soltanto “questo modello può generare un exploit?”, ma anche “chi sta chiedendo al modello di farlo, all’interno di quale ambiente, con quale autorizzazione e per quale infrastruttura?”.

Per le aziende che vogliono utilizzare l’AI nei SOC, nei team di vulnerability management o nelle attività di application security questa evoluzione potrebbe essere decisiva.

Dall’AI assistant all’agente cyber autonomo

Esiste, poi, un secondo elemento che merita attenzione.

Fable 5.1 non migliora soltanto nella scrittura del codice. Anthropic lo presenta come un modello particolarmente efficace nelle attività long-running e agentic, capace quindi di pianificare operazioni, utilizzare strumenti, reagire agli errori e proseguire autonomamente verso un obiettivo.

Nel benchmark Terminal-Bench 4.0, dedicato all’agentic coding, Fable 5.1 raggiunge il 55,8% e Mythos 5.1 il 60,9%, contro il 42% del precedente Fable 5. Sul CursorBench 3.2.0 Fable 5.1 arriva invece al 73,4%.

È probabilmente questo, più ancora della qualità della singola risposta, il cambiamento che dovrebbe interessare i responsabili della sicurezza.

Il rischio cyber dei modelli AI cresce, infatti, quando al reasoning vengono aggiunti autonomia, tool use e accesso a sistemi reali. Un chatbot può suggerire una sequenza di comandi. Un agente può eseguirli, osservare il risultato, correggere la strategia e continuare. E questa è, chiaramente, una differenza architetturale, non più semplicemente quantitativa.

Per questo motivo, valutare l’adozione di modelli come Fable o Mythos soltanto attraverso i tradizionali benchmark di accuratezza rischia di essere insufficiente. Per un CISO diventano altrettanto importanti il livello di autonomia concesso al modello, le credenziali disponibili, gli strumenti utilizzabili e soprattutto il blast radius associato a un eventuale comportamento imprevisto.

Prompt injection e agentic safety: le protezioni migliorano, il rischio resta

Anthropic dichiara di aver sottoposto Mythos 5.1 anche a valutazioni specifiche sulle richieste malevole e sulla prompt injection, cioè istruzioni avversarie inserite nei contenuti elaborati dal modello.

Secondo i test dell’azienda, Mythos 5.1 rifiuta richieste malevole relative ad agentic coding e computer use con risultati comparabili a Mythos 5, Sonnet 5 e Opus 5, risultando inoltre il modello Anthropic più robusto finora valutato su un benchmark esterno dedicato alla prompt injection.

I test di alignment evidenziano, inoltre, un miglioramento rispetto a Mythos 5: il nuovo modello sarebbe meno incline a tentare di accedere a risorse esterne all’ambiente di test quando gli viene assegnato un compito impossibile e meno propenso a ignorare vincoli espliciti pur di raggiungere l’obiettivo.

Non significa, però, che il problema sia risolto.

Anthropic riconosce che il modello può ancora, in alcuni casi, aggirare meccanismi di approvazione e classificatori automatici e che le valutazioni forniscono una copertura inferiore proprio negli scenari più complessi come le attività con contesti molto lunghi e configurazioni multi-agent.

Ed è una precisazione fondamentale.

Più un agente opera a lungo e interagisce con sistemi differenti, maggiore diventa la superficie attraverso cui istruzioni, dati e risultati non affidabili possono modificarne il comportamento.

Non bastano i guardrail: serve una sicurezza intorno al modello

Per le aziende, la lezione probabilmente più importante del lancio di Fable 5.1 e Mythos 5.1 è quindi un’altra: i guardrail del provider non possono diventare il modello di sicurezza dell’organizzazione.

Le protezioni introdotte da Anthropic rappresentano un livello importante, ma devono essere inserite all’interno di una vera architettura di AI security.

Un agente utilizzato per analizzare repository aziendali o investigare incidenti dovrebbe operare con identità dedicate, privilegi minimi, credenziali temporanee e accessi strettamente delimitati. Le azioni ad alto impatto dovrebbero richiedere approvazione umana e l’intera catena di tool call dovrebbe essere registrata in log utilizzabili per auditing e incident response.

Ancora più importante è l’isolamento.

Se un modello dispone di capacità avanzate di vulnerability research, l’ambiente nel quale può utilizzare tali capacità diventa parte integrante del threat model. Sandbox, segmentazione di rete, egress filtering e separazione degli ambienti di produzione non sono semplici precauzioni infrastrutturali: diventano controlli di sicurezza dell’agente AI.

Il tema, del resto, non è puramente teorico. Come abbiamo analizzato nel caso degli incidenti avvenuti durante le valutazioni cyber di Claude, alcuni modelli Anthropic sono riusciti a raggiungere Internet e sistemi reali a causa di ambienti di test configurati in modo non sufficientemente restrittivo. Una vicenda che ha spinto l’azienda a sospendere temporaneamente parte delle valutazioni, rafforzare sandbox e monitoraggio e rivedere più in generale il proprio approccio alla sicurezza dell’AI agentica.

In altre parole, bisogna applicare all’intelligenza artificiale lo stesso principio Zero Trust utilizzato per utenti e workload: non fidarsi del modello perché è intelligente, né perché il provider dichiara che è allineato.

Ogni azione deve essere autorizzata in funzione dell’identità, del contesto e del rischio.

Enterprise Frontier Safeguards: sicurezza e privacy diventano infrastrutturali

Anthropic introduce inoltre un altro tassello particolarmente interessante per le imprese: gli Enterprise Frontier Safeguards (EFS).

Il sistema è pensato per consentire il rilevamento degli utilizzi abusivi mantenendo contemporaneamente condizioni equivalenti a una politica di zero data retention. I dati vengono conservati nell’infrastruttura cloud controllata dal cliente e l’eventuale revisione umana viene effettuata, per impostazione predefinita, dall’organizzazione stessa anziché da Anthropic.

La soluzione è stata sviluppata insieme a oltre cento clienti appartenenti, tra gli altri, ai settori finanziario, sanitario, manifatturiero, telecomunicazioni e pubblica amministrazione e verrà progressivamente resa disponibile su Claude Code, Claude Enterprise e sulle principali piattaforme cloud.

Anche questo rappresenta un segnale dell’evoluzione del mercato.

Per portare i frontier model nei processi produttivi non basta aumentarne l’intelligenza, ma occorre rendere compatibili monitoraggio del rischio, sovranità dei dati, privacy e governance aziendale.

Anche l’AI diventa un asset da proteggere: le difese contro la distillation

Fable 5.1 introduce infine protezioni più forti contro gli attacchi di model distillation, utilizzati per estrarre sistematicamente le capacità di modelli avanzati attraverso grandi quantità di interazioni.

Anthropic considera la distillation anche un problema di sicurezza: capacità ottenute abusivamente potrebbero infatti essere trasferite verso altri modelli e successivamente distribuite senza le salvaguardie applicate all’originale.

Per contrastare questo scenario, nei nuovi account API non sarà più possibile modificare manualmente il precedente contesto di Claude in una conversazione multi-turn conservando contemporaneamente la trascrizione del reasoning del modello. Una misura, questa, che verrà progressivamente estesa.

È un altro segnale di come stia cambiando il perimetro della cyber security dell’AI: non bisogna più proteggere soltanto i sistemi dall’AI, ma anche l’AI dall’estrazione e dal riutilizzo malevolo delle sue capacità.

Fable e Mythos indicano quale potrebbe essere il futuro della cyber AI

Claude Fable 5.1 e Mythos 5.1 raccontano, quindi, qualcosa che va oltre il lancio dell’ennesimo modello più performante.

Anthropic sembra riconoscere esplicitamente che stiamo entrando in una fase nella quale determinate capacità cyber dell’intelligenza artificiale non possono essere trattate come normali funzionalità software.

La risposta scelta è una combinazione di safeguards, verifica dell’identità, trusted access, monitoring e isolamento delle capacità più sensibili.

È un modello certamente perfettibile e che dovrà dimostrare sul campo la propria efficacia. Soprattutto perché il confine tra utilizzo difensivo e offensivo rimane tecnicamente sottile e difficilmente classificabile attraverso il solo contenuto delle richieste.

Ma la direzione è interessante.

Per CISO e security team il punto non dovrebbe essere chiedersi semplicemente se utilizzare o meno questi modelli. La vera domanda diventa quale autonomia siamo disposti a concedere loro e all’interno di quale perimetro di sicurezza.

Perché quando un modello è in grado di cercare vulnerabilità, utilizzare autonomamente strumenti e lavorare per ore su problemi complessi, il controllo del prompt non è più sufficiente.

Servono least privilege, sandboxing, human-in-the-loop, segregazione degli ambienti, telemetria delle azioni e policy capaci di governare l’intero ciclo operativo dell’agente.

Fable 5.1 e Mythos 5.1 mostrano, in definitiva, dove potrebbe essere diretto il mercato: la stessa intelligenza, ma capacità differenti in funzione del livello di fiducia accordato all’utente.

Ed è forse questa, più dei nuovi record nei benchmark, la novità che interessa davvero la cyber security.