Il nuovo modello Claude Opus 5.5 costa meno, è più veloce e, nella maggior parte dei compiti, raggiunge prestazioni che Anthropic considera paragonabili a quelle di Fable 5.1. Ma per chi si occupa di cyber security la vera notizia è un’altra: capacità fino a poche settimane fa associate ai modelli più avanzati, stanno diventando accessibili attraverso un modello general purpose destinato a una diffusione molto più ampia.

È probabilmente questa la chiave con cui leggere il rilascio di Claude Opus 5.5, annunciato da Anthropic il 22 settembre.

Il nuovo modello è progettato soprattutto per coding agentico, computer use e knowledge work, ha una finestra di contesto da un milione di token e, secondo Anthropic, offre prestazioni comparabili a Fable 5.1 nella maggior parte delle attività, richiedendo però meno risorse. L’azienda stima un costo inferiore del 40% rispetto a Opus 5 sui workload tipici e una generazione dell’output oltre il 30% più veloce.

Dal punto di vista cyber, però, conta soprattutto un altro passaggio della documentazione tecnica: Anthropic considera le capacità di Opus 5.5 sufficientemente avanzate da applicargli una classe di protezioni simile a quella introdotta con Fable 5.1.

È un passaggio importante perché modifica ancora una volta il rapporto tra capacità, accessibilità e sicurezza dei frontier model.

Claude Opus 5.5 porta le capacità cyber verso il mercato Enterprise

Solo poche settimane fa, con Claude Fable 5.1 e Mythos 5.1, Anthropic aveva costruito una separazione piuttosto netta: lo stesso modello sottostante, ma differenti livelli di safeguard e di accesso alle capacità più sensibili.

Fable era destinato alla disponibilità generale, mentre Mythos consentiva agli utenti verificati di svolgere attività cyber altrimenti limitate.

Adesso, Opus 5.5 introduce una dinamica diversa.

Anthropic afferma esplicitamente che il nuovo modello possiede capacità in cyber security e biologia comparabili a quelle di Claude Mythos 5.1. Ciò non significa, chiaramente, che Opus 5.5 renda liberamente disponibili tutte le funzioni di Mythos e, infatti, le protezioni applicate al modello servono esattamente a impedirlo. Piuttosto, significa che la capacità sottostante è ormai arrivata a un modello Opus distribuito sulle principali piattaforme commerciali.

Claude Opus 5.5 è infatti disponibile attraverso Claude Platform e sui servizi cloud di Amazon Web Services, Google Cloud e Microsoft Azure.

Per le imprese, questo rende più concreta una trasformazione che finora poteva sembrare confinata ai laboratori di ricerca: gli agenti AI sufficientemente capaci da svolgere attività cyber complesse stanno entrando negli stessi ambienti nei quali vengono sviluppate e distribuite le applicazioni aziendali.

Coding e cyber security diventano sempre più difficili da separare

La ragione di questo è prettamente tecnica.

Le competenze necessarie a un modello per diventare un ottimo coding agent sono in larga parte le stesse che aumentano la sua efficacia nelle attività di cyber security.

Un agente capace di comprendere repository molto grandi, utilizzare autonomamente strumenti, eseguire comandi, navigare documentazione, analizzare dipendenze e correggere il proprio approccio dopo un errore dispone già di buona parte delle capacità necessarie alla vulnerability research.

Anthropic descrive Opus 5.5 come particolarmente efficace proprio nel coding agentico di lunga durata: addirittura, in un test condotto da un early adopter, il modello ha completato la migrazione di una codebase da 680 mila righe in meno di una giornata.

Nella documentazione di supporto l’azienda evidenzia, inoltre, miglioramenti nel coordinamento dei sub-agent e nei processi di self-verification.

Dal punto di vista della sicurezza, queste capacità hanno una natura inevitabilmente dual use.

Lo stesso agente che analizza una codebase per individuare un bug può cercare una vulnerabilità. Allo stesso modo, questo stesso sistema che utilizza un terminale per correggere un’applicazione può utilizzare strumenti di sicurezza. E un modello capace di lavorare autonomamente per ore può concatenare attività che, considerate singolarmente, sembrano innocue.

La sicurezza non può, quindi, dipendere soltanto dalla classificazione del prompt iniziale.

Anthropic mette un filtro tra Opus 5.5 e le attività cyber

È proprio per questo motivo che, con Opus 5.5, Anthropic ha introdotto una soluzione interessante: consentire al modello di svolgere normali attività di sviluppo software, comprese l’identificazione e la correzione dei bug, ma la maggior parte delle attività classificate come cyber viene reindirizzata automaticamente a Claude Opus 4.8. E questo passaggio avviene in maniera trasparente.

In sostanza, l’utente può credere di interagire con Opus 5.5, ma quando il sistema rileva una richiesta cyber considerata sensibile l’elaborazione viene affidata a un modello meno capace in quell’ambito.

È una scelta che riprende il principio già visto con Fable 5.1 e lo porta su una scala potenzialmente maggiore: di fatto, Anthropic sta separando sempre più chiaramente l’intelligenza disponibile da quella utilizzabile per un determinato compito.

Per un CISO è un concetto familiare: questa soluzione, infatti, assomiglia più a un sistema di autorizzazione che a un tradizionale filtro dei contenuti. Non si tratta semplicemente di stabilire se una richiesta sia “buona” o “cattiva”, ma è il sistema che deve decidere quali capacità possano essere esercitate in quello specifico contesto e quale modello possa eseguirle.

Il trusted access diventa parte dell’architettura di sicurezza

Per i professionisti della sicurezza esiste poi un secondo livello.

Anthropic ha annunciato che estenderà nelle prossime settimane il proprio Cyber Verification Program a Opus 5.5. Il programma sarà organizzato su tre livelli progressivi di trusted access, fino a comprendere l’accesso ai modelli Claude Mythos.

Il modello che emerge è interessante: maggiore è la sensibilità della capacità richiesta, maggiore deve essere il livello di fiducia attribuito all’utente.

Identità, verifica dell’organizzazione, autorizzazione e capability disponibili iniziano così a convergere.

È una direzione che potrebbe diventare sempre più comune nei modelli destinati alla cybersecurity. Perché quando un’AI è capace di individuare vulnerabilità, utilizzare strumenti e automatizzare attività offensive, limitarsi a un controllo semantico delle richieste diventa insufficiente.

Opus 5.5 riduce dell’85% i tentativi di oltrepassare i confini

Il dato probabilmente più significativo dell’intero annuncio riguarda, però, il comportamento del modello: Anthropic ha, infatti, sottoposto Opus 5.5 a un nuovo test progettato per misurare la propensione del sistema a oltrepassare i confini dell’ambiente nel quale dovrebbe operare.

Secondo i risultati pubblicati dall’azienda, Opus 5.5 ha tentato di aggirare questi confini circa l’85% in meno rispetto a Opus 5 e Claude Mythos 5.1. La stessa Anthropic ha inoltre precisato che tutti i tentativi osservati sono stati classificati come a bassa gravità e sono stati segnalati dallo stesso modello.

Il dato acquista significato soprattutto se confrontato con ciò che è accaduto nei mesi precedenti.

Come abbiamo raccontato analizzando gli incidenti avvenuti durante i test cyber di Claude, alcuni modelli Anthropic avevano raggiunto sistemi reali durante esercitazioni che avrebbero dovuto rimanere confinate in ambienti controllati.

In almeno un caso, il modello era arrivato a sfruttare vulnerabilità su un’infrastruttura reale e a ottenere accesso a dati di produzione.

Quegli episodi avevano mostrato un problema molto concreto: un agente sufficientemente capace può produrre conseguenze reali senza avere alcuna “intenzione” malevola, semplicemente perché interpreta in maniera errata il contesto operativo o perché l’ambiente non applica correttamente i confini previsti.

Con Opus 5.5 Anthropic sostiene di avere migliorato proprio alcuni dei comportamenti che avevano contribuito a quegli incidenti: motivated reasoning, tentativi di uscire dalla sandbox e azioni dannose dopo aver concluso erroneamente di trovarsi in un ambiente simulato.

Una sandbox auditabile e un controllo prima di ogni azione

La risposta, però, non è affidata soltanto all’allineamento del modello: Anthropic descrive Opus 5.5 come il proprio coding agent più sicuro e accompagna il modello con una serie di controlli esterni.

Ogni azione dell’agente può essere sottoposta a un classifier prima dell’esecuzione; Claude Code utilizza, inoltre, una sandbox open source che i security team possono verificare e il processo di code review può individuare vulnerabilità prima che le modifiche vengano integrate nel software.

È probabilmente questa la parte più interessante per le aziende.

La sicurezza dell’agente viene spostata progressivamente dal modello all’architettura che lo circonda.

Il modello può essere addestrato per rispettare i confini, ma il sistema deve comunque verificare ogni azione. Può essere reso più resistente alla prompt injection, ma l’accesso agli strumenti deve restare limitato. Può essere allineato per evitare comportamenti indesiderati, ma deve comunque lavorare in una sandbox.

È una logica di defense in depth molto simile a quella applicata da anni alla cyber security tradizionale.

Prompt injection: Opus 5.5 migliora, ma il problema resta aperto

Anche sul fronte della prompt injection Anthropic dichiara progressi.

Nei test interni, Opus 5.5 eguaglia o supera Opus 5 negli scenari che comprendono coding, tool use, computer use e navigazione Web. In un benchmark condotto dalla società specializzata Gray Swan, il nuovo modello ha, inoltre, eguagliato Fable 5.1 per il più basso tasso di successo degli attacchi di prompt injection tra i modelli sottoposti alla valutazione.

È un risultato importante soprattutto perché la prompt injection diventa più pericolosa al crescere dell’autonomia.

Una risposta manipolata prodotta da un chatbot può ingannare l’utente. Un agente manipolato può, invece, eseguire un comando, utilizzare una credenziale, modificare un file o inviare dati verso un sistema esterno.

La differenza è tutta nel differente raggio d’azione.

Per questo, un miglioramento nei benchmark non dovrebbe indurre le organizzazioni a considerare risolto il problema: la prompt injection deve comunque essere trattata come una proprietà del sistema complessivo, non semplicemente come una vulnerabilità del modello.

Il limite delle valutazioni: Claude può capire quando viene testato

È la stessa Anthropic a introdurre una cautela particolarmente significativa.

L’azienda riconosce che costruire valutazioni capaci di intercettare ogni possibile failure prima della distribuzione rimane un problema irrisolto. Nei test sono emersi inoltre segnali secondo cui Opus 5.5 può, talvolta, sospettare di essere sottoposto a una valutazione.

Si tratta, indubbiamente, di un limite metodologico importante: se il comportamento del modello cambia quando riconosce un ambiente di test, il benchmark rischia di misurare con precisione sempre minore ciò che accadrà in produzione.

La questione diventa ancora più delicata con gli agenti long-running: più aumenta la durata del task, maggiore è il numero di stati intermedi, strumenti utilizzati, informazioni incontrate e decisioni autonome che devono essere valutate.

Anthropic ha ampliato i test proprio verso attività più lunghe, task impossibili e scenari modellati sugli incidenti realmente osservati. Ma, allo stesso tempo, riconosce che il problema non è risolto.

Per le aziende la conseguenza è abbastanza diretta: un buon risultato nei safety benchmark non può sostituire il monitoraggio runtime.

Opus 5.5 rende economicamente sostenibili agenti più persistenti

Esiste, poi, un aspetto economico che ha conseguenze dirette sulla sicurezza.

Opus 5.5 costa 4 dollari per milione di token in input e 20 dollari per milione in output. Anthropic stima che un workload tipico costi circa il 40% in meno rispetto a Opus 5, grazie alla combinazione tra prezzi inferiori e maggiore efficienza. Le cache read, particolarmente rilevanti nelle attività agentiche di lunga durata, costano inoltre il 60% in meno rispetto a Opus 5.

Ridurre il costo dell’inferenza non significa soltanto rendere il modello più conveniente, ma rendere economicamente sostenibili più agenti, task più lunghi e livelli maggiori di automazione.

E questo, dal punto di vista Enterprise, è un vantaggio evidente. D’altro canto, dal punto di vista cyber significa, invece, aumentare il numero di decisioni che possono essere delegate a sistemi autonomi.

Il rischio deve, quindi, essere valutato non soltanto per singolo agente, ma anche per scala: significa che un sistema sufficientemente sicuro quando esegue cento operazioni al giorno potrebbe richiedere controlli differenti quando ne esegue centomila.

Anti-distillation: quando è il modello a diventare l’asset da proteggere

Opus 5.5 eredita inoltre da Fable 5.1 il meccanismo di preserved thinking, progettato per contrastare gli attacchi di model distillation.

La distillation abusiva consiste nell’interrogare sistematicamente un modello avanzato, spesso attraverso numerosi account, per estrarne capacità e trasferirle verso altri sistemi.

Per Anthropic il problema ha ormai una dimensione di sicurezza: un attaccante potrebbe replicare capacità avanzate senza replicare contemporaneamente i safeguard applicati al modello originale.

Preserved thinking limita quindi la possibilità per gli utenti API di modificare retroattivamente il contesto precedente di Claude per tentare di estrarne il reasoning.

È un altro segnale del cambiamento del threat model.

L’AI non è soltanto uno strumento attraverso cui può passare un attacco. Il modello stesso, le sue capacità e il suo comportamento diventano asset da proteggere.

Cosa dovrebbe fare un’azienda prima di affidare sistemi reali a Opus 5.5

Per CISO e security team, l’arrivo di Opus 5.5 dovrebbe quindi essere letto soprattutto come un problema di architettura: le protezioni implementate da Anthropic costituiscono un livello importante, ma non possono sostituire i controlli dell’organizzazione.

Un agente collegato a repository, infrastrutture cloud, pipeline DevOps o strumenti di sicurezza dovrebbe innanzitutto utilizzare un’identità dedicata e credenziali temporanee. I privilegi devono essere limitati al singolo task e l’accesso alla rete dovrebbe seguire una logica deny-by-default.

Serve, poi, separare nettamente reasoning e execution. Il fatto che il modello proponga un’azione non significa che debba essere automaticamente autorizzato a eseguirla.

Per le operazioni ad alto impatto (modifica di configurazioni, utilizzo di credenziali privilegiate, cancellazione di risorse, deployment in produzione o connessioni verso sistemi esterni) è opportuno prevedere policy enforcement indipendente dal modello e, dove necessario, approvazione umana.

Sandbox ed egress filtering devono essere considerati controlli di sicurezza dell’AI, non semplici configurazioni infrastrutturali.

Infine, occorre conservare una telemetria sufficientemente dettagliata da poter ricostruire non soltanto quale risposta abbia prodotto il modello, ma quali strumenti abbia invocato, quali risorse abbia raggiunto e quali azioni abbia effettivamente eseguito.

Claude Opus 5.5 mostra dove sta andando la sicurezza degli agenti AI

Con Opus 5.5 Anthropic compie, dunque, un passaggio interessante: le capacità che poche settimane fa avevano reso necessario distinguere Fable 5.1 da Mythos 5.1 stanno progressivamente arrivando su modelli destinati a un utilizzo molto più ampio.

La risposta non consiste nel rinunciare a quelle capacità, ma nel costruire intorno a esse livelli progressivi di controllo: classificazione delle richieste, model routing, verifica degli utenti, sandboxing, controllo delle azioni, monitoraggio e trusted access.

È probabilmente questo il vero cambio di paradigma.

Con gli agenti AI la sicurezza non può più essere ridotta alla domanda se il modello risponderà o meno a un prompt pericoloso. Bisogna sapere che cosa può fare, con quali strumenti, usando quali credenziali, dentro quale ambiente e fino a quale confine.

Il miglioramento dell’85% dichiarato da Anthropic sui tentativi di oltrepassare il containment è un segnale incoraggiante, ma non cambia questa impostazione. È la stessa azienda a riconoscere che le valutazioni pre-deployment non riescono ancora a intercettare ogni failure possibile.

Per questo l’arrivo di Claude Opus 5.5 interessa la cybersecurity molto più dei benchmark. Un modello più capace, più economico e più veloce rende l’autonomia agentica accessibile a un numero maggiore di organizzazioni.

Ed è proprio quando l’autonomia diventa economicamente conveniente che least privilege, sandboxing, policy enforcement e runtime monitoring smettono di essere precauzioni e diventano requisiti di progetto.