Lo scorso mese di aprile ha visto Anthropic presentare la versione preview di Claude Mythos, un modello di Intelligenza Artificiale che può contribuire alla sicurezza informatica delle aziende in modo notevole.
Secondo l’azienda, questo strumento è capace di individuare migliaia di vulnerabilità nei principali sistemi operativi e browser, il tutto con una velocità nettamente superiore rispetto ai ricercatori umani.
A testimonianza dell’efficacia di Claude Mythos, vi è una recente valutazione di Mozilla, che ha confermato come il modello abbia scoperto 271 falle nella versione 150 del browser Firefox.
Il dato più importante, però, non è solo tecnico. Questo strumento entra in scena in un momento in cui gli attacchi assistiti dall’IA stanno crescendo e stanno amplificando il divario tra chi può permettersi difese avanzate e chi invece resta esposto a rischi.
Questo gap è sempre più rilevante, con i cyberattacchi che stanno aumentando in modo quasi esponenziale. Secondo CrowdStrike, nel 2025 modelli e strumenti IA hanno incrementato gli attacchi dell’89% rispetto all’anno precedente. Ciò significa che questa nuova tecnologia non è solo di supporto per la sicurezza informatica ma anche un’arma in più nell’arsenale che hanno a disposizione criminali e gruppi supportati da stati.
Nick Srnicek, senior lecturer in digital economy al King’s College di Londra, ha spiegato che il problema è sentito soprattutto dalle organizzazioni con meno risorse. I software più diffusi, spesso di origine americana, vengono corretti più rapidamente, mentre i prodotti più di nicchia, rischiano di ricevere meno aggiornamenti, con conseguenti vulnerabilità disponibili per più tempo.
Intelligenza Artificiale e cybercrimine: dal lancio di ChatGPT fino ad oggi
Dal lancio di ChatGPT, i criminali hanno adottato rapidamente l’IA per migliorare le proprie operazioni. Questo potente strumento viene utilizzato per scrivere email di phishing più credibili, creare deepfake, clonare voci, generare malware e cercare falle da sfruttare in modo più efficiente possibile.
In questo contesto, non mancano i casi clamorosi: di recente, un gruppo di hacker nordcoreani ha usato strumenti di OpenAI e Cursor per sottrarre fino a 12 milioni di dollari in criptovalute nel giro di pochi mesi.
Il tutto senza considerare che l’IA non è uno strumento solo efficace con i criminali più esperti, ma abbassa anche la soglia di entrata nell’ambito del cybercrimine, sia per quanto concerne la conoscenza delle meccaniche che regolano il settore, che nell’ambito dei costi.
Anche la divulgazione di una falla è diventata molto più rapida. Nel 2018, il tempo mediano tra la scoperta di un exploit e il suo primo sfruttamento era di 771 giorni, con oltre due anni utili per intervenire. Nel 2024, questo margine è sceso a sole quattro ore. Oggi, alcuni cybercriminali hanno già pieno accesso alle falle ancora prima che vengano effettivamente scoperte dagli esperti di sicurezza.
Sergej Epp, fondatore di Zero Day Clock, ha osservato che oggi, quando un fornitore pubblica una patch, l’IA può analizzare, ricostruire la vulnerabilità corretta e generare in pochi minuti un exploit funzionante per prendere in controtempo gli utenti che adottano l’aggiornamento con il minimo ritardo.
I grandi problemi di Mythos
Se è vero che Mythos, in questo contesto, può rappresentare un punto in favore della cybersecurity, il progetto presenta al momento un grosso limite. L’accesso a tale strumento è infatti per ora limitato a pochissime aziende e istituzioni.
Piccole imprese, ospedali ed enti pubblici locali non hanno infatti ancora accesso a Mythos. A rendere ancora più critica la situazione vi è il fatto che, proprio i contesti appena citati, sono spesso la “preda” più ambita dai criminali informatici. Una falla in una singola organizzazione può propagarsi in modo ampio, creando effetti a catena su fornitori, utenti e infrastrutture collegate.
Il rischio è ancora più evidente se si considera il problema sotto il punto di vista geografico. Secondo una ricerca del 2024 paesi come Russia, Ucraina, Cina, Stati Uniti e Nigeria risultano tra le principali fonti di attività criminali, tra cui figura la creazione di malware, ransomware, furto di dati e frodi digitali di vario tipo.
Nello stesso periodo, gli americani hanno perso almeno 10 miliardi di dollari in truffe provenienti dal Sud-est asiatico, dove esistono diversi centri specializzati proprio in frodi online, sparsi in paesi come Myanmar e Cambogia. Qui, un vero e proprio “esercito” di cybercriminali, supportato dall’IA, setaccia il web alla ricerca di vittime, nella maggior parte dei casi residenti proprio in USA o in Europa.
Mythos, dal canto suo, ha dimostrato di essere uno strumento ancora acerbo. Un chiaro esempio in tal senso è quanto riportato da un gruppo di utenti su Discord che, in qualche modo, è riuscito a ottenere accesso senza autorizzazione allo stesso modello IA. Nel frattempo, OpenAI ha già avviato una risposta competitiva, mentre aziende cinesi di IA stanno sviluppando modelli con capacità simili.
Anthropic ha avvertito che, dato il ritmo dei progressi, funzioni come queste si diffonderanno rapidamente e potrebbero finire anche in mano ad attori che le useranno in modo improprio legale. Le conseguenze, ha spiegato l’azienda, potrebbero essere pesanti per economia, sicurezza pubblica e nazionale.
Gli scenari futuri e le contromosse della cybersecurity
Le potenziali criticità, non riguardano solo l’aspetto puramente tecnologico. Le stime sulla carenza di professionisti della cybersecurity vanno da 5 milioni nel 2024 a quasi 85 milioni entro il 2030, e il divario è particolarmente forte nella regione Asia-Pacifico, dove paesi come Filippine, Taiwan e India sono bersagli frequenti.
Alex Stamos, Chief Product Officer di Corridor ed ex direttore dello Stanford Internet Observatory, ha aggiunto che anche le aziende ben finanziate dovranno affrontare nuovi bug con una frequenza superiore al passato: se l’IA viene usata sia per scrivere codice sia per scoprire vulnerabilità, molte più imprese dovranno gestire falle nuove e impreviste.
Le organizzazioni devono comprendere come i propri sistemi possano essere compromessi, preparare protezioni adeguate e progettare strategie basate sulla resilienza fin dall’inizio, compresi backup periodici e piani di continuità operativa in caso di incidenti.
Stamos ha detto chiaramente che serviranno investimenti enormi per riscrivere software in modo più protetto e che non si può semplicemente applicare le patch di sicurezza per essere tutelati. Nemmeno una singola azienda specializzata in IA , per quanto avanzata, può risolvere tutto da sola.
Anthropic ha infatti sostenuto che sviluppatori IA, compagnie software, ricercatori di sicurezza e governi hanno tutti un ruolo essenziale nella difesa dell’infrastruttura cyber globale. Secondo l’azienda, proteggere questo ecosistema potrebbe richiedere anni di lavoro coordinato. Una sfida che, nel corso dei prossimi anni, sembra destinata a diventare sempre più accesa e giocata sui più piccoli dettagli.
