Anthropic ha pubblicato un’analisi tecnica su Claude Mythos Preview, un nuovo modello general-purpose che, secondo l’azienda, mostra capacità eccezionali nel trovare e sfruttare vulnerabilità software. Il punto non è soltanto la sua potenza complessiva, ma il fatto che queste competenze in ambito security siano emerse come effetto collaterale dei progressi del modello nel coding, nel ragionamento e nell’autonomia agentica.

Per i team di cybersecurity, questo rappresenta un cambio di scenario importante: la scoperta delle vulnerabilità non è più solo appannaggio di ricercatori altamente specializzati, ma diventa una capacità che l’AI può amplificare in modo significativo. Anthropic ha definito questa fase un vero punto di svolta e ha avviato Project Glasswing per aiutare a proteggere software critico con l’uso controllato del modello.

Cosa ha mostrato Anthropic

Nel report ufficiale, Anthropic afferma che Claude Mythos Preview è in grado di identificare e sfruttare vulnerabilità zero-day nei principali sistemi operativi e browser quando riceve un obiettivo preciso. Il documento descrive anche la capacità del modello di costruire exploit complessi, concatenare più vulnerabilità e trasformare bug noti o appena scoperti in attacchi funzionanti.

Tra gli elementi più rilevanti riportati dall’azienda ci sono:

• la scoperta di vulnerabilità in software open source reali;
• la capacità di sfruttare bug storici e non banali;
• la produzione autonoma di exploit in contesti di test isolati;
• la possibilità per utenti non esperti di ottenere risultati avanzati con scaffold agentici.

Anthropic sottolinea inoltre che oltre il 99% delle vulnerabilità trovate non è stato ancora patchato, motivo per cui il report pubblico include solo una minima parte dei dettagli tecnici.

Perché è rilevante per le aziende

Dal punto di vista aziendale, il messaggio è chiaro: la velocità con cui le vulnerabilità possono essere individuate e trasformate in exploit sta aumentando. Questo non significa che ogni attaccante avrà automaticamente queste capacità, ma significa che la soglia tecnica per campagne offensive più sofisticate si sta abbassando.

Per i responsabili IT e i CISO, la conseguenza pratica è duplice:

• aumentano le pressioni sui processi di patching e triage;
• cresce il valore di attività proattive come code review, hardening, fuzzing e threat modeling.

In altre parole, l’AI non sostituisce la cybersecurity, ma ne alza drasticamente il ritmo. Le organizzazioni che lavorano ancora con finestre di remediation lente rischiano di trovarsi esposte più rapidamente di prima.

Il significato di Project Glasswing

Project Glasswing è la risposta dichiarata di Anthropic a questo scenario. L’iniziativa coinvolge partner industriali e organizzazioni che operano su software critico, con l’obiettivo di usare Claude Mythos Preview per trovare e correggere vulnerabilità prima che possano essere sfruttate. Anthropic ha dichiarato anche un impegno economico importante per sostenere questo ecosistema difensivo.

Questo è un punto fondamentale: la stessa tecnologia che può aumentare il rischio offensivo può anche rafforzare le difese, se inserita in processi controllati e supervisionati. Il valore reale non sta nel modello in sé, ma nel modo in cui viene integrato nei flussi di sicurezza.

Come leggerlo in ottica difensiva

La lettura corretta del fenomeno non è “l’AI rende inutile la sicurezza tradizionale”, ma piuttosto “la sicurezza tradizionale va aggiornata”. I modelli frontier come Mythos Preview mostrano che l’automazione della ricerca di vulnerabilità è diventata molto più efficace, quindi i controlli difensivi devono essere altrettanto rapidi e sistematici.

In pratica, le priorità da rafforzare sono:

• gestione rigorosa delle vulnerabilità e delle patch;
• revisione del codice assistita da tool AI ma validata da esperti;
• ambienti di test isolati per le analisi offensive difensive;
• monitoraggio continuo degli asset esposti;
• classificazione del rischio aggiornata alle capacità dell’AI.

Cosa significa per il futuro

Il caso Claude Mythos Preview suggerisce che l’industria sta entrando in una fase nuova, in cui i modelli AI non sono solo strumenti di produttività, ma anche acceleratori di ricerca offensiva e difensiva. Anthropic stessa riconosce che il vantaggio potrebbe oscillare nel breve periodo tra attaccanti e difensori, a seconda di chi saprà adottare meglio questi strumenti.

Per le aziende, il messaggio è pragmatico: non serve attendere che strumenti simili diventino universalmente disponibili per iniziare a ripensare i propri processi. La finestra temporale per adeguare posture, controlli e workflow è già aperta.

Conclusione

Claude Mythos Preview non è solo un nuovo modello AI: è un segnale che la cybersecurity sta entrando in una fase di automazione più profonda e più critica. Per i difensori, questo può diventare un vantaggio enorme; per chi resta indietro, può trasformarsi in un rischio concreto.

La vera domanda, quindi, non è se l’AI cambierà la cybersecurity, ma quanto velocemente le aziende riusciranno ad adattare i propri processi a questa nuova realtà.