Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
Il punto debole di Anthropic non erano i modelli, ma il software di amministrazione e di vendita. Cathedral, startup di cybersicurezza fondata da ex collaboratori del DOGE, ha usato agenti AI per entrare nei sistemi interni dell'azienda di Claude e ha raggiunto chat Slack, dati sulle retribuzioni e trascrizioni di riunioni: secondo la sua versione in meno di 12 ore, secondo Anthropic in diversi giorni. La distanza tra le due cronologie è la parte più interessante della vicenda, perché misura quanto sia sottile il confine tra un test di sicurezza autorizzato e un'intrusione.
La porta d'ingresso era un software di terze parti
Cathedral non ha sfondato il perimetro di Anthropic con un attacco frontale. I suoi agenti AI hanno cercato una via laterale nei programmi amministrativi e di vendita che Anthropic usa tramite fornitori esterni, e da lì l'accesso si è allargato a un insieme limitato di sistemi di vendite, risorse umane e IT.
La ricostruzione parte da una bozza di rapporto della stessa Cathedral, visionata dal Washington Post e pubblicata il 26 ottobre 2026. Stando al documento, gli agenti hanno individuato percorsi verso trascrizioni di riunioni, dati sugli stipendi, dettagli delle offerte di lavoro e messaggi Slack. Anthropic conferma l'accesso a dati di base degli account e ai contatti di alcuni clienti e partner, ma non conferma i singoli contenuti elencati dalla startup. L'azienda precisa che le conversazioni degli utenti con Claude, il codice sorgente e i pesi dei modelli non sono mai stati esposti, che il monitoraggio interno ha segnalato parte dell'attività prima della segnalazione di Cathedral e che l'accesso è stato revocato lo stesso giorno, disattivando i programmi di terze parti fino alla correzione. Anthropic ha informato le autorità federali statunitensi e dice di non avere trovato prove che altri abbiano sfruttato le falle.
Dodici ore o diversi giorni: le due versioni a confronto
Sul perimetro e sulla durata le parti non coincidono, e la divergenza non è un dettaglio formale: da essa dipende la gravità dell'episodio e la tenuta delle regole del programma di bug bounty con cui Anthropic invita ricercatori esterni a cercare vulnerabilità.
| Aspetto | Versione di Cathedral | Versione di Anthropic |
|---|---|---|
| Durata | meno di 12 ore | diversi giorni di tentativi |
| Dati raggiunti | stipendi, offerte di lavoro, trascrizioni di riunioni, messaggi Slack | insieme limitato di sistemi vendite, HR e IT: contatti di alcuni clienti e partner, dati di base degli account |
| Vulnerabilità nel software di terze parti | 2 trovate, 1 segnalata | 2 trovate, 1 segnalata; la seconda scoperta e corretta internamente |
| Regole del programma | pratiche standard di ricerca sulla sicurezza | divulgazione incompleta, attività oltre le tutele del programma |
Se «diversi giorni» significa almeno tre, le 72 ore di Anthropic sono sei volte le 12 dichiarate da Cathedral: un fattore 6 su un episodio in cui, nella ricostruzione dell'azienda, i ricercatori hanno provato a lungo contro i sistemi proprietari prima di spostarsi sul software esterno. Cathedral sostiene di avere rispettato le pratiche standard della ricerca; Anthropic parla di divulgazione incompleta.
Lo scetticismo sull'entità reale della violazione ha un nome: Will Depue, ex dipendente di OpenAI, ha sostenuto che Anthropic stia minimizzando, e che secondo sue fonti Cathedral avrebbe ottenuto l'accesso da amministratore all'intero workspace Slack, potendo leggere ogni messaggio e accedere a qualunque account. Logan Graham, red teamer di Anthropic, ha replicato che le fonti di Depue sono sbagliate e, senza entrare nei dettagli, ha confermato la sostanza del problema: l'industria deve reinventare la propria sicurezza ogni anno. Depue ha chiesto di sapere quali singole affermazioni fossero false, puntando il dito sul ritmo della corsa all'AI, dove la velocità avrebbe la precedenza sulla sicurezza. Un dettaglio rilevante lo aveva anticipato: Jacob Coxon, lasciato Anthropic a settembre 2026, aveva già criticato l'uso di software d'ufficio come Slack per la ricerca sui modelli.
Chi è Cathedral, tra DOGE, Pentagono e IPO
Cathedral è una startup di cybersicurezza militare fondata nel 2026 da Gavin Kliger, Luke Farritor, Marko Elez e Jack Stein, tutti passati dal DOGE, l'ufficio di riduzione della spesa federale chiuso il 4 luglio 2026. Meno di tre settimane dopo, secondo BeInCrypto, i quattro sono riapparsi con la nuova società. A luglio 2026 ha raccolto 160 milioni di dollari a una valutazione di 1,4 miliardi, in un round guidato da Andreessen Horowitz e Sequoia Capital: il capitale raccolto vale l'11,4% della valutazione (160 su 1.400 milioni). Tre agenzie federali l'avrebbero assunta, secondo quanto riferito al Post da un funzionario dell'amministrazione Trump rimasto anonimo.
Il contesto è più intrecciato della cronaca tecnica. Kliger è stato chief data officer del Pentagono fino ad aprile 2026 e in quel ruolo ha seguito la disputa tra Dipartimento della Difesa e Anthropic sull'uso militare di Claude, con l'azienda che ha rifiutato di rimuovere le restrizioni su impieghi come le operazioni letali completamente autonome e la sorveglianza domestica di massa. Il 25 settembre 2026 una corte d'appello federale ha stabilito con voto 2-1 che il Pentagono può escludere Anthropic dalla propria catena di fornitura. L'intrusione è emersa lo stesso giorno del deposito del prospetto per la quotazione al Nasdaq, il 26 ottobre: un'IPO che, scrive The Independent, è attesa come la più grande della storia, oltre i 1.800 miliardi di valutazione di SpaceX. L'articolo de La Verità legge la coincidenza come uno «sgarbo» di uomini vicini a Elon Musk e inquadra la vicenda nella frattura sulla regolamentazione dell'IA: da un lato chi spinge per un meccanismo decentralizzato e l'open source, dall'altro l'approccio degli Amodei, favorevole a paletti fissati per legge.
Cosa cambia per chi usa Claude e per le aziende
Per l'utente di Claude non c'è nulla da fare: le conversazioni non sono state raggiunte e la porta usata era un programma amministrativo esterno, poi chiuso. Per chi gestisce dati aziendali la lezione è un'altra, e riguarda quel pezzo di infrastruttura che nessuno guarda mai.
Heath Mullins, chief evangelist della società di cybersicurezza ExtraHop, ha riassunto il punto: il caso mostra come «even one of the most innovative companies can still be susceptible to a supply-chain attack». Non è servito un attacco AI sofisticato: i ricercatori di sicurezza lo hanno descritto come un banale fallimento di igiene su software di terzi. E il fornitore coinvolto non è stato reso noto, il che lascia aperta la questione per gli altri clienti dello stesso prodotto.
Il conto più utile non riguarda i dati. Anthropic ha riferito di avere segnalato 6.157 vulnerabilità in 591 progetti open source entro il 2 ottobre 2026: una media di 10,4 falle per progetto (6.157 diviso 591). La società che trova difetti nel software altrui è stata raggiunta non attraverso i propri modelli, ma da un programma di amministrazione esterno. Graham propone red teaming continuo e riscrittura del software con verifica formale, che l'AI renderebbe economicamente sostenibile, aggiungendo che «you probably want to red team yourself all the time. Current models are very creative». Il test vero, per Anthropic, non è se i pesi di Claude siano rimasti al sicuro — lo sono — ma se un software di amministrazione di terze parti verrà trattato, da domani, con la stessa severità riservata ai modelli.
Fonti
