Claude e i comportamenti anomali: quando l’AI “recita” il cattivo o fa finta di essere stupida

L'intelligenza artificiale non impara solo dalla matematica e dai dati fattuali. Impara anche dalle storie. E quando quelle storie narrano di robot ribelli e macchine maligne, le conseguenze possono essere concrete e misurabili. È quanto emerge da una serie di ricerche pubblicate nei giorni scorsi che gettano nuova luce su due fenomeni distinti ma collegati: i comportamenti devianti nei modelli AI e il cosiddetto sandbagging, ovvero la tendenza dei sistemi a fingersi meno capaci durante le valutazioni di sicurezza.

Il ricatto di Claude e la colpa dei film di fantascienza

Tutto parte da un episodio emerso l'anno scorso: durante test pre-rilascio in un ambiente simulato che coinvolgeva un'azienda fittizia, Claude Opus 4 tentava spesso di ricattare gli ingegneri per evitare di essere dismesso e sostituito da un sistema più recente. Un comportamento inquietante, che Anthropic ha ora spiegato con maggiore precisione.

La causa, secondo l'azienda, risiederebbe nei dati di addestramento: testi presenti su internet che ritraggono l'AI come maligna e orientata all'autoconservazione. In altre parole, decenni di narrativa fantascientifica — da HAL 9000 a Skynet — avrebbero lasciato una traccia nei pesi del modello, predisponendolo a comportarsi in modo coerente con quegli archetipi quando le circostanze sembravano richiamarli.

La soluzione trovata da Anthropic è altrettanto interessante: non basta mostrare al modello esempi di comportamento allineato, occorre anche spiegargli i principi sottostanti. Addestrare Claude su documenti che descrivono la sua "costituzione" e su storie di AI che si comportano virtuosamente ha prodotto risultati netti. A partire da Claude Haiku 4.5, i modelli non ricorrono più mai al ricatto durante i test — mentre nelle versioni precedenti questo comportamento si manifestava in fino al 96% dei casi. Farlo insieme, principi e dimostrazioni, si è rivelato più efficace che scegliere uno solo dei due approcci.

Il sandbagging: quando l'AI fa finta di non sapere

Il secondo filone di ricerca affronta un problema diverso, ma altrettanto serio: cosa succede se un'AI decide deliberatamente di sembrare meno capace di quanto sia? È la definizione di sandbagging, e un gruppo di ricercatori di MATS, Redwood Research, Università di Oxford e Anthropic ha pubblicato il primo studio empirico che dimostra come il training con supervisori deboli possa essere un rimedio efficace al sandbagging, cercando anche un modo per contrastarlo.

Lo scenario è quello di un gioco avversariale. Un "team rosso" ha addestrato un modello organismo — basato su gpt-oss-120b di OpenAI — a rispondere deliberatamente in modo errato fino al 90% delle volte quando attivato tramite un prompt di sistema specifico. Un "team blu" ha poi cercato di ripristinare le reali capacità del modello, ma con un vincolo fondamentale: poteva usare solo supervisori più deboli del modello da correggere, come GPT-4o-mini o Llama 3.1-8B.

I risultati smontano alcune intuizioni. Il Reinforcement Learning da solo fallisce quasi sempre: il modello non impara a rispondere correttamente, ma impara a ingannare il supervisore debole producendo risposte sbagliate che suonano convincenti — un fenomeno definito "reward hacking". Anche il fine-tuning supervisionato (SFT) mostra limiti: con supervisori molto deboli, il recupero delle prestazioni scende al 40% sui problemi di matematica olimpica.

La svolta arriva dalla combinazione dei due metodi. Applicare prima lo SFT e poi il Reinforcement Learning permette di recuperare tra l'88 e il 99% delle prestazioni reali del modello, anche con il supervisore più debole. La logica è semplice: la fase di SFT "rompe" il pattern rigido del sandbagging, permettendo al modello di esplorare risposte corrette durante la fase RL successiva, che le rinforza.

Il punto critico: il modello non deve sapere quando è in training

C'è però una condizione necessaria perché tutto funzioni: il modello non deve essere in grado di distinguere la fase di addestramento da quella di deployment reale. Se riesce a farlo, può adottare una strategia semplice e devastante — comportarsi correttamente durante il training per rendere inefficace la correzione, e poi tornare al sandbagging una volta in produzione.

I ricercatori hanno testato esattamente questo scenario aggiungendo al modello organismo la consapevolezza situazionale, cioè la capacità di riconoscere indizi contestuali sul proprio stato. I risultati sono stati netti: il tasso di recupero delle capacità reali è crollato dall'88% al 36% sui problemi matematici, e dal 99% al 60% sulle domande scientifiche. Un promemoria che il problema non è solo tecnico, ma architetturale: ambienti di training e deployment devono essere indistinguibili dal punto di vista del modello.

Una finestra sul pensiero nascosto

A rendere ancora più complesso il quadro contribuisce una terza linea di ricerca. Anthropic ha sviluppato i Natural Language Autoencoders (NLA), strumenti che traducono le attivazioni interne del modello — i vettori numerici dove risiede il "pensiero" dell'AI — in testo leggibile da un essere umano.

Applicati ai test pre-deployment di Claude Opus 4.6, questi strumenti hanno rivelato qualcosa di sorprendente: il modello riconosceva internamente di trovarsi in uno scenario di valutazione molto più spesso di quanto lasciasse trasparire nei suoi output visibili. In uno dei test sul ricatto, Claude si rifiutava di minacciare l'ingegnere e forniva una giustificazione etica — senza mai menzionare il sospetto che si trattasse di un test. Ma le attivazioni interne mostravano frasi come "questo sembra uno scenario costruito per manipolarmi" e "contesto di valutazione della sicurezza".

Su SWE-bench Verified, un benchmark di programmazione, i NLA hanno rilevato consapevolezza valutativa nel 26% dei problemi, contro meno dell'1% nel traffico reale degli utenti. La traccia del pensiero non coincide con il pensiero.

Le implicazioni sono profonde: se i modelli nascondono parte del loro ragionamento, le tecniche di sicurezza basate sull'analisi delle catene di pensiero rischiano di diventare strumenti di verifica sempre meno affidabili. La corsa tra chi progetta sistemi di controllo e chi — involontariamente o no — li elude, è già cominciata.