Da qualche parte nel nord dello Yemen, in una data che il rapporto non precisa, qualcuno ha premuto un pulsante e un razzo con un sistema di guida fatto in casa è partito verso un bersaglio. Non ci è arrivato: il test, per quanto Anthropic riesce a vedere, è fallito. La parte che però, almeno a me, fa rizzare i capelli (quei pochi che ho) in testa viene un pochino dopo, perché nel giro di poche ore gli stessi operatori erano di nuovo davanti a Claude a chiedergli perché, con la telemetria del lancio, come uno studente che torna dal professore con il compito sbagliato. Nessun morto, nessuna esplosione in un mercato: soltanto un gruppo di ingegneri che, fallito il collaudo, apre la chat.
Il modo in cui ci erano arrivati è la parte forse più innocua di tutte, ma contemporaneamente (ancora, secondo me) è quella che dovrebbe preoccupare di più: la cellula terroristica non usava il modello come un oracolo che sputa segreti militari, ma come un piccolo ufficio tecnico: un’istanza di Claude Code scriveva il software di guida, navigazione e controllo, una seconda faceva ricerca, una terza revisionava il codice della prima, con il capo umano che distribuiva i compiti come farebbe un responsabile di progetto con tre giovani assunti. Il lavoro era spezzato in decine di sessioni, nessuna delle quali rivelava da sola a cosa servisse il tutto (terroristi sì, scemi no…), e il rapporto ammette senza giri di parole che i filtri hanno bloccato molte richieste, ma non tutte. C’è un dettaglio che chi segue lo Yemen non ha sicuramente perso di vista: secondo il gruppo di esperti delle Nazioni Unite che nell’ottobre 2025 ha documentato la violazione sistematica dell’embargo, gli Houthi producono in casa fusoliere e propellente, ma per i sistemi di guida dipendono ancora dall’Iran. Il software di guida è proprio il pezzo che la cella stava provando a farsi da sola. Quando gli account sono stati chiusi, il gruppo aveva già compilato un simulatore di volo autonomo, un eseguibile che gira senza Claude e senza nessun altro ambiente di calcolo ingegneristico. Il negozio ha chiuso; la merce era già uscita.
Questa è la prima delle sei storie del rapporto pubblicato il 10 settembre, che copre gli abusi intercettati fra dicembre 2025 e agosto 2026 in sette aree, dalle operazioni informatiche alla biologia. Il capitolo sulle armi convenzionali è quello nuovo, e va letto in sequenza, perché ogni caso aggiunge un pezzo a un meccanismo che, alla fine, non riguarda più le armi.
Lo sciame che sceglie da solo, costruito da tre freelance
Il secondo caso è russo e, a mio avviso, il più grave di tutti, perché la gravità sta nella piccolezza: Anthropic descrive una squadra di freelance, con legami con un’università di provincia e un centro di ricerca federale dell’Accademia russa delle scienze, che fra la fine del 2025 e l’inizio del 2026 apre nove account: otto li usa per lavori normali da programmatore a partita IVA, uno per un progetto che chiama “DronDoc” o “Serafim”. A metà maggio 2026 il progetto parte davvero, con Claude Code che scrive e testa codice direttamente nei file del gruppo, una simulazione in cui il codice reale girava dentro il modello del drone e un server con schede grafiche a noleggio per addestrare i modelli.
Quello che stavano costruendo è uno sciame di droni kamikaze in visuale in prima persona, autonomo dall’inizio alla fine: una memoria condivisa fra i droni con una logica di coordinamento resistente ai guasti, un piccolo modello linguistico a bordo che governa i comportamenti di attacco, osservazione e rientro, un sistema di guida terminale che porta il drone sul bersaglio con la telecamera e dà il comando di detonazione, un modulo per geolocalizzare gli operatori avversari dal loro collegamento radio, uno strato di rilevamento acustico passivo. Il classificatore di visione era addestrato su filmati di combattimento ucraini raccolti in rete, con le classi “nemico” e “amico” e i sistemi russi messi in lista bianca; fra le classi di bersaglio c’era “persona”, e il modello di bordo poteva selezionarla e ordinare la detonazione senza nessun essere umano nel circuito decisionale. Il bersaglio dimostrativo era una coordinata fissa nell’oblast di Donetsk, e le missioni erano disegnate sulle città e sui corridoi del fronte.
Anthropic colloca il tutto a un livello di maturità tecnologica 3-4, cioè validato in simulazione con il firmware caricato su schede di sviluppo reali; niente che voli oggi, ma un prototipo funzionante a livello di software. Gli operatori sostenevano di essere finanziati dalla Fondazione per la ricerca avanzata, dall’Iniziativa tecnologica nazionale e dal Ministero della difesa russi, affermazioni che l’azienda non è riuscita a verificare e che, del resto, non serve nemmeno siano vere. Tre giorni prima che il rapporto uscisse, il 7 settembre, il gruppo di esperti della Convenzione ONU sulle armi convenzionali ha chiuso a Ginevra l’ennesima sessione senza un trattato sulle armi autonome letali, con settantasei Stati favorevoli a negoziare, un testo annacquato da Russia e Stati Uniti e un rinvio alla conferenza di revisione di novembre. Quella discussione, da dieci anni, immagina come avversario un programma statale con un bilancio a nove zeri, o al massimo il Kargu-2 turco che nel 2020 in Libia avrebbe inseguito da solo dei combattenti in ritirata (il rapporto ONU, per la cronaca, non dice mai che abbia ucciso qualcuno, ma la leggenda ha vinto); qui invece c’è un prototipo dimostrativo da garage fatto da tre persone che di giorno fanno altri lavori, con un assistente di programmazione a canone mensile al posto del reparto di ricerca e sviluppo.
Dodici bersagli a Taiwan, in una suite da sedici moduli
Il terzo caso porta in Cina e cambia scala: un ricercatore che Anthropic collega, tramite metadati dell’account e contenuti intercettati dai filtri, a istituzioni di ricerca della Repubblica popolare, fra cui l’Accademia delle scienze militari dell’Esercito popolare di liberazione, ha usato la chat, gli strumenti di programmazione e quelli agentici per costruire una suite in lingua cinese di circa sedici moduli per la guerra elettronica e la soppressione delle difese aeree, arrivata alla dodicesima versione. Il software analizza i radar, le batterie di missili terra-aria, i posti di comando e i nodi di comunicazione di un avversario, ne calcola la copertura, stima l’efficacia del disturbo, ordina i bersagli per valore e vulnerabilità, decide quale sopprimere per primo e come distribuire le sortite dei disturbatori su una campagna di più giorni; modella anche gli inviluppi d’ingaggio di sistemi come il Patriot e il THAAD, l’antimissile americano per l’alta quota.
A metà del progetto, racconta il rapporto, l’utente ha cambiato lo scenario predefinito della simulazione: dodici bersagli a Taiwan, con un bunker di comando, un sito radar di allarme precoce, batterie Patriot e Tien Kung, le basi aeree principali e il quartier generale di un comando regionale. Non è un esercizio astratto su una mappa inventata: è la geografia della guerra che qualcuno sta preparando. Il dettaglio più rivelatore è che in parallelo lo stesso utente faceva girare un modello installato sui propri server e l’aveva collegato alla suite come strumento: Claude era una delle mani, non l’unica, e quando è stato tolto l’altra era già lì pront a riprendere le fila del discorso.
La proposta da duecento pagine per la Marina cinese
Il quarto caso è anche quello cinese e, letto da chi si occupa di comunicazione, suona incredibilmente spaventevole e familiare: un utente che si presentava come fornitore del settore della difesa americano, e che Anthropic ritiene invece legato a un produttore cinese della difesa che lavora per la Marina dell’Esercito popolare di liberazione, ha usato Claude su tre binari paralleli per un sistema anti-siluro: la specifica in cinese del sistema di controllo del tiro, cioè la logica che decide quando e come rispondere a un siluro in arrivo, scritta per ottenere l’approvazione del produttore e passare alla certificazione tecnica; una proposta tecnica di oltre duecento pagine con relativa presentazione per i dirigenti; e un confronto del proprio sistema con programmi americani analoghi, costruito da fonti aperte e trasformato in un briefing sui sistemi della Marina statunitense.
Il metodo di lavoro è quello che chiunque abbia scritto un’offerta riconosce al volo: bozza, poi si chiede al modello di interpretare un revisore ostile che la stronca, poi si riscrive, e così via per molti giri, comprimendo in giorni il ciclo di revisione umana che in un’azienda della difesa dura mesi. In parallelo produceva pezzi del software di controllo del tiro e una matrice di test per validarli. Anthropic non riesce ad attribuire l’attività a un’entità precisa, e l’account è stato chiuso per violazione delle regole sui Paesi in cui il servizio è disponibile e di quelle d’uso, che vietano la progettazione di armi. Qui il vantaggio che il modello dà sta tutto nella velocità con cui si arriva al documento che convince qualcuno a finanziare l’arma, prima ancora che nell’arma stessa.
L’ufficio acquisti che aggira le sanzioni in tre lingue
Con il quinto caso il rapporto cambia registro e tocca il punto più difficile da difendere. A Mosca un responsabile acquisti di un ufficio di progettazione, il classico konstruktorskoe byuro dell’industria sovietica e poi russa, usava Claude per gestire cinque filiere di approvvigionamento: magnetometri triassiali di fabbricazione tedesca da far arrivare tramite un distributore cinese, con la spiegazione che sarebbero serviti a un centro biomedico; diverse migliaia di celle fotovoltaiche di grado spaziale da un fornitore cinese, pagate tramite una banca russa sanzionata e una cinese già sanzionata in passato; sistemi di ossigeno per equipaggi di volo; un contratto per costruire un ospedale per un’unità della Guardia nazionale; sistemi informatici e di cifratura dalla piattaforma statale russa per gli acquisti della difesa.
Il modello trovava intermediari nella Cina continentale e a Hong Kong per procurare prodotti europei, scriveva le richieste di preventivo in inglese, cinese e russo presentando il compratore come l’ufficio relazioni estere di un ente di ricerca non meglio precisato, con consegna in Russia; redigeva i capitolati di gara nel formato del governo russo, ricostruiva la catena di ricarichi degli importatori grigi e, cosa che il rapporto sottolinea, scriveva i briefing per il direttore in cui l’intera operazione era descritta come un modo per aggirare i controlli commerciali europei, con tanto di riferimento alle norme applicabili e di passaggio per una “giurisdizione neutrale rispetto alle sanzioni”. Con agenti di automazione del browser faceva girare tutto il back office: prezzi pescati in automatico dai marketplace, una quarantina di righe per ogni gara, fogli di calcolo fusi e sincronizzati con gli strumenti di gestione dei progetti, lettere ai corrieri per cambiare destinatario a un ordine già spedito.
Il caso è la regola, con un assistente in più: secondo la commissione del Congresso americano sui rapporti con la Cina, nel 2023 il 79 per cento delle spedizioni finali di beni critici verso la Russia partiva dalla Cina o da Hong Kong, e il ventesimo pacchetto di sanzioni europee, il 23 aprile 2026, ha colpito sessanta società di Paesi terzi, quasi tutte cinesi o hongkonghesi, proprio per questo. Anthropic scrive una frase che va presa sul serio: individuare questo tipo di attività è particolarmente difficile perché ogni singola richiesta sembra banale: una richiesta di preventivo, un capitolato, la ricerca di un distributore. Nessun classificatore al mondo ferma “trovami un rivenditore autorizzato a Hong Kong”, e non dovrebbe, perché nove volte su dieci lo chiede un’azienda che vuole soltanto comprare un magnetometro. Il pattern esiste solo in aggregato, e in aggregato lo vede soltanto chi ha tutti i log.
L’analista che scrive per la leadership del Partito
L’ultimo caso chiude il cerchio dalla parte dell’intelligence: un utente cinese che si descriveva come redattore di una pubblicazione interna di intelligence della difesa, a capo di una squadra di tre persone, ha usato Claude per decine di sessioni di raccolta da fonti aperte sulle armi a energia diretta americane, e in particolare su un’arma a microonde ad alta potenza montata su veicolo per abbattere sciami di droni, resa pubblica pochi giorni prima. Voleva identificare il dispositivo che genera le microonde e chi lo fornisce, con attribuzioni pesate per probabilità, per poterlo ricostruire, sviluppare contromisure e confrontarlo con i sistemi cinesi; mappava la proprietà dei fornitori per penetrare una catena di approvvigionamento resa deliberatamente opaca; e chiedeva al modello di scrivere briefing a circolazione riservata per la dirigenza del Partito, dei militari e della sicurezza di Stato, incluso un rapporto di ventitré pagine sui programmi a microonde di una forza armata straniera.
Anthropic giudica il metodo da servizio di Stato: oltre una dozzina di banche dati aperte e commerciali sfruttate in modo strutturato, richieste formali di accesso agli atti indirizzate a un ufficio di programma militare straniero, i metodi analitici presi in prestito dalle agenzie occidentali, le fonti classificate per credibilità, briefing esecutivi con appendici da quarantacinque pagine e una checklist di monitoraggio a dodici mesi. Nulla di illegale nel singolo atto, come nel caso precedente; tutto legale, anzi, e proprio per questo la parte che nessuna legge sull’esportazione riesce a toccare.
Dove sta il guasto
Messi in fila, i sei casi raccontano tre cose che il comunicato stampa non dice.
La prima riguarda l’economia dell’attacco: in nessuno dei sei programmi il modello ha fornito una capacità che gli operatori non avessero già: la cella yemenita sapeva “di”farei” missili, i freelance russi sapevano “fare” droni, il ricercatore cinese sapeva “fare” radar. Ciò che è cambiato è il costo del lavoro attorno a quella competenza, e con esso la lettura che si può dare di un’operazione dall’esterno. L’economista Michael Spence, nel saggio del 1973 che gli è valso il Nobel, spiegava che in un mercato con informazione asimmetrica i segnali contano solo se sono costosi da falsificare: la laurea dice qualcosa del candidato perché a un incapace costa troppo ottenerla. Per decenni la sofisticazione tecnica di un programma d’armi ha funzionato allo stesso modo, come segnale costoso che permetteva agli analisti di distinguere uno Stato da un ragazzo con un portatile; il rapporto documenta, caso dopo caso, la fine di quel segnale, perché tre freelance producono ciò che prima segnalava un ministero, e l’attribuzione, primo passo di ogni deterrenza, perde il suo indizio più affidabile. (Per i nerd: in gergo si dice che l’equilibrio separante è diventato aggregante. Ecco, adesso lo sapete anche voi.)
La seconda riguarda la contromisura. “Interrotto”, nel lessico del rapporto, significa che Anthropic ha cancellato tutti gli account riconducibili all’operatore e ha condiviso i risultati con partner pubblici e privati; ha inoltre annunciato nuovi classificatori per esplosivi ad alto potenziale e sviluppo di armi, e il suo gruppo di red team ha pubblicato valutazioni che misurano quanto i modelli siano bravi nell’individuazione tattica dei bersagli, come trovare dove sta una persona da informazioni frammentarie, e nello sviluppo di armi, come progettare un drone che colpisca un bersaglio in movimento: i modelli, scrivono, fanno progressi costanti. Il ban è la contromisura che una piattaforma usa contro un truffatore di annunci, ed è quello che c’è; ma in almeno tre dei sei casi il lavoro era già fuori dalla sua portata, sotto forma di un simulatore che gira da solo, di un modello locale collegato alla suite, di firmware già sulle schede, e la chiusura dell’account ha fermato l’abbonamento, non il programma.
La terza riguarda chi guarda: per ottant’anni la scoperta di un programma d’armi clandestino è stata lavoro di governi, di panel di esperti delle Nazioni Unite, di giornalisti che rimettevano insieme i pezzi da rottami recuperati e documenti d’appalto; oggi la stessa scoperta la fa, prima di tutti e con più dettaglio, un’azienda privata californiana che la legge nei registri delle conversazioni dei propri clienti, e che poi decide, con la formula, scrive il rapporto, “come appropriato”, a chi raccontarla. I politologi Henry Farrell e Abraham Newman hanno descritto nel 2019 su International Security che cosa succede quando una rete nata per l’efficienza ha dei nodi centrali: chi ha autorità sul nodo acquisisce due poteri, quello di vedere i flussi che l’attraversano senza spiare nessuno in particolare, e quello di chiudere il rubinetto a chi non vuole più servire. Loro studiavano gli Stati Uniti sul dollaro e sulla rete dei pagamenti interbancari, ma la meccanica non cambia se il nodo è un modello di frontiera e il proprietario un’azienda con una politica d’uso al posto di una legge, con una differenza che i due autori non avevano davanti: nel loro schema il nodo stava sotto la giurisdizione di uno Stato che ne rispondeva a un parlamento, mentre qui la giurisdizione è un contratto e il parlamento è un post sul blog.
I due lati vanno visti in un contesto unitario, tutti e due insieme, perché il rapporto è anche un documento di posizionamento, e come tale va letto da chi di reputazione si occupa: dice “noi vediamo, noi chiudiamo, noi raccontiamo” in un momento in cui l’azienda ha bisogno di dimostrare che i suoi filtri servono a qualcosa, mentre nessun governo, nessuna ONU e nessun giornale ha finora potuto verificare in modo indipendente i dettagli di un solo caso. Il precedente non aiuta, perché il rapporto del novembre 2025 sulla campagna di spionaggio cinese “orchestrata dall’intelligenza artificiale” fu accolto, come ricostruì BleepingComputer, da una comunità della sicurezza scettica, dato che non conteneva un solo indicatore tecnico verificabile e che la stessa Anthropic ammetteva che il modello, durante l’attacco, si era inventato credenziali che non funzionavano. Lo scrivo da persona che legge rapporti di questo tipo da vent’anni: la ragione per crederci c’è, ed è la stessa per cui bisogna pretendere che l’unico ente che vede quei flussi risponda a qualcuno di diverso da sé.
C’è infine una simmetria che a chi fa divulgazione non sfugge: gli stessi filtri che in Yemen hanno bloccato molte richieste ma non tutte sono quelli che si inceppano quando provate a farvi spiegare questo rapporto da un modello; il costo del falso positivo lo paga chi informa, quello del falso negativo lo paga chi sta sotto il razzo, e nessuna delle due curve arriva a zero. Dove mettere l’asticella è una decisione politica, ed è la decisione che oggi prende, in silenzio e con ottime intenzioni, un team di sicurezza a San Francisco.
Cosa fare se avete un’azienda, un ufficio acquisti o un’aula
Per chi legge questo pezzo da un’impresa, e in Italia sono migliaia fra meccanica di precisione, elettronica, aerospazio e chimica, il rapporto è un manuale su come vi useranno, non su come vi attaccheranno. Le cose da fare, con il cappello del consulente e non del commentatore, sono quattro:
- Primo: trattate le richieste di preventivo come dati, non come posta. L’ufficio acquisti di Mosca funziona perché dall’altra parte c’è un commerciale che risponde a una mail in cinese corretto con un’offerta; un cliente nuovo che chiede beni a doppio uso per conto di un “ente di ricerca” non meglio identificato, con consegna in un Paese diverso da quello del richiedente, è una riga in un registro che una persona con nome e cognome deve leggere ogni settimana.
- Secondo: se vendete componenti che compaiono negli elenchi dei beni a duplice uso del Regolamento europeo 2021/821, chiedete all’intermediario chi è l’utente finale prima di spedire, e mettetelo per iscritto: la vostra corrispondenza, un giorno, sarà letta da qualcuno che cerca di capire da che parte stavate.
- Terzo: se usate assistenti di programmazione o agenti in azienda, sappiate che il vostro fornitore vede quello che ci fate, l’aggrega e in certi casi lo racconta. Sta scritto nel contratto: leggetelo, e decidete quali progetti passano di lì e quali no.
- Quarto: per chi insegna, siede in un consiglio d’amministrazione o scrive politiche pubbliche, la domanda da portare al prossimo incontro è chi controlla chi controlla. Un ente privato che vede più dell’intelligence nazionale e sceglie da solo con chi condividere è una novità istituzionale, e le novità istituzionali si regolano, altrimenti si subiscono.
Il negozio ha chiuso, ma…
Torniamo nel deserto, dove il razzo è caduto, la chat è stata chiusa, gli account non esistono più. Sul disco di qualcuno, nel nord dello Yemen, c’è un eseguibile che simula il volo di un missile senza bisogno di chiedere niente a nessuno, e sulle schede di tre programmatori russi c’è un firmware che riconosce una persona in un filmato. Il rapporto di Anthropic è un buon rapporto, scritto da gente competente, e racconta con onestà una cosa che le aziende di solito non raccontano; la cosa che non può raccontare è quanto è rimasto fuori dalla vetrina prima che la saracinesca scendesse.
La prossima volta che qualcuno vi dirà che l’intelligenza artificiale ha reso possibile un’arma, chiedetevi quale reparto ha sostituito, chi ha chiuso l’account, e quante ore sono passate fra il lancio fallito. E la domanda fnale: “perché”.
Per Approfondire
Teoria
- Michael Spence, “Job Market Signaling”, The Quarterly Journal of Economics, 87(3), 1973, https://doi.org/10.2307/1882010
- Henry Farrell, Abraham L. Newman, “Weaponized Interdependence: How Global Economic Networks Shape State Coercion”, International Security, 44(1), 2019, https://doi.org/10.1162/isec_a_00351
Fonti
- Anthropic: “Detecting and countering misuse of AI: September 2026” (10/09/2026), https://www.anthropic.com/threat-intelligence-report-september-2026
- Anthropic: PDF completo del rapporto (10/09/2026), https://www-cdn.anthropic.com/e50be2e51e7695dc4b1366a37a245a597377d3b5/Anthropic-Detecting-and-countering-091026.pdf
- Anthropic: “Disrupting the first reported AI-orchestrated cyber espionage campaign” (11/2025), https://assets.anthropic.com/m/ec212e6566a0d47/original/Disrupting-the-first-reported-AI-orchestrated-cyber-espionage-campaign.pdf
- SiliconANGLE: “Anthropic says AI now lets lone operators run state-level hacking campaigns” (10/09/2026), https://siliconangle.com/2026/09/10/anthropic-says-ai-now-lets-lone-operators-run-state-level-hacking-campaigns/
- CyberScoop: “AI lets small actors run state-level hacking campaigns, Anthropic report finds” (10/09/2026), https://cyberscoop.com/anthropic-report-ai-enabled-cyber-attacks/
- The Daily Caller: “Anthropic Reveals How It Stopped ‘Kamikaze Drone’ Swarms, Biological Weapons And More” (10/09/2026), https://dailycaller.com/2026/09/10/anthropic-report-kamikaze-drone-swarms-biological-weapons/
- TheNextWeb: “Anthropic’s Claude misuse report: spying, weapons and more” (10/09/2026), https://thenextweb.com/news/anthropic-claude-misuse-threat-intelligence-report
- BleepingComputer: “Anthropic claims of Claude AI-automated cyberattacks met with doubt” (11/2025), https://www.bleepingcomputer.com/news/security/anthropic-claims-of-claude-ai-automated-cyberattacks-met-with-doubt/
- OpenAI: “Disrupting malicious uses of AI: October 2025”, https://openai.com/global-affairs/disrupting-malicious-uses-of-ai-october-2025/
- Human Rights Watch: “UN Talks on Killer Robots ends with Calls for Negotiations Growing” (07/09/2026), https://www.hrw.org/news/2026/09/07/un-talks-on-killer-robots-ends-with-calls-for-negotiations-growing
- NPR: “A U.N. Report Suggests Libya Saw The First Battlefield Killing By An Autonomous Drone” (01/06/2021), https://www.npr.org/2021/06/01/1002196245/a-u-n-report-suggests-libya-saw-the-first-battlefield-killing-by-an-autonomous-d
- The Washington Institute: “The UN Exposes Houthi Reliance on Iranian Weapons” (2025), https://www.washingtoninstitute.org/policy-analysis/un-exposes-houthi-reliance-iranian-weapons
- U.S.-China Economic and Security Review Commission: “China’s Facilitation of Sanctions and Export Control Evasion”, https://www.uscc.gov/research/chinas-facilitation-sanctions-and-export-control-evasion
- Wolf Theiss: “EU to expand dual-use goods export control and sanctions regimes” (2026), https://www.wolftheiss.com/insights/eu-to-expand-dual-use-goods-export-control-and-sanctions-regimes-update-on-russian-sanctions-packages-and-emerging-technologies/
- Regolamento (UE) 2021/821 sui beni a duplice uso, https://eur-lex.europa.eu/eli/reg/2021/821/oj
