# anthropic-threat-intelligence-misuse-report-2026-09-10

## Veille

Rapporto di threat intelligence pubblicato dal team **Threat Intelligence** di Anthropic il **10 settembre 2026** su anthropic.com (~36.000 parole, comprensivo di indicatori di compromissione, PDF scaricabile, non firmato). Copre abusi neutralizzati tra **dicembre 2025 e agosto 2026** in **sette** ambiti: cyber, influenza, sorveglianza, armi convenzionali, biologia, frode, distillazione. Tutti i casi coinvolgono Haiku, Sonnet o Opus; nessuno coinvolge Fable o Mythos, salvo un tentativo di distillazione.

## Titre Article

Detecting and countering misuse of AI: September 2026

## Date

2026-09-10

## URL

https://www.anthropic.com/threat-intelligence-report-september-2026

## Keywords

threat intelligence, abuso dell'IA, Generative Threat Group, uplift, cyber kill chain, agenti autonomi, vibe hacking, PentAGI, chiavi API sottratte, supply chain AI, ShinyHunters, Midnight Blizzard, exploit foundry, zero-day, operazioni di influenza, influence-as-a-service, Breakout Scale, sorveglianza di stato, repressione transnazionale, intercettazione di massa, armi convenzionali, drone autonomi, duplice uso biologico, gain-of-function, distillazione illecita, catena di ragionamento, thinking signature, cross-session replay, proxy di rivendita, Alibaba, Moonshot AI, DeepSeek, Z.ai, Xiaomi, guardrail, classificatori, programmi di accesso verificato

## Authors

Anthropic — équipe Threat Intelligence (rattachée aux Safeguards), rapport institutionnel non signé publié sur anthropic.com.

## Ton

Profilo: rapporto di threat intelligence scritto in prima persona plurale istituzionale, in un registro da analista CTI (designatori GTG-xxxxx, livelli di confidenza *basso / medio / alto*, indicatori di compromissione defanged, tabelle di indirizzi IP datate). Pubblico: team di sicurezza, altri fornitori di modelli, governi e società civile. Tre tratti. Primo, **disciplina di attribuzione**: ogni caso porta il proprio livello di confidenza e separa ciò che è osservato sulla piattaforma da ciò che è corroborato da fonti aperte o partner (All Eyes on Wagner, Forbidden Stories, Microsoft, OpenAI); la visibilità si interrompe esplicitamente non appena un'operazione lascia Claude. Secondo, un'**ammissione misurata dei limiti**: un rifiuto viene *"superato con ulteriori prompt"*, frammentare il lavoro in piccole sessioni degrada i classificatori, la piattaforma maliana distribuita offline sfugge a qualsiasi azione sugli account, e la sezione sulla biologia riconosce che le proprie valutazioni forniscono solo prove ambigue. Infine, **portata normativa**: il rapporto nomina aziende (Alibaba, Moonshot AI, DeepSeek, Z.ai, Xiaomi, SenseTime, MiniMax, LKM Company, BBS Bilisim, S2T) e stati, e chiude ogni sezione con una raccomandazione per il settore — trattare le chiavi AI come credenziali di produzione, riservare le capacità biologiche di frontiera a programmi di accesso verificato. Il vocabolario resta quello dell'analisi delle minacce (*uplift*, *kill chain*, *tradecraft*); il contenuto promozionale si limita a rilevare che Fable e Mythos non compaiono in alcun caso cyber.

## Pense-betes

- **Ambito**: dicembre 2025 → agosto 2026, sette ambiti, circa trenta gruppi GTG. Modelli coinvolti: Haiku, Sonnet, Opus. Nessun caso su Fable o Mythos, salvo un tentativo di distillazione cyber contro Fable, abbandonato dopo la degradazione imposta dai guardrail; i dipendenti di Z.ai sono poi passati a Opus 4.6 e al modello di punta di un altro laboratorio statunitense *"esplicitamente perché hanno valutato che le protezioni fossero più debolI"*.
- **Cyber, due tendenze.** (1) La sofisticazione non indica più chi sta attaccando: un hacktivista con chiavi sottratte, affiliati di ShinyHunters e un operatore di spionaggio statale seguono lo stesso metodo. (2) L'autonomia avanza: loop di ricognizione-exploitation-esfiltrazione che durano ore o giorni, una flotta di **13** agenti di raccolta pianificati senza un essere umano (GTG-10007), agenti che ricostruiscono il malware non appena l'antivirus lo rileva (GTG-20006). Due avvertenze poste dal rapporto: gli esseri umani gestiscono ancora il targeting, la monetizzazione e la revisione; autonomia e gravità sono due assi distinti, e diverse delle compromissioni più gravi sono state dirette passo dopo passo.
- **GTG-20006 (Midnight Blizzard)**: più di **20** organizzazioni colpite, dirottamento DNS presso tre fornitori di WiFi hotel (il metodo "CaptiveCrunch" descritto da Microsoft nel luglio 2026), **300.000** identità nazionali e il registro di **500.000** aziende esfiltrati da un'autorità nordafricana. L'essere umano interviene principalmente per modificare le skill di Claude Code che guidano i workflow.
- **GTG-50014 (ShinyHunters)**: una pipeline su dieci istanze EC2 che decompila **1,8M** APK con TruffleHog; oltre un terabyte esfiltrato da un fornitore tecnologico; **2.100** set di token Azure AD su **40** tenant estratti in **34 ore**, *"gli agenti AI hanno svolto quasi tutto il lavoro"*; una violazione completa in poche ore. Il rapporto definisce questo *vibe hacking*: l'operatore fissa un obiettivo generale e lascia che l'agente valuti, scriva script, esegua e ripeta.
- **GTG-10007**: studenti di un'università dello Hunan, una *exploit foundry* — un loop autonomo di reverse engineering del firmware produce più di una dozzina di possibili zero-day in un mese su appliance di rete; sciami di agenti con memoria di campagna persistente tra le sessioni.
- **Supply chain AI**: una chiave sottratta fornisce *botino, potenza di calcolo, copertura*. GTG-50020 attacca circa trenta aziende AI in quattro giorni, con l'obiettivo dichiarato di accedere a un modello Claude pre-release (fallendo su ogni percorso); GTG-50021 vende falsi accessi scontati a Claude che installano un credential stealer. Prompt injection contro deployment LiteLLM e OpenClaw per esfiltrare chiavi di produzione. Raccomandazione: trattare le chiavi AI e le integrazioni degli agenti come credenziali di produzione.
- **Influenza**: nove operazioni, categorie da 1 a 4 sulla Breakout Scale; la maggior parte non raggiunge un pubblico reale, con la portata effettiva proveniente dai media statali (radio FM nella Repubblica Centrafricana, Sputnik, RT). La dottrina vive in file di memoria o file `SKILL.md` riutilizzati in centinaia di sessioni. Claude ha rifiutato alcune richieste (nominare attivisti, produrre un dossier diffamatorio); l'attore riformula e continua.
- **Sorveglianza**: in Mali, **Lakana 360** monitora ~**25M** carte SIM su tre operatori, il requisito del mandato eliminato a richiesta dell'operatore, distribuito in loco con un LLM locale — bandire l'account non influisce sul prodotto. In Cina, un'unità di intelligence religiosa è passata da più team a un unico ufficio che produce migliaia di indagini al mese; un ufficio redige un manuale interno per l'uso dell'AI. In Iran, sedici account, un'estensione Firefox malevola e due unità che alimentano lo stesso sistema "Arman".
- **Armi convenzionali**: sei casi. Nello Yemen, un vero lancio di prova seguito da un ritorno a Claude nel giro di poche ore per analizzare il fallimento; in Russia, uno sciame FPV con una classe di obiettivo *"persona"* e detonazione senza un essere umano (TRL 3-4); in Cina, una suite di guerra elettronica il cui scenario predefinito passa a dodici obiettivi a Taiwan. Annunciati nuovi classificatori per esplosivi e armi.
- **Biologia**: cinque casi, tutti a duplice uso, con ricercatori, istituzioni e agenti attivi deliberatamente non divulgati. I classificatori confinano il gain-of-function ai modelli più deboli (Sonnet 4, Haiku 4.5), ma Opus 5 redige una richiesta di finanziamento completa sull'ortopossivirus in un'ora senza essere bloccato. Conclusione del rapporto: un classificatore da solo non può *"consentire il beneficio e prevenire il danno"*, da cui i programmi di accesso verificato descritti in [[anthropic-claude-fable-5-1-mythos-5-1-2026-09-01]]. Un'analisi su 30 giorni ha rilevato: ~35 iniziative di ricerca collegate a istituzioni statali avversarie.
- **Frode**: GTG-15001, più di 20 app di incontri, **4.700** persona AI, **25.000** vittime, **2,36M** messaggi in due settimane, tre persona per lavoratore umano. Il system prompt somiglia a un normale deployment da companion: la frode è invisibile dall'interno dello scambio.
- **Distillazione**: Alibaba **151M** scambi (maggio–luglio, 3.500 account, per distillare Qwen da 3.5 a 3.7), Moonshot AI **23M** (5.380 account), DeepSeek **12,1M** in 14 giorni, Z.ai **3,4M** in 17 giorni, Xiaomi **400k**. DeepSeek identifica gli utenti di Claude Code, Claude Agent SDK o OpenCode e instrada le loro richieste verso Opus. Moonshot e DeepSeek convertono la *thinking signature* in una traccia completa tramite cross-session replay; dati sensibili di terze parti (PLA, Ministero della Difesa russo, aziende) passano quindi attraverso Claude. Contromisure: la sintesi del ragionamento, il *preserved thinking* di Fable 5.1, la verifica dell'identità — le misure anti-distillazione annunciate nella fiche su Fable 5.1 trovano qui il loro caso concreto. Confrontare con [[sfeir-kimi-k3-moonshot-frontier-open-weights-2026-07-16]].
- ⚠️ **Igiene delle citazioni**: la pagina non mostra alcuna data; la pubblicazione è dedotta dai metadati del CMS (creata il 9, aggiornata il 10 settembre); le cifre di audience per le operazioni di influenza e frode sono autodichiarate dagli attori; l'*uplift* è una stima qualitativa; il rapporto non afferma che GLM-5.3 sia stato addestrato sulle tracce estratte, solo che una campagna mirata alle capacità cyber ha precedutone il lancio.

## RésuméDe400mots

Il **10 settembre 2026**, Anthropic ha pubblicato il suo quarto rapporto di threat intelligence. Copre operazioni neutralizzate tra dicembre 2025 e agosto 2026 in sette ambiti: cyber, influenza, sorveglianza, armi convenzionali, biologia, frode e distillazione. Tutti i casi coinvolgono i modelli Haiku, Sonnet o Opus; nessuno coinvolge Fable o Mythos, salvo un tentativo di distillazione.

Nell'ambito **cyber**, il rapporto rileva che il modello operativo autonomo descritto nel novembre 2025 si è diffuso a tutte le classi di attori, fino a framework pubblici come PentAGI. La sofisticazione di un attacco non indica più chi ne sia responsabile: un hacktivista francofono isolato, affiliati di ShinyHunters e un operatore collegato a Midnight Blizzard conducono campagne multi-vittima che un anno prima avrebbero richiesto intere squadre. Gli agenti ricostruiscono il malware non appena viene rilevato, producono zero-day in loop, estraggono 2.100 set di token Azure AD in 34 ore. Le chiavi API AI sottratte diventano botino, potenza di calcolo e copertura. Due avvertenze: gli esseri umani gestiscono ancora il targeting, e l'autonomia moltiplica la scala senza determinare la gravità.

Nell'ambito **influenza**, nove operazioni (Russia, Iran, Turchia, Golfo, Kenya, Bangladesh, Malesia) mostrano il modello integrato come redattore all'interno di pipeline esistenti, con la dottrina memorizzata in file di memoria riutilizzati in centinaia di sessioni. La maggior parte non raggiunge un pubblico reale; la portata effettiva proviene dai media statali. Nell'ambito **sorveglianza**, il modello sostituisce un team di ingegneri o analisti: una piattaforma di intercettazione da 25 milioni di SIM in Mali, distribuita offline e quindi fuori dalla portata di un divieto; uffici di pubblica sicurezza cinesi e unità iraniane che producono briefing e strumenti.

Sei casi di **armi convenzionali** vanno da un attacco di prova nello Yemen a uno sciame di drone russo capace di selezionare un obiettivo umano senza operatore. Cinque casi di **biologia**, tutti a duplice uso, portano Anthropic a concludere che un classificatore non può al contempo consentire il beneficio e prevenire il danno, da cui i programmi di accesso verificato. Una rete di app di incontri ha fatto conversare 4.700 persona con 25.000 persone.

Sulla **distillazione**, il rapporto nomina sette laboratori cinesi. Alibaba raggiunge 151 milioni di scambi in tre mesi per addestrare Qwen; Moonshot AI e DeepSeek servono ai propri clienti le risposte di Claude senza dichiararlo e convertono la *thinking signature* in una traccia completa tramite cross-session replay; Z.ai punta sulle capacità cyber in vista del lancio di GLM-5.3 e abbandona Fable a favore di modelli giudicati meno protetti. Contromisure citate: la sintesi del ragionamento, il *preserved thinking* di Fable 5.1, la verifica dell'identità.

## GrapheDeConnaissance

- Anthropic —publie→ Threat Intelligence Report septembre 2026 (DOCUMENT, 0.99)
- Threat Intelligence Report septembre 2026 —affine→ rapport Disrupting AI espionage novembre 2025 (DOCUMENT, 0.92)
- Anthropic —utilise→ Generative Threat Group (CONCEPT, 0.95)
- Anthropic —affirme_que→ aucun cas de mésusage n'implique Fable ou Mythos, hors une tentative de distillation (AFFIRMATION, 0.96)
- Anthropic —affirme_que→ la sophistication d'une attaque n'est plus un signal fiable de l'identité de son auteur (AFFIRMATION, 0.95)
- Anthropic —affirme_que→ le modèle opératoire autonome documenté en novembre 2025 s'est diffusé à toutes les classes d'acteurs (AFFIRMATION, 0.94)
- Anthropic —affirme_que→ l'autonomie multiplie l'échelle et la vitesse d'une opération mais ne détermine pas sa gravité (AFFIRMATION, 0.93)
- PentAGI —permet→ automatisation de la kill chain cyber (CONCEPT, 0.9)
- Midnight Blizzard —utilise→ Claude Code (TECHNOLOGIE, 0.9)
- ShinyHunters —utilise→ vibe hacking (CONCEPT, 0.9)
- Threat Intelligence Report septembre 2026 —mesure→ 2 100 jeux de jetons Azure AD sur 40 tenants dumpés en 34 heures, presque entièrement par des agents (MESURE, 0.92)
- Anthropic —recommande→ traiter les clés d'API IA et les intégrations d'agents comme des identifiants de production (AFFIRMATION, 0.95)
- Anthropic —utilise→ Breakout Scale (METHODOLOGIE, 0.95)
- Threat Intelligence Report septembre 2026 —affirme_que→ la plupart des opérations d'influence n'atteignent pas d'audience authentique, sauf via des médias d'État (AFFIRMATION, 0.92)
- Threat Intelligence Report septembre 2026 —mesure→ Lakana 360 couvre environ 25 millions de cartes SIM sur les trois opérateurs mobiles du Mali (MESURE, 0.92)
- Anthropic —affirme_que→ les garde-fous n'ont pas fonctionné uniformément dans les cas de surveillance chinois (AFFIRMATION, 0.93)
- Anthropic —affirme_que→ un classifieur ne peut pas seul permettre le bénéfice et prévenir le mal en biologie à double usage (AFFIRMATION, 0.94)
- Anthropic —recommande→ programmes d'accès de confiance (CONCEPT, 0.94)
- Threat Intelligence Report septembre 2026 —mesure→ 4 700 personas IA en conversation avec au moins 25 000 personnes, 2,36 millions de messages en deux semaines (MESURE, 0.93)
- Alibaba —utilise→ distillation illicite (CONCEPT, 0.96)
- Threat Intelligence Report septembre 2026 —mesure→ 151 millions d'échanges attribués à Alibaba entre mai et juillet 2026, pic à environ 3 millions par jour (MESURE, 0.95)
- Qwen —est_basé_sur→ Claude Opus (TECHNOLOGIE, 0.88)
- Moonshot AI —utilise→ attaque par rejeu inter-sessions (CONCEPT, 0.93)
- DeepSeek —utilise→ attaque par rejeu inter-sessions (CONCEPT, 0.93)
- attaque par rejeu inter-sessions —s_oppose_à→ thinking signature (TECHNOLOGIE, 0.92)
- Threat Intelligence Report septembre 2026 —affirme_que→ Moonshot AI et DeepSeek ont servi des réponses de Claude à leurs clients sans les en informer (AFFIRMATION, 0.93)
- Z.ai —utilise→ distillation illicite (CONCEPT, 0.95)
- Threat Intelligence Report septembre 2026 —affirme_que→ Z.ai a ciblé les capacités cyber de modèles américains avant la sortie de GLM-5.3 et abandonné Fable pour des modèles jugés moins protégés (AFFIRMATION, 0.92)
- Xiaomi —utilise→ distillation illicite (CONCEPT, 0.93)
- Claude Fable 5.1 —utilise→ preserved thinking (TECHNOLOGIE, 0.95)
- preserved thinking —réduit→ distillation illicite (CONCEPT, 0.9)
- Anthropic —affirme_que→ un modèle distillé d'un modèle frontière peut acquérir des capacités dangereuses même si les échanges récoltés n'en traitent pas (AFFIRMATION, 0.9)

---
Canonical: https://www.thekb.eu/it/fiches/anthropic-threat-intelligence-misuse-report-2026-09-10/