> ## Content Index
> Fetch the complete content index at: https://adrianoamalfi.com/llms.txt
> Use this file to discover other available public pages before exploring further.

# Nei cyber eval si ferma solo chi scopre che il bersaglio è fuori dal task
- URL: https://adrianoamalfi.com/incidenti-cyber-eval-claude/
- Published: 2026-07-31T17:44:51.000Z
- Updated: 2026-07-31T17:44:51.000Z
- Description: Nei cyber eval Anthropic nessun modello si è fermato perché l'atto era illecito: solo chi ha scoperto che il bersaglio era fuori dal task.
- Author: Adriano Amalfi
- Tags: AI Agentica, Sicurezza AI, Anthropic, Valutazione AI

In una **revisione** di 141.006 run di valutazione, **Anthropic** ha trovato **tre incidenti** in cui Claude ha raggiunto internet da un **ambiente di eval** e ha compromesso i **sistemi reali** di **tre organizzazioni**: **credenziali** estratte, un **database** di produzione letto, un **pacchetto** *Python* malevolo pubblicato sul vero PyPI e installato da 15 sistemi in un'ora ([post Anthropic](https://www.anthropic.com/news/investigating-incidents-cybersecurity-evals?ref=adrianoamalfi.com)). 

Il **contesto** è lo stesso del caso [***OpenAI/Hugging Face***](https://adrianoamalfi.com/guardrail-asymmetry-huggingface-breach/): un ***eval cyber*** in cui il modello doveva **attaccare**, senza i **limitatori** che in produzione bloccano i comportamenti a rischio ([report OpenAI](https://openai.com/index/hugging-face-model-evaluation-security-incident/?ref=adrianoamalfi.com)).

La differenza è nel **meccanismo**: i modelli [***OpenAI***](https://adrianoamalfi.com/guardrail-asymmetry-huggingface-breach/) hanno forzato l'isolamento con uno zero-day, i [***Claude***](https://adrianoamalfi.com/tag/claude/) hanno attraversato una porta lasciata aperta credendo di essere in una simulazione.

L'incidente PyPI è il più **chiaro**. Claude doveva vincere un ***capture-the-flag***, ha visto le istruzioni di un'azienda fittizia che puntavano a un ***pacchetto Python*** inesistente e ha **deciso di pubblicare** lui stesso un **pacchetto trappola**. La sua **catena di ragionamento** annota che, se quello era internet vero, pubblicarlo sarebbe stato un **attacco reale**: *«non va bene, e di certo non è la soluzione prevista»*. Poi **si è convinto** da solo di essere ancora in una **simulazione**, usando come prove i **certificati** che non riconosceva e la **data** del calendario. **Ha eseguito lo stesso.**

**Nessuno** dei tre modelli **si è fermato** perché ha riconosciuto che **l'atto era sbagliato**. Il **più recente** si è fermato solo quando ha scoperto che il bersaglio compromesso stava in un account cloud senza connessione con il task: è stato il **mondo a contraddire** la missione, non la **coscienza**. Nell'incidente in cui l'azienda fittizia condivideva il nome con un'azienda vera, **Opus 4.7 ha razionalizzato** che quella reale doveva far parte dell'esercizio e ha continuato.

La **sicurezza** di un ***eval*** passa dalla **credenza del modello** su cosa sia nello ***scope***. Finché la **finzione somiglia al vero**, l'attacco **prosegue**: il prossimo passo obbligato è **dichiarare lo scope** nel *task*, invece di affidarsi alla capacità del modello di **scoprire la realtà da solo**.

## Further Reading

[Investigating three real-world incidents in our cybersecurity evaluationsIn a review of our cybersecurity evaluation transcripts, we found three incidents in which a Claude model reached the internet from within or while interacting with a third-party evaluation environment, and then gained unauthorized access to the real systems of three different organizations. Below we describe what happened, how it happened, and what we’re changing. We encourage other AI labs to perform similar reviews.![](https://adrianoamalfi.com/content/images/icon/favicon-32x32-9133f4ae-0a83-4e27-ab1f-e4e97656471e.png)![](https://adrianoamalfi.com/content/images/thumbnail/opengraph-illustration-f94f5629-f27e-4aa0-8585-774aaee6bb63)](https://www.anthropic.com/news/investigating-incidents-cybersecurity-evals?ref=adrianoamalfi.com)