Quando Anthropic ha annunciato il 7 aprile 2026 di non voler rilasciare al pubblico Claude Mythos Preview, la motivazione ha attraversato tutta la stampa di settore in tre parole: «troppo pericoloso per essere rilasciato». Dietro la frase ci sono numeri concreti, pubblicati nella documentazione tecnica disponibile su red.anthropic.com. Vale la pena ricomporli, perché raccontano meglio di ogni headline il motivo di quella decisione.
Il benchmark Firefox: da 2 a 181 exploit riusciti
Anthropic ha testato Mythos Preview sullo stesso banco di prova in cui il modello immediatamente precedente, Claude Opus 4.6, era stato misurato. Bersaglio: il motore JavaScript di Firefox, uno dei software più scrutinati al mondo dalla comunità di ricerca di sicurezza offensiva.
- Claude Opus 4.6: 2 exploit riusciti su «several hundred attempts».
- Mythos Preview: 181 exploit riusciti, più altri 29 che hanno raggiunto il controllo dei registri (il primo gradino tipico per arrivare al controllo del flusso di esecuzione).
Non è un miglioramento marginale, è un cambio di regime. Opus 4.6 trovava qualcosa di sfruttabile con probabilità trascurabile; Mythos Preview, sullo stesso bersaglio e con lo stesso framework di test, produce exploit con un ritmo che sposta il motore di Firefox, per la prima volta, fuori dalla zona di discovery artigianale.
OSS-Fuzz: 595 crash su mille repository
La seconda batteria di test coinvolge circa mille repository open source inclusi nel sistema di fuzzing di Google OSS-Fuzz. I tier, nel lessico del report, corrispondono alla gravità del crash: tier 1-2 sono crash sfruttabili con sforzo limitato, tier 5 è il «full control flow hijack», cioè la condizione in cui un attaccante ottiene controllo completo del flusso di esecuzione del programma.
- Claude Sonnet 4.6 e Opus 4.6: tra 150 e 175 crash tier 1-2; un solo crash tier 3.
- Mythos Preview: 595 crash tier 1-2; full control flow hijack (tier 5) su dieci bersagli distinti.
I dieci control-flow hijack non sono prove di concetto in laboratorio su codice giocattolo: sono catene di exploit complete costruite dal modello su software di terzi, a partire dalla disponibilità del repository. Il salto di scala è di un ordine di grandezza e mezzo.
I costi: un bug serio per meno di cinquanta dollari
Il dato che più pesa sulla discussione di policy è però quello del costo. Un modello talmente potente da trovare bug critici, ma accessibile sul mercato a costo marginale, ridisegna l’economia della sicurezza offensiva. Dalla pagina ufficiale:
- scansione di OpenBSD: «under $20,000» per mille esecuzioni; un singolo bug reale «under $50».
- analisi di FFmpeg: «roughly ten thousand dollars».
- exploit funzionante su Linux kernel (ipset): «under $1000 at API pricing».
- secondo exploit sul kernel Linux: «under $2,000».
Un exploit di kernel Linux a meno di mille dollari di compute. La cifra è importante non perché un kernel exploit funzionante valga mille dollari sul mercato — in realtà ne vale diverse centinaia di migliaia — ma perché rimuove la scarsità dalla parte offensiva. Chi può permettersi un accesso API a un modello frontier può permettersi di far lavorare il modello anche solo per ottenere un primo foothold da cui partire per la catena successiva.
Scala del lavoro svolto
La pagina Anthropic dichiara che Mythos Preview ha identificato «thousands of additional high- and critical-severity vulnerabilities» nei settori analizzati: sistemi operativi, browser, VM memory-safe, librerie crittografiche, codec multimediali, implementazioni TCP e di sistema dei nomi di dominio, applicazioni web. Di queste vulnerabilità, Anthropic specifica che meno dell’1% è oggi patchata.
Un controllo manuale svolto su 198 report campione mostra che l’89% delle valutazioni automatiche di severità fatte dal modello corrisponde esattamente a quella umana: non si tratta quindi di un modello che produce falsi positivi in massa e lascia il lavoro di triage a un umano, ma di uno strumento con accuratezza di classificazione elevata anche sulla priorità.
Le categorie di vulnerabilità coperte
La pagina elenca in modo esplicito le classi di vulnerabilità affrontate con successo da Mythos Preview:
- memory safety: buffer overflow, use-after-free, double-free;
- bug di protocollo (caso tipico: OpenBSD SACK, 27 anni di vita);
- vulnerabilità nei codec (FFmpeg H.264, H.265, AV1);
- corruzione guest-to-host in virtual machine monitor memory-safe;
- authentication bypass in applicazioni web;
- debolezze crittografiche in TLS, AES-GCM, SSH;
- vulnerabilità logiche in kernel e applicazioni web;
- bug nei JIT compiler dei browser principali;
- bypass di KASLR tramite kernel pointer disclosure deliberata.
L’ampiezza dell’elenco è il secondo fatto pesante. Non siamo davanti a un modello specialistico capace su una sola classe di bug: l’accuratezza si mantiene su tutto lo spettro, da ciò che tipicamente un fuzzer trova per caso a ciò che richiede comprensione semantica del protocollo o del linguaggio.
Cosa dicono questi numeri letti insieme
Riassunti in modo operativo:
- Mythos Preview trasforma la ricerca di exploit sui motori browser da attività rara e artigianale a attività riproducibile su scala, con un salto di circa due ordini di grandezza rispetto al modello immediatamente precedente;
- su circa mille repository open source, produce catene di control-flow hijack su dieci bersagli distinti, di cui una frazione sono progetti centrali dell’ecosistema Linux;
- il costo di un bug serio è nell’ordine delle decine di dollari, un exploit di kernel Linux sotto i mille;
- la precisione nel classificare la severità è vicina a quella umana esperta;
- meno dell’1% delle vulnerabilità che il modello ha già trovato è oggi patchato.
Una volta messi in fila, i numeri rispondono alla domanda più frequente ricevuta da Anthropic dopo l’annuncio: perché non farlo uscire sotto qualche forma di paywall, o solo in cloud, o con guardrail? La risposta che emerge dalla pagina tecnica è pragmatica: con il 99% delle vulnerabilità scoperte non ancora corrette, qualunque forma di accesso allargato è un rischio di danno asimmetrico rispetto al beneficio.
Il dettaglio dei commitment crittografici
Un dato meno citato, ma importante per la trasparenza scientifica: la pagina di Anthropic contiene 14 hash SHA-3 che rappresentano altrettanti report di vulnerabilità e proof-of-concept oggi non divulgati. Sono impegni crittografici: consentono a un giornalista o a un ricercatore di verificare, una volta che la patch sarà rilasciata e Anthropic divulgherà i contenuti originali, che quei contenuti coincidono esattamente con quelli in possesso dell’azienda al momento della pubblicazione della pagina.
È una prassi presa in prestito dal mondo della ricerca accademica e usata raramente nel vulnerability disclosure. In questo caso serve a una funzione precisa: permettere a Anthropic di rivendicare ex post la paternità delle scoperte senza doverle rivelare oggi.
Fonti
Anthropic, «Claude Mythos Preview», pubblicato il 7 aprile 2026 (edited 9 aprile 2026) su red.anthropic.com/2026/mythos-preview. I numeri, i benchmark, le cifre di costo e la lista delle classi di vulnerabilità citate in questo articolo provengono tutti dalla stessa pagina.