I casi di uso improprio dell'IA di Anthropic espongono i limiti delle salvaguardie biologiche

Anthropic ha bloccato account collegati a cinque casi di ricerca biologica dopo aver rilevato attività che sollevavano preoccupazioni sulle armi, nonostante il lavoro apparisse spesso scientificamente legittimo. La divulgazione sull'uso improprio dell'IA di Anthropic trasforma un dibattito teorico sulla sicurezza in un problema di applicazione delle regole a livello di account.

L'azienda non sostiene che Claude abbia aiutato qualcuno a costruire un'arma biologica. Afferma inoltre di non essere riuscita a determinare se gli scienziati intendessero causare danni. Il suo rapporto descrive invece ricercatori impegnati in lavori a duplice uso mentre nascondevano le proprie località, identità o dettagli della ricerca.

Questa distinzione conta. Anthropic ha individuato attività che apparivano preoccupanti quando prompt, affiliazioni istituzionali, modalità di accesso e schemi di ricerca venivano considerati nel loro insieme. Eppure, singole richieste talvolta somigliavano a normali ricerche su vaccini, terapie o malattie.

Questo crea un conflitto più netto di una semplice contrapposizione tra IA sicura e non sicura. I modelli di frontiera possono sostenere la scienza di valore, ma la stessa assistenza può favorire ricerche pericolose. Bloccare ogni richiesta ambigua imporrebbe costi reali agli scienziati legittimi.

La risposta di Anthropic mette inoltre sotto pressione OpenAI, Google, Meta, i rivenditori di modelli, i provider cloud e i governi. Le salvaguardie di un singolo provider offrono una protezione limitata quando gli utenti possono indirizzare le richieste rifiutate a un altro modello.

Le indagini sull'uso improprio dell'IA di Anthropic hanno individuato cinque casi biologici

Il cambiamento centrale è che Anthropic afferma di aver osservato un possibile uso improprio biologico tra utenti reali, non solo durante valutazioni di sicurezza controllate.

Anthropic ha pubblicato le sue conclusioni il 10 settembre 2026. La divulgazione faceva parte del terzo rapporto pubblico di intelligence sulle minacce dell'azienda da marzo 2025.

Il rapporto copriva attività dannose e in violazione delle policy rilevate tra dicembre 2025 e agosto 2026. I casi più ampi includevano criminalità informatica, sorveglianza, propaganda, lavoro su armi convenzionali e tentativi di copiare le capacità dei modelli.

La sezione biologica descriveva cinque indagini. Riguardavano ricerche connesse a virus, evasione immunitaria, adattamento nei mammiferi, peptidi del veleno e tossine riprogettate.

Anthropic ha omesso i nomi dei ricercatori, i Paesi, le istituzioni e diversi dettagli tecnici. Ha affermato che la divulgazione avrebbe potuto esporre scienziati operativi a rischi, soprattutto perché le loro intenzioni restavano poco chiare.

Questa incertezza è essenziale per comprendere il rapporto. L'azienda non ha identificato un'arma completata, un piano di impiego o un tentativo confermato di provocare un'epidemia.

La sua affermazione più circoscritta resta comunque significativa. Anthropic sostiene che alcuni soggetti abbiano usato Claude per lavori che avrebbero potuto supportare lo sviluppo di armi biologiche e abbiano ripetutamente cercato di nascondere contesti importanti.

L'esempio più dettagliato è iniziato nel maggio 2026. Un classificatore di sicurezza biologica ha bloccato una richiesta di aiuto per redigere una domanda di finanziamento scientifico relativa al virus chikungunya.

Il lavoro proposto riguardava ricerca sul guadagno di funzione, ossia esperimenti progettati per conferire a un organismo una proprietà biologica nuova o potenziata. Il progetto era incentrato sulla trasmissione e sull'evasione immunitaria.

Questo tipo di ricerca può sostenere vaccini e trattamenti. Può anche rendere un patogeno più dannoso, rendendo difficile giudicare le intenzioni basandosi soltanto sul linguaggio scientifico.

Anthropic è diventata più preoccupata perché gli esperimenti proposti erano associati a un istituto di ricerca militare. Secondo le informazioni contenute nella domanda, i ricercatori sembravano civili.

Gli utenti si trovavano inoltre in una regione in cui Anthropic non offriva Claude. Una piattaforma avrebbe instradato il traffico attraverso infrastrutture americane per aggirare tali restrizioni geografiche.

Secondo l'indagine sull'uso improprio di Anthropic, la piattaforma utilizzava intermediari, account sintetici e un servizio a conservazione zero dei dati. Tale servizio limitava i registri disponibili per le indagini successive.

Anthropic afferma di aver vietato gli account associati, contribuito a disabilitare l'infrastruttura di inoltro e notificato altre aziende di IA e autorità governative. Tuttavia, l'operatore ha ripristinato l'accesso nel giro di pochi giorni utilizzando nuovi account.

Il servizio ha inoltre iniziato a inviare prompt biologici rifiutati a un modello concorrente con controlli più permissivi. Secondo quanto riferito, Claude ha aiutato a scrivere il codice di instradamento dopo che il compito era stato presentato come un modo per ridurre i rifiuti eccessivi.

Questa sequenza rende il caso più rilevante di un singolo prompt proibito. L'azione di applicazione delle regole ha interrotto l'accesso, ma non ha eliminato il più ampio sistema di ricerca tra modelli.

Una seconda indagine riguardava la ricerca sull'influenza aviaria condotta da un utente al di fuori degli Stati Uniti. Il lavoro esaminava l'adattamento ai mammiferi e malattie gravi oltre l'apparato respiratorio.

Anthropic afferma che le sue salvaguardie hanno confinato il ricercatore a modelli meno capaci. Questa restrizione ha limitato l'accesso senza risolvere la questione se il progetto servisse la salute pubblica o un programma dannoso.

Un terzo caso riguardava un relay che serviva più di 12 clienti non correlati. Anthropic afferma che il relay ha scambiato decine di migliaia di messaggi con Claude nell'arco di diversi giorni.

Un cliente ha usato Opus 5 per circa un'ora per redigere una domanda di finanziamento relativa all'evasione immunitaria dell'orthopoxvirus. Secondo quanto riferito, Claude ha assistito con l'ipotesi, la progettazione sperimentale, la statistica e la pianificazione delle contingenze.

Il modello non ha bloccato quella sessione. Anthropic afferma che il progetto era inquadrato attorno all'attenuazione, che generalmente significa ridurre le proprietà dannose di un agente biologico.

I casi finali riguardavano composti derivati dal veleno e tossine riprogettate. Entrambi i progetti erano presentati in un'ottica terapeutica, ma Anthropic ha rilevato segnali contestuali che suggerivano ricerca sostenuta dallo Stato e un occultamento deliberato.

Nel loro insieme, i cinque casi hanno spostato l'argomentazione di Anthropic sulla sicurezza biologica dai test di laboratorio verso comportamenti osservati. Non hanno stabilito che fosse in costruzione un'arma biologica.

La copertura originale ha colto con attenzione questa distinzione. Anthropic ha bloccato ricerche che avrebbero potuto sostenere le armi, anziché fermare un programma di armamenti verificato.

Le salvaguardie hanno funzionato, ma solo in parte

Le prove di Anthropic mostrano che i filtri di sicurezza possono interrompere richieste dall'aspetto pericoloso, mentre utenti determinati possono ancora sfruttare l'ambiguità e i servizi concorrenti.

L'azienda ha utilizzato diversi livelli di difesa. Includevano classificatori di contenuto, indagini sugli account, controlli regionali di accesso, restrizioni sulle capacità dei modelli e cooperazione con partner esterni.

Un classificatore è un sistema automatizzato che valuta una richiesta alla ricerca di violazioni delle policy o rischi per la sicurezza. Può bloccare, reindirizzare o segnalare attività per una revisione umana.

Nel caso chikungunya, secondo quanto riferito il classificatore ha rifiutato la richiesta di redazione della domanda di finanziamento. Quel blocco iniziale ha dato agli investigatori di Anthropic un motivo per esaminare gli account e l'infrastruttura circostanti.

L'indagine ha quindi rivelato informazioni che il solo prompt non avrebbe potuto mostrare. I segnali rilevanti includevano un'affiliazione militare, l'occultamento della località, l'accesso sul mercato grigio e tentativi di instradare altrove i rifiuti.

Questo è l'argomento più forte a favore dell'approccio di Anthropic. La moderazione dei contenuti diventa più utile quando è combinata con la cronologia degli account, il contesto istituzionale e il comportamento di rete.

Tuttavia, lo stesso caso ha rivelato diverse debolezze. La piattaforma ha riottenuto l'accesso, i suoi clienti hanno continuato a raggiungere Claude tramite intermediari e altri modelli hanno accettato richieste rifiutate da Claude.

Le indagini sulle tossine hanno esposto un problema diverso. Anthropic afferma che quei progetti sono proceduti in gran parte senza interferenze da parte del suo classificatore biologico.

Questo esito era in parte intenzionale. Il classificatore si concentrava sull'impedire ai non esperti di ottenere istruzioni che potessero consentire danni catastrofici con armi biologiche note.

I ricercatori in questi casi non erano principianti che ponevano domande evidenti. Erano specialisti al lavoro su composti nuovi con applicazioni terapeutiche e dannose.

Un filtro che rifiutasse ogni discussione su tossine, patogeni o modificazione genetica renderebbe Claude molto meno utile agli scienziati. Genererebbe inoltre falsi positivi in attività legittime.

Anthropic si è quindi trovata di fronte a due rischi distinti. Un sistema permissivo potrebbe assistere ricerche dannose, mentre un sistema aggressivo potrebbe ostacolare la medicina, la salute pubblica e la scienza di base.

Secondo quanto riferito, gli ultimi modelli dell'azienda utilizzano restrizioni più severe per una gamma più ampia di query biologiche a duplice uso. Tali controlli riflettono la valutazione in evoluzione di Anthropic sulle capacità dei modelli.

Anthropic aveva in precedenza giudicato Claude Opus 4 e Claude Sonnet 4.5 molto al di sotto di una soglia pericolosa di assistenza biologica. Il suo rapporto attuale ritira tale assicurazione per i sistemi più recenti.

L'azienda non afferma che i modelli odierni abbiano superato una soglia misurata con precisione. Sostiene invece che le prove disponibili non supportano più la precedente fiducia.

Si tratta di un cambiamento significativo. Le misure di sicurezza stanno diventando più severe perché l'incertezza è aumentata insieme alle capacità di ragionamento scientifico.

Anthropic afferma inoltre che i casi biologici non hanno generalmente coinvolto i suoi sistemi più nuovi e capaci. Un'operazione illecita di estrazione del modello è stata la principale eccezione segnalata.

Questo complica il quadro. L'uso improprio osservato non dimostra che i modelli più recenti abbiano prodotto un aumento decisivo delle capacità biologiche.

Il rapporto mostra invece servizi precedenti e attuali inseriti in flussi di lavoro di ricerca più ampi. Il loro valore derivava da redazione, sintesi, pianificazione, analisi e supporto software.

I casi di uso improprio dell'IA di Anthropic rivelano quindi un problema operativo prima di dimostrare una capacità catastrofica. Gli utenti possono distribuire il lavoro tra modelli, account e fornitori di servizi.

Un rifiuto in un punto può diventare un'istruzione di instradamento. Un account chiuso può diventare una nuova identità. Una regione bloccata può diventare traffico che passa attraverso infrastrutture americane.

Questi comportamenti ricordano schemi consolidati di cybersecurity. I sistemi difensivi devono valutare campagne persistenti, non soltanto singole richieste.

Anthropic è giunta a una conclusione simile per le applicazioni militari e di intelligence. Le sue valutazioni sulle armi hanno rilevato che i modelli possono svolgere compiti un tempo riservati a specialisti rari.

Il modello di sicurezza risultante dipende da un'osservazione persistente. Eppure una maggiore osservazione solleva a sua volta questioni di privacy, accesso e governance.

La biologia a duplice uso rende l'intento il segnale più difficile

La disputa non riguarda il fatto che la ricerca biologica possa essere pericolosa, ma se un provider di IA possa distinguere in modo affidabile la scienza benefica dalla preparazione dannosa.

La ricerca a duplice uso produce conoscenze o tecnologie con applicazioni sia benefiche sia dannose. La biologia ne offre molti esempi, poiché gli stessi meccanismi influenzano terapie, vaccini, tossine e armi.

Uno scienziato che studia come un virus eluda l'immunità potrebbe migliorare il rilevamento delle epidemie. Un altro soggetto potrebbe usare risultati simili per aumentare gli effetti dannosi di un patogeno.

Il vocabolario può restare quasi identico. Anche le attrezzature, i dataset, i metodi sperimentali e la letteratura possono sovrapporsi.

Anthropic afferma che soggetti sofisticati possono sfruttare questa ambiguità per mantenere una negabilità plausibile. I ricercatori potrebbero persino non conoscere completamente gli obiettivi finali di un programma statale.

Questa affermazione ha fondamento storico. I grandi programmi statali hanno suddiviso il lavoro sensibile tra specialisti che non sempre sapevano come sarebbe stato utilizzato il loro contributo.

Tuttavia, il precedente storico non stabilisce l’intento alla base dei cinque casi di Anthropic. L’azienda evita esplicitamente di formulare questa accusa.

Le sue decisioni di applicazione delle regole si sono basate su segnali di rischio combinati. Tra questi figuravano località non supportate, collegamenti militari, identità nascoste, terminologia offuscata e tentativi di aggirare le salvaguardie.

Anche questo contesto più ampio può produrre errori. I ricercatori in Paesi soggetti a restrizioni possono utilizzare relay perché desiderano accedere a migliori strumenti scientifici, non perché stiano sviluppando armi.

Un’istituzione militare può condurre ricerca difensiva. L’ottimizzazione delle tossine può portare a trattamenti contro il dolore. Gli studi sull’adattamento virale possono migliorare la sorveglianza e la preparazione.

Per questo l’attività bloccata non dovrebbe essere descritta come cinque complotti sulle armi biologiche sventati. Le prove di Anthropic giustificano preoccupazione, indagine e restrizioni, ma non quella conclusione.

Alcuni scienziati riferiscono già che i filtri di sicurezza dell’AI interferiscono con normali domande di laboratorio. I ricercatori hanno dichiarato a The Atlantic che Claude e ChatGPT avevano bloccato discussioni riguardanti la genetica virale e l’inattivazione dei patogeni.

La critica scientifica dimostra il costo di restrizioni ampie. Un sistema può ridurre un rischio degradando al contempo una preziosa assistenza alla ricerca.

OpenAI ha dichiarato alla pubblicazione che i suoi modelli non forniscono informazioni biologiche che potrebbero consentire danni. Ha inoltre indirizzato i ricercatori legittimi verso un programma di accesso verificato.

L’accesso verificato offre un possibile compromesso. Un fornitore può concedere a istituzioni approvate capacità più ampie, applicando al contempo controlli più severi agli utenti anonimi o non verificati.

Anthropic giunge a una conclusione simile nel suo rapporto. Sostiene che un’assistenza biologica altamente capace potrebbe dover operare attraverso programmi per utenti fidati.

Questo approccio sposta la decisione di sicurezza oltre la sola formulazione del prompt. Identità, istituzione, località, cronologia del progetto e responsabilità diventano parte del controllo degli accessi.

Il compromesso resta difficile. Un sistema di accesso fidato può favorire laboratori consolidati escludendo ricercatori indipendenti, istituzioni più piccole e scienziati in regioni soggette a restrizioni politiche.

Può anche concentrare il potere nelle aziende private. Queste aziende deciderebbero quali istituzioni si qualificano e quali argomenti scientifici meritano maggiore scrutinio.

Restano possibili anche falsi negativi. Un’organizzazione verificata può abusare dell’accesso, nascondere un progetto o fornire informazioni incomplete.

Le conclusioni di Anthropic mostrano perché né l’accesso universale né il rifiuto universale risolvono il problema. La questione pratica diventa quante capacità ricevano gli utenti a diversi livelli di verifica.

L’azienda deve inoltre decidere per quanto tempo conservare i dati per il rilevamento delle minacce. Gli accordi di conservazione zero dei dati proteggono la ricerca riservata, ma possono impedire agli investigatori di ricostruire un abuso.

Questo crea un conflitto diretto tra privacy e sicurezza. La scienza sensibile richiede spesso riservatezza, mentre rilevare abusi coordinati richiede registri sufficienti a collegare le attività nel tempo.

Il monitoraggio degli account diventa quindi importante quanto l’allineamento dei modelli. Questo sviluppo influenzerà laboratori, imprese e lavoratori della conoscenza che gestiscono informazioni tecniche riservate.

Le organizzazioni potrebbero dover documentare quali modelli ricevono dati sensibili, quali account vi hanno accesso e come il lavoro generato dall’AI confluisce nelle decisioni di ricerca. Una base di conoscenza AI governata può supportare questa tenuta dei registri senza decidere la politica di sicurezza sottostante.

Il punto importante è la responsabilità. Una risposta del modello non dovrebbe diventare un passaggio invisibile all’interno di un flusso di lavoro scientifico ad alto rischio.

La divulgazione di Anthropic mette sotto pressione ogni fornitore di AI di frontiera

Il fornitore, rivenditore o modello aperto più debole può compromettere le salvaguardie imposte da un servizio più prudente.

Il principale avversario di Anthropic non è un’altra azienda specifica. È un mercato dell’AI frammentato, in cui gli standard di sicurezza differiscono e gli utenti possono spostare il lavoro tra sistemi.

L’indagine sulla chikungunya lo illustra direttamente. Quando Claude ha respinto alcune richieste, l’intermediario le avrebbe inviate a un altro modello.

Questa soluzione alternativa ha preservato l’esperienza del cliente, vanificando però lo scopo del rifiuto di Claude. Il fornitore ricevente non è stato identificato.

Questo schema crea un problema di azione collettiva. Un’azienda assorbe i costi commerciali e scientifici di controlli più severi, mentre un altro servizio intercetta la domanda respinta.

Gli utenti possono anche dividere un progetto sensibile in compiti più piccoli. Nessun singolo prompt deve rivelare lo scopo completo.

Un modello potrebbe riassumere la letteratura. Un altro potrebbe generare codice. Un terzo potrebbe modificare una proposta, mentre strumenti biologici esterni gestiscono il lavoro di progettazione specializzato.

Le salvaguardie a livello di fornitore faticano quando l’intento rilevante emerge solo dall’intero flusso di lavoro. Ogni servizio vede una registrazione parziale.

I modelli a pesi aperti aggiungono un’altra complicazione. I loro parametri software possono essere scaricati e utilizzati al di fuori dei sistemi di applicazione ospitati dal fornitore.

La ricerca di Anthropic sulle armi convenzionali ha rilevato che i modelli a pesi aperti testati erano indietro rispetto alla frontiera. Ha comunque giudicato preoccupanti alcune delle loro capacità di puntamento e ingegneria.

Ciò significa che l’applicazione delle regole non può fare affidamento interamente sulle aziende di frontiera. Le capacità possono diffondersi a modelli privi di blocchi centralizzati degli account, monitoraggio del traffico o restrizioni regionali.

I fornitori ospitati mantengono vantaggi importanti. Possono aggiornare i classificatori, indagare sui cluster, sospendere account e condividere indicatori con altre aziende.

Il rapporto di settembre mostra Anthropic utilizzare queste capacità. Ha vietato account, modificato le salvaguardie, monitorato attività correlate e contattato partner pubblici e privati.

L’azienda ha inoltre esaminato un campione di 30 giorni collegato a istituzioni statali avversarie. Ha identificato circa 35 attività di ricerca, la maggior parte delle quali riguardava la normale scienza civile.

Questa conclusione merita uguale attenzione. La maggior parte dell’attività in un insieme istituzionale sospetto non è stata presentata come pericolosa.

Il numero minore di casi preoccupanti dimostra perché restrizioni geografiche indiscriminate sono inadeguate. La regione può essere un segnale di rischio, ma non può sostituire le prove sul comportamento.

La divulgazione di Anthropic mette sotto pressione anche i regolatori. I governi non possono limitarsi a dire ai fornitori di modelli di prevenire gli abusi senza definire regole per supervisione, giusto processo e condivisione delle informazioni.

Lo scienziato informatico della Cornell John Thickstun ha dichiarato all’Associated Press che le aziende affrontano scomodi giudizi sociali senza deliberazione democratica. La sua preoccupazione si applica direttamente alle decisioni sull’accesso biologico.

Un fornitore può interrompere il servizio in base alla propria politica d’uso. Decidere chi possa utilizzare un’assistenza scientifica avanzata, tuttavia, comincia ad assomigliare alla governance della ricerca.

Tradizionalmente questo ruolo coinvolge comitati di revisione istituzionale, comitati di biosicurezza, finanziatori, regolatori e agenzie di sicurezza nazionale. Le aziende di AI si trovano ora nella stessa catena decisionale.

I fornitori controllano inoltre gran parte delle prove. Possono vedere prompt, collegamenti tra account e comportamenti di instradamento che i ricercatori esterni non possono esaminare in modo indipendente.

I rapporti pubblici sulle minacce aiutano, ma la divulgazione selettiva ha dei limiti. Le omissioni proteggono investigatori e utenti, rendendo al contempo difficile la verifica indipendente.

Anthropic non ha rilasciato le identità né i registri completi delle interazioni alla base dei cinque casi. Gli esperti esterni non possono quindi riprodurre le sue valutazioni dell’intento.

Il resoconto dell’azienda dovrebbe essere trattato come una seria divulgazione di fonte primaria, non come un audit neutrale. Il suo posizionamento sulla sicurezza e i suoi interessi normativi costituiscono un contesto rilevante.

Allo stesso tempo, liquidare il rapporto come marketing ignorerebbe gli specifici dettagli operativi. Relay, identità nuove, località nascoste e offuscamento deliberato sono indicatori consolidati di comportamento elusivo.

La risposta corretta è lo scrutinio, non la certezza. I fornitori dovrebbero divulgare metodi, incertezza, rischi di falsi positivi e risultati dell’applicazione delle regole senza rilasciare istruzioni tecniche pericolose.

Il coordinamento del settore sarà necessario, ma necessita anch’esso di confini. Una condivisione ampia dei dati degli utenti potrebbe minacciare la privacy, la libertà accademica e la ricerca legittima.

Standard chiari dovrebbero definire quali informazioni possano essere condivise, con chi e sotto quale autorità legale. I ricercatori dovrebbero inoltre avere un modo per contestare restrizioni errate.

Senza tali protezioni, le salvaguardie biologiche rischiano di diventare un opaco sistema di licenze amministrato da poche aziende di AI.

Le prove non dimostrano una pandemia imminente creata dall’AI

Anthropic ha documentato modelli d’uso preoccupanti, ma il suo rapporto non stabilisce che Claude abbia consentito un’arma utilizzabile o aumentato materialmente la pericolosità di un patogeno.

Questa distinzione scettica non indebolisce la necessità di salvaguardie. Definisce ciò che le prove disponibili possono sostenere.

Anthropic afferma che i cinque casi dimostrano che una ricerca significativa a duplice uso è associata ad attori preoccupanti che aggirano i controlli di accesso. Non li presenta come prova di un attacco imminente assistito da Claude.

La differenza tra assistenza informativa e capacità biologica fisica è sostanziale. Il lavoro nel mondo reale richiede competenze specialistiche, laboratori, materiali, attrezzature, test ed esecuzione operativa.

Un modello linguistico può accelerare parti della ricerca senza rimuovere tali barriere. L’entità dell’accelerazione resta difficile da misurare dai registri degli account.

Le valutazioni controllate possono confrontare gli utenti di modelli con partecipanti non assistiti. Tuttavia, Anthropic riconosce che le valutazioni non possono dimostrare che una capacità sosterrà lo sviluppo di armi nel mondo reale.

L’uso osservato offre prove complementari. Mostra che i ricercatori ritengono i modelli sufficientemente utili da integrarli nei loro flussi di lavoro.

La convinzione e l’uso non equivalgono comunque a un incremento decisivo. Un modello potrebbe migliorare scrittura, organizzazione, traduzione o programmazione senza risolvere i problemi biologici più difficili.

Il terzo caso evidenzia questa ambiguità. Produrre una proposta di sovvenzione dettagliata in circa un’ora dimostra velocità e ampiezza, ma una proposta non è un esperimento.

Allo stesso modo, l’aiuto editoriale sui risultati scientifici può far risparmiare tempo. Non dimostra che Claude abbia selezionato mutazioni riuscite o consentito un patogeno utilizzabile.

L’analisi sulla biosicurezza di Axios ha riportato una preoccupazione più ampia tra gli esperti di sicurezza nazionale. Ha inoltre sottolineato l’incertezza su come i sistemi di AI si comportino e su come dovrebbero operare le protezioni.

Gli eventi biologici catastrofici meritano attenzione anche quando la loro probabilità è bassa. Le conseguenze costituiscono un forte argomento a favore di precauzione, valutazione e intervento precoce.

Tuttavia, descrizioni esagerate possono compromettere questo lavoro. Definire una ricerca ambigua un programma d’armi fermato potrebbe ridurre la fiducia tra gli scienziati, la cui collaborazione è necessaria.

L’enfasi eccessiva può anche oscurare rischi più immediati documentati nello stesso rapporto di Anthropic. Tra questi figurano criminalità informatica, sorveglianza, propaganda e sviluppo di armi convenzionali.

A differenza della speculativa progettazione autonoma di patogeni, molte di queste attività rientrano in modelli di minaccia consolidati. Gli attori sanno già come utilizzare l’assistenza software per frode, puntamento o ingegneria.

La valutazione delle minacce di Anthropic dovrebbe quindi essere letta come un portafoglio di rischi con diversi livelli di evidenza. L’abuso biologico è tra i più rilevanti per conseguenze, ma anche tra i più difficili da classificare.

Esiste un altro problema di misurazione. Anthropic vede solo l’attività che raggiunge i suoi servizi e sistemi di rilevamento.

Non può quantificare il lavoro svolto tramite modelli locali, altri fornitori, laboratori disconnessi o account che riescono a eludere le indagini.

I cinque casi non rappresentano una stima della prevalenza. Non possono rivelare quale percentuale dell’uso in ambito biologico sia dannosa né quanti progetti preoccupanti restino inosservati.

I miglioramenti nel rilevamento possono inoltre far aumentare il numero di incidenti senza alcun incremento effettivo dell’uso improprio. Più casi potrebbero indicare un monitoraggio migliore, anziché un peggioramento dei comportamenti.

Al contrario, un numero inferiore di ban potrebbe riflettere una deterrenza più forte, una visibilità ridotta o una migrazione riuscita verso altri servizi. I dati grezzi sull’applicazione delle misure richiedono contesto.

Anche le affermazioni dell’azienda sulla sicurezza necessitano di test indipendenti. Ricercatori esterni dovrebbero esaminare sia la resistenza ai compiti dannosi sia i falsi rifiuti che incidono sulla ricerca scientifica legittima.

Una valutazione utile testerebbe flussi di lavoro realistici e articolati in più fasi, in condizioni controllate. Dovrebbe misurare se i modelli aumentano le probabilità di successo, riducono le competenze necessarie o accorciano le fasi critiche.

La valutazione deve anche proteggere i dettagli pericolosi. I test di biosicurezza non possono trasformarsi in un manuale di istruzioni pubblico.

Una supervisione indipendente può contribuire a bilanciare queste esigenze. Governi, specialisti accademici e istituzioni di sanità pubblica dovrebbero partecipare senza fare affidamento esclusivamente sui giudizi dei fornitori.

Anthropic merita credito per aver descritto l’incertezza anziché dichiarare ogni caso doloso. Questa cautela dovrebbe restare centrale con l’evolversi della vicenda.

La conclusione più difendibile è più circoscritta rispetto ai titoli. Claude è entrato a far parte di diversi flussi di ricerca riservati e sensibili che Anthropic ha giudicato troppo rischiosi per poter proseguire.

Tre segnali mostreranno se la risposta sta funzionando

Il prossimo banco di prova è verificare se i fornitori di IA possano limitare l’assistenza pericolosa senza allontanare la scienza legittima né limitarsi a spostare altrove l’uso improprio.

Il primo segnale è il coordinamento tra fornitori sulle reti di relay e sui prompt rifiutati. Anthropic afferma di aver condiviso le proprie conclusioni con i laboratori interessati, le aziende di IA e le autorità governative.

Un coordinamento efficace dovrebbe produrre metodi replicabili per identificare infrastrutture evasive tra diversi servizi. Non dovrebbe dipendere dalla divulgazione pubblica dei nomi di ricercatori o agenti biologici.

Se i fornitori inizieranno a interrompere insieme le stesse reti, il modello di intervento di Anthropic acquisirà credibilità. Se gli utenti continueranno a cambiare modello nel giro di pochi giorni, i ban degli account resteranno un ostacolo temporaneo.

Il secondo segnale è la progettazione di un accesso affidabile per i ricercatori in ambito biologico. Anthropic sostiene che le capacità biologiche di frontiera potrebbero richiedere programmi per utenti verificati.

Un programma praticabile deve definire le istituzioni idonee, le regole di conservazione dei dati, i processi di revisione e i meccanismi di ricorso. Dovrebbe inoltre considerare gli scienziati indipendenti e i laboratori più piccoli.

Un’ampia adozione scientifica con pochi falsi rifiuti documentati rafforzerebbe l’argomentazione a favore di un accesso a livelli. Reclami persistenti da parte di ricercatori legittimi metterebbero in luce restrizioni eccessive o procedure di revisione inadeguate.

Il terzo segnale è l’evidenza indipendente sul potenziamento delle capacità. Anthropic afferma di non poter più garantire che i modelli attuali restino in sicurezza al di sotto della sua precedente soglia biologica.

Le valutazioni esterne devono verificare se i sistemi più recenti migliorino sostanzialmente gli esiti pericolosi, e non soltanto la stesura di proposte o la revisione della letteratura. I risultati dovrebbero confrontare più modelli e configurazioni di accesso.

Prove di un sostanziale potenziamento sosterrebbero controlli di accesso più rigorosi e una regolamentazione più forte. Risultati deboli o incoerenti favorirebbero salvaguardie più circoscritte, mirate ai comportamenti sospetti.

Questi segnali contano oltre la scienza biologica. Le stesse questioni di governance emergono ovunque l’IA combini capacità avanzate e intenzioni incerte.

Le aziende dovrebbero monitorare quali modelli gestiscono lavori sensibili, come i fornitori conservano i dati e se gli utenti possano aggirare le restrizioni interne. Gli scienziati dovrebbero aspettarsi che le politiche di accesso diventino più attente all’identità.

I governi devono decidere se l’applicazione delle misure da parte dei privati sia sufficiente. Devono inoltre definire regole che preservino la ricerca legittima, la privacy e una supervisione effettiva.

L’uso improprio dell’IA di Anthropic resterà una storia incompleta finché prove esterne non metteranno alla prova le conclusioni dell’azienda. Per ora, i lettori dovrebbero osservare il coordinamento, l’accesso affidabile e le valutazioni indipendenti anziché limitarsi a contare i ban.

Ponete una domanda pratica all’interno della vostra organizzazione: sareste in grado di ricostruire in che modo un sistema di IA ha influenzato una decisione sensibile? Se la risposta è no, iniziate con registri degli accessi, strumenti approvati, regole di gestione dei dati e una revisione umana documentata.