Un bug rimasto nascosto per 27 anni
OpenBSD è uno dei sistemi operativi più usati per infrastrutture critiche al mondo. È noto per la sua attenzione maniacale alla sicurezza. Decenni di revisioni manuali, migliaia di occhi esperti sul codice.
Claude ha trovato una vulnerabilità che era lì da 27 anni.
Nello stesso periodo ha identificato un bug in FFmpeg — libreria usata da miliardi di dispositivi per la gestione di video e audio — che aveva superato cinque milioni di test automatici senza essere rilevato. E una serie di vulnerabilità nel kernel Linux e in FreeBSD, inclusa una Remote Code Execution che permette di scrivere contenuto arbitrario sullo stack del sistema.
Questi non sono exploit costruiti in laboratorio. Sono falle in software che gira su server, smartphone, infrastrutture finanziarie, ospedali. Il fatto che siano stati trovati da un modello AI è un cambio di paradigma nella sicurezza informatica.
Cos'è Project Glasswing e perché è nato
Project Glasswing è l'iniziativa con cui Anthropic ha deciso di usare queste capacità in modo proattivo e collaborativo.
L'obiettivo è proteggere il software critico mondiale — quello su cui si reggono le infrastrutture digitali globali — usando Claude per trovare vulnerabilità prima che lo facciano attori malintenzionati.
L'idea di fondo è semplice: l'AI che rende possibile trovare queste vulnerabilità è la stessa AI che potrebbe essere usata per sfruttarle. Meglio usarla in difesa, in modo coordinato e trasparente, con i disclosure responsabili ai maintainer del software interessato.
Chi partecipa e quanto si sta investendo
La lista dei partner di Glasswing legge come un elenco dei principali player tecnologici mondiali: AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, Linux Foundation, Microsoft, NVIDIA, Palo Alto Networks.
Non si tratta di endorsement simbolici. I numeri impegnati sono concreti: 100 milioni di dollari in crediti AI messi a disposizione del progetto, 2.5 milioni alla Linux Foundation e all'Open Source Security Foundation, 1.5 milioni alla Apache Software Foundation.
Queste organizzazioni gestiscono il codice su cui si regge internet: il kernel Linux, Apache, decine di librerie fondamentali usate da quasi ogni applicazione software esistente. Portare l'AI in questo ecosistema è una decisione con effetti a cascata su tutto il software mondiale.
L'AI accelera più velocemente di quanto sembri. Sei pronto?
30 minuti per discutere il tuo caso specifico.
Cosa ha trovato finora
Oltre ai casi già citati, le capacità dimostrate da Claude nell'ambito di Glasswing sono tecnicamente rilevanti. Buffer overflow, vulnerabilità use-after-free, heap corruption — le categorie di falle più pericolose nei sistemi moderni.
Quello che colpisce non è solo la capacità di trovare questi bug, ma di farlo su sistemi hardened con tutte le protezioni moderne attive: randomizzazione della memoria, protezione dello stack, enforcement della non-esecuzione dei dati.
Al momento della pubblicazione dei risultati, oltre il 99% delle vulnerabilità trovate era ancora aperto. Significa che per mesi — a volte anni — quelle falle erano lì, sfruttabili da chiunque le scoprisse per primo.
Perché Anthropic pubblica invece di tenere segreto
È una domanda legittima. Se hai un modello AI capace di trovare vulnerabilità nei sistemi più sicuri del mondo, perché annunciarlo pubblicamente?
La risposta di Anthropic è coerente con la sua filosofia: la trasparenza è più sicura del segreto. Le capacità esistono già — nasconderle non le elimina, le rende solo meno prevedibili. Renderle note permette all'industria di prepararsi e coordinare le difese.
C'è anche una considerazione pratica: un'AI che trova vulnerabilità può essere usata da chiunque abbia accesso a modelli sufficientemente avanzati. La strategia di Anthropic è scegliere la difesa proattiva invece dell'oscurità.
Il segnale per le aziende italiane
Project Glasswing non è rilevante solo per i team di sicurezza informatica. È un segnale sulla velocità con cui l'AI sta cambiando settori e processi che sembravano stabili.
Se l'AI è già in grado di fare questo nella sicurezza del software, cosa sta succedendo nelle analisi finanziarie, nella revisione legale, nell'automazione industriale? La risposta è: molto più di quanto la maggior parte delle aziende italiane stia considerando.
Il rischio non è tecnologico. È strategico. Chi inizia a capire come integrare questi strumenti oggi costruisce un vantaggio che si accumula nel tempo. Chi aspetta trova un divario sempre più difficile da colmare. Con Maverick AI aiutiamo le aziende a capire da dove partire e a misurare il ritorno fin dal primo progetto.