Lo strumento di sicurezza IA di Anthropic ha appena trovato 500 bug passati inosservati agli umani e Wall Street è entrata nel panico

Anthropic ha lanciato una preview di ricerca limitata di Claude Code Security, un nuovo strumento che scansiona il software alla ricerca di vulnerabilità e raccomanda correzioni, segnando un passo significativo nell'uso dell'intelligenza artificiale per la difesa cibernetica e inviando scosse di assestamento attraverso l'industria della cybersecurity.

Lo strumento, integrato nella piattaforma Claude Code di Anthropic, è ora disponibile per i clienti Enterprise e Team, con accesso accelerato gratuito offerto ai manutentori di progetti open source. Questo avviene mentre l'azienda di IA con sede a San Francisco afferma di prevedere che l'IA scansionerà una quota significativa del codice mondiale nel prossimo futuro.

Gli strumenti di sicurezza esistenti funzionano solo attraverso i comuni modelli di problema, come password esposte o crittografia obsoleta.

Claude Code Security dovrebbe andare oltre il semplice riconoscimento di modelli. Funziona attraverso un intero codebase the way come farebbe un ricercatore umano, seguendo il percorso che i dati compiono attraverso un sistema e individuando problemi che gli scanner standard trascurano.

I risultati passano attraverso diversi round di controlli prima che uno sviluppatore li veda mai, riducendo i vicoli ciechi. Ogni problema viene inoltre classificato in base alla sua gravità, in modo che i team sappiano da dove iniziare.

Gira su Claude Opus 4.6, il modello più recente di Anthropic, che il proprio Frontier Red Team dell'azienda ha sottoposto a rigorosi test. Questi test hanno portato alla luce oltre 500 vulnerabilità presenti in repository open-source attivi — alcune delle quali erano presenti da decenni senza che nessuno le avesse rilevate, nemmeno dopo anni di revisione da parte di esperti.

Anthropic afferma di essere ora nel processo di notifica delle persone responsabili di quei progetti. L'azienda ha anche eseguito Claude sul proprio codice interno e afferma che i risultati sono stati ottimi.

Gli analisti respingono, ma i mercati non sono convinti

Le notizie hanno scosso gli investitori nel settore della cybersecurity. Le azioni di CrowdStrike sono scese del 6,8% venerdì e Okta del 9,2%, poiché i mercati hanno iniziato a mettere in discussione se gli strumenti di IA potessero erodere il business delle aziende di sicurezza consolidate.

Cloudflare ha perso il 6,7%, SailPoint ha perso il 9,1% e Palo Alto Networks è scesa del 1,5%. Zscaler era in calo del 5,47%. L'ETF Global X Cybersecurity, che segue le aziende di sicurezza in tutto il mondo, ha chiuso la giornata con quasi il 5% in rosso.

Non tutti hanno considerato giustificata questa reazione. Gli analisti di Barclays l'hanno definita "incongruente", sostenendo che uno strumento creato per la sicurezza del codice non si scontra realmente con ciò che fanno effettivamente aziende come CrowdStrike o Palo Alto Networks.

Ma il divario tra ciò che ha spaventato i mercati e ciò che gli analisti stanno liquidando si scontra in modo inquietante con un fatto innegabile: l'IA di Anthropic ha individuato oltre 500 vulnerabilità in codebase live che erano presenti da anni, in alcuni casi decenni, senza che nessun esperto umano le avesse rilevate.

Qualunque siano i confini competitivi che gli analisti tracciano, lo strumento ha fatto qualcosa che l'industria della sicurezza non era riuscita a fare da sola.

L'avviso di attacco informatico tramite IA aumenta la pressione

La tempistica del lancio porta con sé una propria scomoda ironia. Claude Opus 4.6, il modello esatto che ora viene posizionato come difensore della sicurezza, era stato incolpato solo pochi giorni prima per una perdita di 1,78 milioni di dollari presso il protocollo di prestito DeFi Moonwell.

La soglia per causare danni gravi con codice scritto dall'IA è scesa così in basso che non richiede più nemmeno un attaccante. Gli esperti di sicurezza avvertono di questo cambiamento da mesi.

Anthropic ha riconosciuto la stessa tendenza nel proprio rilascio, avvertendo che "gruppi meno esperti e con meno risorse possono ora potenzialmente eseguire attacchi su larga scala di questa natura."

"Gli attaccanti utilizzeranno l'IA per trovare vulnerabilità sfruttabili più velocemente che mai", ha dichiarato l'azienda . "Ma i difensori che agiscono rapidamente possono individuare le stesse vulnerabilità, applicarvi patch e ridurre il rischio di un attacco."

La sua ricerca interna, pubblicata nel dicembre 2025, andava oltre, mostrando che una versione precedente del modello, Claude Opus 4.5, era in grado di identificare ed sfruttare autonomamente vulnerabilità degli smart contract del valore fino a 4,6 milioni di dollari in un ambiente controllato, con un intervento umano minimo.

L'azienda era consapevole che i suoi modelli potessero funzionare in entrambi i sensi. Claude Code Security è la sua risposta a questo problema. Prendi la stessa capacità e mettila nelle mani dei difensori prima che gli attaccanti lo facciano.

Il rivale di Anthropic, OpenAI, ha lanciato il suo stesso strumento di sicurezza automatizzato, chiamato Aardvark, nell'ottobre dello scorso anno, segnalando che la sicurezza guidata dall'IA sta diventando un campo di battaglia competitivo.