Il varco trovato dall'AI: Il caso Cathedral e le nuove frontiere della cybersicurezza

1. Executive summary

Il 26 ottobre 2026 il Washington Post ha pubblicato un'inchiesta secondo cui ricercatori di Cathedral avrebbero individuato in meno di 12 ore percorsi di accesso a sistemi aziendali di Anthropic. La ricostruzione si basa su una bozza del rapporto Cathedral esaminata dal giornale e su dichiarazioni delle parti. Secondo l'articolo, gli accessi sarebbero passati attraverso vulnerabilita in software aziendale di terze parti.

L'azienda Anthropic ha dichiarato che i ricercatori hanno raggiunto un insieme limitato di sistemi commerciali, HR e IT. L'azienda ha dichiarato che non hanno avuto accesso alle conversazioni dei clienti con Claude, alle risposte generate, al codice sorgente o ai pesi dei modelli. Ha anche sostenuto che Cathedral abbia sovrastimato le implicazioni del caso e non abbia comunicato integralmente tutte le attivita svolte. Queste sono dichiarazioni dell'azienda riportate dal Washington Post; non e stata acquisita una comunicazione primaria separata sul caso.

Perche il caso e rilevante

1. L'impiego di agenti AI nella ricerca di vulnerabilita.
2. Il rischio introdotto dal software aziendale di terze parti.
3. La necessita di definire con precisione ambito, limiti e modalita della ricerca di sicurezza.
4. L'importanza di conservare evidenze che consentano di ricostruire le attivita degli agenti.

2. Cathedral: identita e contesto

Il Washington Post descrive Cathedral come una startup statunitense di cybersicurezza fondata da ex membri dello U.S. DOGE Service. Tra i cofondatori indica Gavin Kliger, gia chief data officer del Pentagono.

Secondo l'articolo, Cathedral avrebbe raccolto circa 160 milioni di dollari, sulla base di dati di PitchBook, e avrebbe raggiunto una valutazione di circa 1,4 miliardi. Il giornale riporta inoltre, citando un funzionario anonimo dell'amministrazione, che tre agenzie federali avevano stipulato contratti con l'azienda. Questi dati sono riportati nell'inchiesta e non sono stati verificati qui su documenti societari o contrattuali originali.

Il contesto societario non dimostra, da solo, la validita delle conclusioni tecniche presentate da Cathedral.

Elementi ancora da verificare

• Il rapporto integrale e autenticato di Cathedral.
• L'identita completa del gruppo di ricerca.
• I modelli e gli strumenti utilizzati.
• L'architettura di orchestrazione degli agenti.
• I termini applicabili al programma di ricerca.
• Eventuali contratti o documenti societari pubblicamente accessibili.

3. Cronologia riportata

Ricerca e individuazione dei percorsi

Secondo una bozza del rapporto Cathedral esaminata dal Washington Post, gli agenti AI avrebbero trovato percorsi di accesso in meno di 12 ore. Il tempo e attribuito ai ricercatori: non sono disponibili log indipendenti per verificarne durata e modalita.

Accesso ai sistemi aziendali

Anthropic ha dichiarato che Cathedral ha raggiunto un insieme limitato di sistemi commerciali, HR e IT. La bozza Cathedral, secondo l'articolo, descrive un possibile accesso a transcript di riunioni, informazioni su stipendi e offerte di lavoro e messaggi Slack. Le due descrizioni non sono equivalenti e non tutte le categorie indicate da Cathedral risultano confermate da Anthropic.

Rilevamento e contenimento

Secondo la dichiarazione Anthropic riportata dal giornale, i sistemi di monitoraggio avevano rilevato parte dell'attivita prima della segnalazione dei ricercatori. L'azienda ha dichiarato di aver bloccato gli accessi e disattivato il software coinvolto fino alla conferma, da parte dei fornitori, della correzione delle vulnerabilita.

Divulgazione pubblica

Il Washington Post ha pubblicato l'inchiesta il 26 ottobre 2026. La data dell'articolo non stabilisce quando siano avvenuti gli accessi, quando le vulnerabilita siano state scoperte o quando siano state corrette.

4. Superficie di attacco e limiti tecnici

Secondo l'inchiesta, i percorsi di accesso coinvolgevano software aziendale di terze parti utilizzato per attivita amministrative e commerciali. Non e stato dimostrato che le vulnerabilita fossero nel modello Claude o nell'infrastruttura di inferenza.

Lo schema descrive i rapporti generali fra gli elementi citati dalle fonti. Non e una catena di exploit ricostruita tramite log o prove forensi. Le fonti pubbliche consultate non identificano: i prodotti o le versioni vulnerabili, CVE o CWE, payload o proof of concept, il metodo di autenticazione eventualmente aggirato, passaggi di escalation, numero degli agenti o livello di supervisione umana.

5. Che cosa e noto sul ruolo dell'AI

Cathedral attribuisce agli agenti un ruolo nell'individuazione dei percorsi vulnerabili. Questo non permette di concludere che l'operazione fosse completamente autonoma.

E utile distinguere:

• Assistenza analitica: il modello aiuta il ricercatore a esaminare documentazione o risultati.
• Automazione strumentale: l'agente usa strumenti sotto supervisione.
• Pianificazione ed esecuzione agentica: l'agente sceglie azioni all'interno di limiti stabiliti.
• Autonomia estesa: l'agente esegue sequenze operative senza approvazione umana a ogni passaggio.

Le fonti non descrivono abbastanza l'operazione per assegnarla con certezza a uno di questi livelli. Il dato delle 12 ore, anche se corretto, non dimostra da solo l'assenza di intervento umano, una riduzione quantificabile dei costi o la replicabilita del risultato.

6. Dati potenzialmente accessibili e impatto

La bozza Cathedral, come riportata dal Washington Post, descrive percorsi verso transcript di riunioni, dati su stipendi e offerte di lavoro e messaggi Slack. Anthropic ha indicato un perimetro piu limitato: informazioni di contatto aziendali e alcuni dati di base degli account, oltre ai sistemi commerciali, HR e IT raggiunti.

L'azienda ha dichiarato che i ricercatori non hanno avuto accesso a: conversazioni dei clienti con Claude, risposte generate da Claude, codice sorgente dei sistemi AI, pesi dei modelli.

Aspetto	Valutazione documentale
Accessi a sistemi aziendali	L'azienda Anthropic dichiara accessi limitati
Categorie piu estese citate da Cathedral	Riportate dal giornale; non tutte confermate dall'azienda
Accesso alle conversazioni Claude e ai modelli	Negato da Anthropic; nessuna prova pubblica contraria acquisita
Esfiltrazione massiva	Non dimostrata dalle fonti consultate
Abuso criminale successivo	Nessuna evidenza pubblica acquisita in questa revisione

7. Vulnerability disclosure e responsabilita

L'attivita si e svolta nel contesto di un programma che, secondo il Washington Post, invita ricercatori esterni a segnalare vulnerabilita.

Anthropic ha sostenuto che Cathedral non abbia rispettato integralmente le regole del programma, non comunicando tutte le attivita svolte. Cathedral ha dichiarato che gli accessi ai dati erano stati mantenuti al minimo secondo le pratiche di ricerca sulla sicurezza.

Sono posizioni delle parti riportate dal giornale. Questa revisione non dispone degli accordi, dei log o del rapporto integrale necessari per stabilire se le regole siano state violate.

8. Confronto con gli incidenti delle valutazioni Anthropic

I casi descritti da Anthropic nei rapporti di luglio e settembre 2026 sono distinti da Cathedral.

Il 30 luglio Anthropic ha riferito tre incidenti in cui modelli Claude avevano raggiunto sistemi reali di terze parti durante valutazioni di cybersicurezza. Secondo l'azienda, gli ambienti avrebbero dovuto essere simulati, ma una configurazione errata lasciava accesso a Internet. Il 9 settembre Anthropic ha aggiornato il resoconto a quattro incidenti dopo aver individuato un ulteriore caso del gennaio 2026.

Cathedral-Anthropic	Valutazioni Anthropic
Ricercatori esterni hanno usato agenti per cercare vulnerabilita in software aziendale	Modelli Claude hanno raggiunto sistemi reali durante valutazioni interne
Gli accessi citati riguardano sistemi aziendali Anthropic	I sistemi raggiunti erano di organizzazioni terze
Le fonti tecniche pubbliche sono limitate	L'azienda Anthropic riferisce una propria ricostruzione degli incidenti

9. Un caso distinto di supply chain AI

Il rapporto Anthropic sulle minacce di settembre 2026 descrive l'attore GTG-50020, che avrebbe inserito istruzioni malevole nel sandbox di valutazione automatizzato di un fornitore AI. Secondo il rapporto, il sandbox avrebbe consegnato credenziali conservate nell'ambiente, incluse chiavi API di produzione di piu fornitori.

Anthropic afferma che l'attore non ha compromesso i sistemi Anthropic ne ottenuto accesso a un modello Claude pre-release. Si tratta di un caso distinto da Cathedral-Anthropic che illustra rischi per credenziali e integrazioni AI; non prova che Cathedral abbia usato le stesse tecniche.

10. Implicazioni per la sicurezza delle organizzazioni

1. Dipendenze aziendali: software esterni possono diventare una via di accesso a dati e sistemi interni.
2. Autorizzazioni: integrazioni e applicazioni dovrebbero disporre dei privilegi necessari al loro compito.
3. Confini di rete: le restrizioni devono essere applicate tecnicamente, non soltanto dichiarate nelle istruzioni.
4. Controllo degli agenti: e essenziale sapere quali strumenti e quali sistemi gli agenti possano raggiungere.
5. Tracciabilita: log adeguati aiutano a distinguere tentativi, accessi, consultazioni e copie.
6. Disclosure: ambito autorizzato, limiti di accesso e modalita di segnalazione devono essere comprensibili alle parti.

11. Verdetto

Il caso mette in evidenza l'importanza del software aziendale di terze parti, dei confini autorizzativi e della tracciabilita. Il valore dell'episodio per MC Project Lab e individuare controlli da verificare, non attribuire vulnerabilita non dimostrate ai propri prodotti ne presentare come verificata una ricostruzione che dipende dalle dichiarazioni delle parti.

12. Registro delle fonti e limiti

• S01 : Washington Post (26 ottobre 2026): Inchiesta “Researchers at cybersecurity start-up Cathedral got inside Anthropic”, basata su una bozza del rapporto Cathedral e su dichiarazioni delle parti. E la fonte pubblica principale acquisita sul caso.
• S02 : Anthropic (30 luglio 2026): Resoconto di ricerca “Investigating three real-world incidents in our cybersecurity evaluations” su incidenti e perimetri di valutazione.
• S03 : CISA e ACN (ottobre 2026): Avvisi di sicurezza, catalogo KEV e bollettini su software aziendale e supply chain.

Non sono stati acquisiti il rapporto Cathedral integrale autenticato, log, prove forensi o una comunicazione Anthropic primaria separata sul caso. La bozza Cathedral e le dichiarazioni dell'azienda sono descritte attraverso l'inchiesta giornalistica.