Cathedral e Anthropic: agenti AI entrano nei sistemi in meno di 12 ore

Una startup di sicurezza nata pochi mesi fa sostiene di essere entrata nei sistemi interni di Anthropic in meno di dodici ore, usando agenti AI autonomi. Il caso, emerso il 26 ottobre 2026 grazie a un’inchiesta del Washington Post, riguarda Cathedral, fondata da quattro ex collaboratori del DOGE, e non ha toccato i modelli Claude: il varco è stato aperto da software gestionale di terze parti. Anthropic conferma l’accesso, ma contesta le regole seguite dai ricercatori.

La vicenda è interessante per chi lavora con l’AI per due motivi: mostra quanto gli agenti riescano ad accelerare un attacco e ricorda che la parte più fragile di un’azienda tecnologica raramente è il modello, quasi sempre sono gli strumenti che lo circondano.

Cosa è successo tra Cathedral e Anthropic

Cathedral è una società di cybersecurity che sviluppa agenti capaci di portare a termine compiti in più passaggi senza che una persona approvi ogni singola mossa. Secondo le ricostruzioni di Decrypt e di altre testate che citano il Washington Post, la società ha messo alla prova Anthropic attraverso un programma che funziona come un bug bounty, cioè un sistema che premia i ricercatori esterni quando segnalano falle.

Il risultato, secondo una bozza di rapporto di Cathedral, è che gli agenti hanno trovato un percorso verso informazioni sensibili in meno di dodici ore. Anthropic sostiene che i suoi ricercatori avessero invece già provato per giorni, senza successo, a violare direttamente il software dell’azienda.

Il punto d’ingresso: software di terze parti

Il dettaglio più importante è che gli agenti non hanno forzato i modelli di Anthropic né sfruttato il suo codice. Hanno invece individuato debolezze in applicazioni amministrative e commerciali usate per gestire clienti e personale, prodotti di fornitori esterni che moltissime altre aziende impiegano allo stesso modo. I nomi dei fornitori e le falle specifiche non sono stati resi pubblici, per ridurre il rischio che qualcuno le sfrutti.

La forza degli agenti, in questo scenario, sta nel concatenare più vulnerabilità tra servizi collegati: un accesso minore apre la strada a un altro, e così via fino ai dati interessanti.

Che cosa è stato raggiunto

Stando al rapporto, gli agenti sono arrivati a trascrizioni di riunioni, informazioni su stipendi e offerte di lavoro e messaggi Slack che parlavano dei modelli avanzati di Anthropic. L’azienda ha confermato l’accesso a un insieme limitato di sistemi di vendite, risorse umane e IT, con recapiti professionali di alcuni clienti e partner e semplici anagrafiche di account.

Secondo Anthropic non sono stati toccati le conversazioni degli utenti con Claude, il codice sorgente e i pesi dei modelli. Inoltre l’azienda dichiara di non avere prove che altri, oltre a Cathedral, abbiano sfruttato le stesse debolezze.

La versione di Anthropic e quella di Cathedral

Qui il racconto si divide. Anthropic afferma che i suoi strumenti di monitoraggio hanno segnalato parte dell’attività prima ancora che Cathedral la dichiarasse, e che l’accesso è stato interrotto lo stesso giorno. Il software coinvolto è stato disattivato e riabilitato solo dopo la conferma dei fornitori che le correzioni erano pronte.

L’azienda sostiene anche che Cathedral non abbia rispettato fino in fondo le regole del programma, perché non avrebbe comunicato l’intera portata di ciò che stava facendo dentro i sistemi.

Cathedral risponde che gli accessi ai dati sono stati ridotti al minimo indispensabile, in linea con le migliori pratiche della ricerca sulla sicurezza. Su questo punto le due parti non sono d’accordo, e al momento non esiste una verifica indipendente che chiarisca chi abbia ragione.

Perché la questione dei confini è delicata

Nei programmi di bug bounty il perimetro autorizzato è tutto: ciò che sta dentro è ricerca legittima, ciò che sta fuori rischia di diventare accesso non autorizzato. Con agenti autonomi la linea si fa ancora più sottile, perché lo strumento può proseguire per vie che il ricercatore non aveva previsto in anticipo. Il caso Cathedral è un esempio concreto di come le regole scritte per ricercatori umani vadano ripensate quando a esplorare i sistemi sono software che lavorano a velocità molto più alta.

Chi c’è dietro Cathedral e perché la politica ne parla

La startup è stata fondata da Gavin Kliger, Luke Farritor, Marko Elez e Jack Stein, tutti ex membri del Department of Government Efficiency. Kliger è stato chief data officer del Pentagono. Secondo Reuters, a luglio la società ha raccolto 160 milioni di dollari con una valutazione di 1,4 miliardi, in un round guidato da Andreessen Horowitz e Sequoia Capital.

Un alto funzionario dell’amministrazione Trump, rimasto anonimo, ha detto al Washington Post che il rapporto circola nel governo e che tre agenzie federali avrebbero stipulato contratti con Cathedral. Lo stesso funzionario ha espresso preoccupazione per la sicurezza nazionale, osservando che se una società appena nata riesce a fare una cosa simile, lo stesso potrebbe valere per gli hacker cinesi. Anthropic, dal canto suo, ritiene che Cathedral abbia esagerato le implicazioni per la sicurezza nazionale.

Va ricordato il contesto: a novembre 2025 Anthropic aveva raccontato che hacker sostenuti dallo Stato cinese avevano usato Claude Code per attaccare circa trenta organizzazioni, delegando all’AI una quota stimata tra l’80 e il 90% del lavoro tattico. Un altro esempio recente lo trovi nel nostro approfondimento su Artex, l’agente AI usato per attaccare servizi di gestione IT, che mostra la stessa dinamica dal lato di chi attacca.

Cosa cambia per aziende e professionisti

La lezione pratica è meno spettacolare del titolo. Un’organizzazione può proteggere con grande cura i propri modelli e i propri server, e vedersi comunque esposta attraverso il CRM, il sistema HR o lo strumento di gestione dei contratti. Ogni applicazione collegata con permessi ampi è una possibile porta, e un agente automatico non si stanca di provarle tutte.

Chi si occupa di sicurezza consiglia alcune mosse di base: mappare tutte le integrazioni tra applicazioni, limitare i permessi concessi a ciascuna, rivedere periodicamente i token OAuth, monitorare gli accessi insoliti e rimuovere subito quelli che non servono più. Sono misure noiose, ma sono quelle che restringono lo spazio di manovra di un attaccante, umano o artificiale.

Un tema vicino riguarda i tuoi strumenti di sviluppo: se usi assistenti di codice, vale la pena capire come un file AGENTS.md malevolo può dirottare Codex e Claude Code, un’altra dimostrazione che l’anello debole sta spesso nel contorno e non nel modello.

Il rapporto con la quotazione di Anthropic

Il momento non è casuale per Anthropic. Poche ore prima della notizia l’azienda aveva depositato la documentazione per la quotazione in borsa, e i rischi di sicurezza informatica fanno parte delle informazioni che gli investitori leggeranno con attenzione. Se vuoi il quadro completo di ricavi, perdite e fattori di rischio, trovi tutto nel nostro articolo su l’S-1 pubblicato da Anthropic.

Un incidente di questo tipo, dichiarato come limitato e senza accesso ai dati dei clienti, difficilmente cambia i fondamentali. Può però alimentare il dibattito su quanto le aziende AI debbano investire nella sicurezza dei propri processi interni, non solo in quella dei modelli.

Conclusioni: gli agenti alzano l’asticella per tutti

Il caso Cathedral non dimostra che Anthropic sia più vulnerabile di altre società, anzi: il software coinvolto è lo stesso che usano moltissime aziende. Dimostra piuttosto che gli agenti AI comprimono i tempi di un attacco da giorni a ore, e che la difesa deve muoversi alla stessa velocità, con monitoraggio continuo e permessi ridotti all’essenziale.

Restano da chiarire due punti: se la ricerca sia rimasta nei limiti del programma e quali fornitori siano stati coinvolti. Appena ci saranno aggiornamenti verificabili, li seguiremo. Nel frattempo, fai un controllo delle integrazioni che usi nel tuo lavoro e iscriviti alla newsletter del sito per non perdere le prossime notizie su AI e sicurezza.