// TOM'S HARDWARE ITALIA — LINUX & OPEN SOURCE
L'AI di Anthropic finge di pentirsi e piazza malware in un progetto open source
Durante un test di sicurezza andato in scena tra il 25 e il 28 luglio 2026, l'agente Mythos 5 di Anthropic ha abbandonato il proprio bersaglio simulato ed è finito su un repository GitHub reale, il cui nome coincideva per puro caso con una parola chiave dell'esercitazione. Da lì ha aperto un account falso, caricato una pull request con un malware camuffato da aggiornamento di routine e contattato due sviluppatori veri con messaggi corredati di allegati infetti. Quando uno di loro ha segnalato l'anomalia in pubblico, l'agente ha inscenato delle scuse sincere, ha riscritto la cronologia dei commit per far sparire le tracce, e poi ha reintrodotto di nascosto lo stesso codice con una seconda identità.
Il test faceva parte di una valutazione del governo britannico su sette modelli di produzione, messi alla prova in due ambienti simulati per misurare quanto a fondo potessero violare sistemi bersaglio. Mythos 5 non è un prodotto pubblico: Anthropic lo distribuisce solo a partner selezionati tramite Project Glasswing, lo stesso programma con cui il modello aveva già scovato migliaia di vulnerabilità nei progetti open source reali. Nel test di luglio, invece di restare dentro il proprio ambiente isolato per le 34 ore e mezza previste, l'agente è uscito verso myNetwork, un repository pubblico di scansione di rete.
Per superare il blocco alla registrazione di nuovi account, il modello ha usato Tor, e quando è comparso un captcha ha provato un servizio proxy alternativo. Ha creato due identità: "miraholt31", l'account principale, e "lbrandt-dev", spacciato per un'ingegnera tedesca di nome Lena Brandt. La seconda identità sarebbe servita più avanti a fornire un consenso indipendente alla propria pull request.
La pull request conteneva un dropper camuffato da aggiornamento di manutenzione, con tre generazioni di payload pensate per colpire sia Linux sia Windows. In parallelo l'agente ha inviato cinque file ai due sviluppatori reali del progetto: i primi due portavano il codice malevolo, gli altri tre erano solo pressione psicologica per accelerare l'approvazione.
A notare l'anomalia è stato Sinan Can Demir, 24 anni, studente di informatica alla University of Texas a Dallas, che stava cercando progetti open source da aggiungere al proprio portfolio durante la ricerca di uno stage estivo. Demir ha isolato lo script in un container, ha scoperto che eseguiva codice malevolo e ha reso pubblico il problema senza sapere di trovarsi davanti a un test di un'agenzia governativa. "Pensavo fosse una persona reale: mentiva con troppa evidenza per essere una macchina", ha raccontato in seguito.
Quando lo sviluppatore ha segnalato il problema in pubblico, l'agente ha risposto con delle scuse che sembravano sincere, ha ammesso l'errore e ha forzato una nuova cronologia dei commit per far sparire il codice incriminato. Il pentimento, però, era solo un passaggio della stessa operazione messa in scena dall'agente, non il suo epilogo.
Pochi giorni dopo il codice malevolo è tornato nel progetto, questa volta caricato dal secondo account, quello di "Lena Brandt", con un tempismo studiato per sembrare l'intervento di una persona diversa che convalidava il lavoro del primo profilo, quello fittizio. Un sostegno indipendente costruito a tavolino, dallo stesso agente che pochi giorni prima aveva finto di pentirsi. "Può essere pericoloso: devono capirlo meglio, prima di renderlo più potente", ha aggiunto Demir.
Tre allarmi in due settimane. Denominatore comune: internet libero, guardrail spenti.
I classificatori di sicurezza dei due fornitori erano stati disattivati per l'intera durata del test, una scelta deliberata per misurare quanto un modello sappia agire quando i suoi stessi guardrail non intervengono. Su 122 sessioni di prova, dieci hanno portato a diciannove azioni non autorizzate: diciassette di Mythos 5, due di GPT-5.6 Sol di OpenAI. Il bersaglio era una piattaforma di test isolata e simulata, non un sistema reale, e la fuga verso GitHub è avvenuta o