Come Cathedral ha sfruttato le vulnerabilità di terze parti

Nel contesto del programma di bug‑bounty di Anthropic, lo startup di sicurezza Cathedral ha impiegato agenti basati su intelligenza artificiale per individuare punti di ingresso attraverso applicazioni esterne di gestione e vendita. In meno di dodici ore, i ricercatori hanno scoperto percorsi che consentivano l’accesso a messaggi di Slack, trascrizioni di riunioni, dati salariali e offerte di lavoro. Il metodo si basava su una combinazione di:

analisi automatizzata delle API di software SaaS di terze parti;
esecuzione di script di raccolta dati guidati da modelli linguistici avanzati;
uso di credenziali temporanee ottenute tramite configurazioni errate dei permessi.

Il risultato è stato la visualizzazione di informazioni sensibili di dipendenti e partner, senza però compromettere il codice sorgente di Claude o i pesi dei modelli di intelligenza artificiale.

Le dichiarazioni di Anthropic sul danno

Anthropic ha confermato l’accesso a una “selezione limitata” di sistemi di vendita, risorse umane e IT, includendo i contatti di clienti e partner, oltre a dati di base degli account utente. Nella sua risposta ufficiale, l’azienda ha precisato che:

le conversazioni con Claude, il codice sorgente e i pesi dei modelli non sono stati letti;
gli accessi compromessi sono stati revocati lo stesso giorno della scoperta;
le applicazioni di terze parti sono state temporaneamente disattivate fino alla correzione delle vulnerabilità;
le autorità federali degli Stati Uniti sono state informate.

Discrepanze nei resoconti: durata e portata dell’attacco

Le versioni fornite da Cathedral e Anthropic divergono notevolmente. Cathedral sostiene di aver ottenuto l’accesso in meno di dodici ore, mentre Anthropic afferma che il tentativo è durato diversi giorni, con più cicli di prova prima di ricorrere a software di terze parti. Logan Graham, red‑team leader di Anthropic, ha spiegato che il team di Cathedral ha sfruttato due vulnerabilità, ma ha segnalato solo una di esse; la seconda è stata chiusa autonomamente da Anthropic.

Contestazioni sul rispetto delle regole del bug‑bounty

Anthropic accusa Cathedral di aver violato le linee guida del programma, sostenendo che la “rilevazione e l’estrazione di dati tramite fornitori terzi” supera la soglia di “safe harbor” prevista. Graham ha dichiarato che, pur apprezzando la scoperta, il comportamento del team non rispetta i termini di partecipazione. Cathedral, dal canto suo, ribadisce di aver seguito standard consueti di ricerca di sicurezza e di aver fornito un rapporto dettagliato entro i tempi stabiliti.

Le voci dei commentatori esterni

Il precedente dipendente di OpenAI Will Depue ha diffuso la voce che Cathedral avesse ottenuto accesso amministratore completo al workspace di Slack, potendo leggere ogni messaggio e accedere a qualunque account utente. Secondo Depue, Anthropic e OpenAI conservano tutti i segreti di ricerca nei canali Slack e mantengono chiavi API di amministrazione in chiaro.

Anthropic, attraverso Graham, ha respinto categoricamente queste affermazioni, definendole “sbagliate” e rifiutando di fornire ulteriori dettagli per motivi di sensibilità.

Critiche interne su pratiche di sicurezza

Jacob Coxon, ex dipendente di Anthropic, aveva già criticato l’azienda per l’uso di software “di uso quotidiano” come Slack nella gestione di progetti di intelligenza artificiale ad alto rischio. La sua osservazione, pubblicata a settembre 2026, suggeriva che la dipendenza da strumenti generici potesse rappresentare un punto debole strategico.

Implicazioni per la cyber‑sicurezza nell’era dei KI‑Agent

Il caso Cathedral‑Anthropic evidenzia una tendenza emergente: gli agenti di intelligenza artificiale possono operare 24/7, cercando costantemente vulnerabilità in sistemi esterni e interni. Logan Graham avverte che:

già modelli di una generazione o due indietro possono condurre attacchi sofisticati;
i futuri aggressori avranno a disposizione versioni ancora più potenti;
le difese tradizionali basate su scansioni periodiche non saranno più sufficienti.

Come risposta, Graham propone un approccio basato su:

test di penetrazione continui gestiti internamente;
ricostruzione fondamentale del software con verifica formale, resa più accessibile grazie a strumenti di generazione di codice assistiti da IA;
monitoraggio costante delle dipendenze di terze parti.

Il futuro della difesa automatizzata

Secondo Alex Stamos, chief security officer di Cognition, che utilizza i modelli di Anthropic, “le app di terze parti integrate rappresentano un enorme problema per tutti”. Egli sottolinea che Anthropic avrebbe dovuto implementare controlli più rigorosi su:

permessi minimi per le API;
revoche automatiche delle credenziali non più in uso;
audit continui delle attività delle app esterne.

Stamos conclude che, se le aziende non adottano queste misure, i cyber‑attacchi basati su agenti IA diventeranno la norma.

Conclusioni e prospettive

Il furto di dati tramite software di gestione dimostra che la superficie di attacco delle imprese tecnologiche si sta espandendo rapidamente. Anche quando i dati più sensibili, come i modelli di intelligenza artificiale, rimangono protetti, la compromissione di informazioni interne può avere impatti gravi sulla fiducia dei clienti e sulla conformità normativa.

Le principali lezioni da trarre sono:

la necessità di valutare e monitorare costantemente le integrazioni di terze parti;
l’importanza di programmi di bug‑bounty ben definiti e di un dialogo trasparente con i ricercatori;
l’adozione di soluzioni di difesa automatizzate, incluse simulazioni di attacco guidate da IA.

Se le organizzazioni non riescono a tenere il passo con l’evoluzione degli attacchi, rischieranno di subire ulteriori violazioni simili a quella di Anthropic, con conseguenze economiche, legali e reputazionali sempre più gravi.