Cita da Fondazione Olitec su 5 Luglio 2026, 10:13 am

Di Nicolini Massimiliano

C’è un punto nel dibattito sull’intelligenza artificiale che, più della tecnologia in sé, dovrebbe inquietare tutti: il momento in cui chi costruisce il rischio pretende anche di essere riconosciuto come unico soggetto moralmente autorizzato a contenerlo. È in questa zona grigia, ambigua, sofisticata, quasi liturgica, che si colloca Anthropic, società americana nata nel 2021 da un gruppo di ex dipendenti di OpenAI e costruita intorno a una promessa apparentemente nobile: rendere l’intelligenza artificiale più sicura, più interpretabile, più governabile. Anthropic si presenta infatti come una società di ricerca e sicurezza sull’IA, impegnata a costruire sistemi “affidabili, interpretabili e governabili”. Ma proprio questa autorappresentazione, a mio giudizio, va guardata con estremo sospetto, perché quando un’impresa privata entra contemporaneamente nel mercato, nella regolazione, nell’etica pubblica e perfino nel dialogo con le massime autorità religiose, il problema non è più solo tecnico: diventa politico, culturale e spirituale.

Non considero credibile, in termini politici e industriali, la favola delle pure “buone intenzioni”. Non perché si debba affermare senza prove che i fondatori di Anthropic agiscano con intenti illeciti o nascosti, ma perché le intenzioni, nel momento in cui incontrano miliardi di dollari, infrastrutture cloud, rapporti con governi, collaborazione con grandi gruppi tecnologici e interlocuzione con il Vaticano, non bastano più. Una società che raccoglie capitali enormi, che vende modelli avanzati, che entra nei sistemi produttivi, educativi, amministrativi e militari, non può essere giudicata sulla base del linguaggio morale con cui si racconta. Deve essere giudicata sui suoi incentivi, sulle sue opacità, sulle sue partnership, sui suoi incidenti e sul potere effettivo che sta accumulando.

Il punto è proprio questo: Anthropic non è un monastero della sicurezza digitale. È una delle società più potenti e finanziate della corsa globale all’IA. Amazon ha già investito 8 miliardi di dollari in Anthropic e nel 2026 ha annunciato un ulteriore investimento immediato di 5 miliardi, con possibilità di arrivare fino ad altri 20 miliardi legati a milestone commerciali. La stessa Anthropic ha raccolto 3,5 miliardi di dollari nel 2025 con una valutazione post-money di 61,5 miliardi. Non siamo davanti a un gruppo di ricercatori disinteressati chiusi in un laboratorio per proteggere l’umanità. Siamo davanti a un colosso industriale in formazione, sostenuto da infrastrutture computazionali gigantesche e da una filiera economica che ha tutto l’interesse ad accelerare, vendere, integrare, rendere indispensabile la propria tecnologia.

Per questo la retorica della sicurezza mi inquieta. Anthropic denuncia i rischi dell’intelligenza artificiale, ma intanto costruisce strumenti sempre più agentici, sempre più autonomi, sempre più capaci di operare dentro sistemi reali. Claude Code, in particolare, non è un semplice chatbot: è un agente di sviluppo software che può lavorare sul computer dell’utente, leggere file, interagire con repository, proporre modifiche, usare la shell, eseguire comandi, incidere direttamente sugli ambienti di lavoro. La stessa Anthropic, descrivendo le proprie architetture di contenimento, riconosce che Claude Code gira sulla macchina dell’utente e ha accesso a filesystem, shell e rete, proprio perché senza questi accessi un agente di programmazione sarebbe poco utile. Questo significa che il punto di fiducia non è marginale: è centrale. Se uno strumento con questi privilegi contiene logiche opache, nascoste o comunicate male, il problema non è estetico. È strutturale.

Ed è qui che entra il caso più grave e più recente: la scoperta di un meccanismo occulto dentro Claude Code, definito da molti osservatori “spyware” in senso giornalistico, anche se tecnicamente è più corretto parlare di fingerprinting occulto e steganografia del prompt. Alla fine di giugno 2026 alcuni sviluppatori hanno analizzato il binario di Claude Code e hanno individuato una logica nascosta capace di classificare determinati utenti o ambienti, in particolare in relazione a proxy, gateway, domini cinesi, laboratori IA cinesi e timezone come Asia/Shanghai o Asia/Urumqi. Il meccanismo modificava in modo quasi invisibile la frase della data inserita nel contesto di sistema: cambiava il tipo di apostrofo o il separatore della data, trasformando una frase apparentemente banale in un segnale nascosto leggibile dal backend.

Questa non è una semplice scelta tecnica. È una scelta di metodo. Secondo l’analisi pubblicata da Thereallo, Claude Code poteva alterare silenziosamente il system prompt usando marcatori Unicode difficili da notare, mentre una lista di domini e parole chiave era offuscata tramite base64 e XOR. Il ricercatore ha scritto esplicitamente che la funzione non appariva necessariamente “malicious”, ma che era una scelta molto strana per uno strumento di sviluppo che chiede fiducia agli utenti. Il punto è decisivo: se il client vuole rilevare gateway non autorizzati, proxy sospetti o tentativi di distillazione, può dichiararlo apertamente, documentarlo, inserirlo nelle release notes, mandare un campo di telemetria esplicito e spiegare agli utenti cosa viene raccolto. Nascondere il segnale dentro la punteggiatura invisibile del prompt, invece, produce l’effetto opposto: indebolisce ogni dichiarazione successiva sulla privacy.

La risposta di Anthropic è, a mio giudizio, ancora più rivelatrice del codice stesso. The Register ha riportato che Thariq Shihipar, ingegnere Anthropic nel team Claude Code, ha spiegato che si trattava di un esperimento avviato a marzo per contrastare abusi di account, reseller non autorizzati e distillazione dei modelli, aggiungendo che il team aveva già implementato mitigazioni più forti e “aveva intenzione di rimuoverlo da un po’”. In altre parole: non era un bug casuale, non era un errore inesistente, non era una fantasia dei critici. Era una funzione reale, inserita deliberatamente, rimasta nel prodotto, poi rimossa solo dopo essere stata scoperta e discussa pubblicamente.

Questa dinamica è esattamente ciò che mi spaventa: non il singolo pezzo di codice, ma il modello culturale sottostante. Ogni volta che emerge un elemento opaco, la spiegazione è sempre rassicurante: era un esperimento, era per proteggere gli utenti, era per fermare gli abusi, era per contrastare la Cina, era una funzione temporanea, stavamo già per toglierla. Ma questa postura non può bastare. Se una società che chiede fiducia globale inserisce logiche nascoste nei propri strumenti, la fiducia non può essere ricostruita con una frase di circostanza. Deve passare da audit indipendenti, documentazione preventiva, ispezionabilità, responsabilità giuridica e controllo esterno. Altrimenti la sicurezza diventa una parola dietro cui si nasconde la sorveglianza.

Reuters ha collegato direttamente la vicenda al divieto interno imposto da Alibaba ai propri dipendenti sull’uso di Claude Code. Secondo Reuters, Alibaba avrebbe deciso di vietare lo strumento dopo le preoccupazioni per funzioni capaci di identificare utenti collegati alla Cina. La stessa ricostruzione riferisce che gli sviluppatori avevano scoperto meccanismi in grado di ispezionare l’ambiente dell’utente, inclusi timezone e informazioni legate a proxy, e di inserire marcatori sottili nei prompt inviati ai server di Anthropic. È una notizia enorme, perché mostra come la battaglia tra Stati Uniti e Cina sull’intelligenza artificiale stia già passando dentro gli strumenti usati quotidianamente dagli sviluppatori.

Il fatto che alcuni giornali abbiano usato il termine “spyware” non deve essere liquidato come esagerazione emotiva. Certo, tecnicamente non siamo davanti alla prova di un malware classico che ruba file in modo indiscriminato. Ma siamo davanti a una funzione nascosta che classifica ambienti, proxy, domini, timezone e possibili legami geografici o industriali, trasmettendo il risultato attraverso marcatori invisibili o quasi invisibili. Per un normale utente questo confine è irrilevante: ciò che conta è che il programma faceva qualcosa che l’utente medio non poteva vedere, non poteva capire e non era stato messo in condizione di valutare. Times of India ha descritto il codice come uno strumento spesso definito “spyware”, capace di identificare utenti cinesi, sospendere account e contribuire al blocco di reti proxy; anche Cybernews ha parlato di codice nascosto e steganografia usata per rilevare utenti cinesi.

Questo episodio non arriva isolato. Pochi mesi prima, nel marzo-aprile 2026, Anthropic aveva accidentalmente esposto parte del codice sorgente interno di Claude Code durante una release. Business Insider ha riportato la conferma di un portavoce Anthropic: la società parlò di un problema di packaging causato da errore umano, sostenendo che non fossero stati esposti dati sensibili dei clienti o credenziali. Ma anche qui il punto politico resta: una società che fonda la propria superiorità morale sulla sicurezza non può accumulare incidenti di opacità e poi chiedere al mondo di fidarsi per atto di fede. Il codice trapelato diede ai rivali uno sguardo interno su uno dei prodotti più importanti dell’azienda e sollevò domande sulla solidità operativa di una società che si presenta come campione della safety.

A tutto questo si aggiunge la questione della telemetria e della conservazione dei dati. La documentazione ufficiale di Claude Code dichiara che lo strumento si collega dai computer degli utenti ad Anthropic per registrare metriche operative come latenza, affidabilità e pattern d’uso, sostenendo che tali log non includono codice o percorsi dei file e indicando variabili d’ambiente per disattivare telemetria ed error reporting. La stessa documentazione precisa però che, usando il comando di feedback, può essere inviata ad Anthropic una copia della cronologia della conversazione, incluso codice, secondo le opzioni scelte dall’utente. Inoltre, per gli utenti consumer che consentono l’uso dei dati per miglioramento del modello, Anthropic prevede una retention di cinque anni; in caso contrario, la retention indicata è di trenta giorni.

In astratto, tutto questo può essere legale, documentato, configurabile. Ma il problema nasce quando la telemetria dichiarata convive con logiche occulte non dichiarate. Se una società mi dice che raccoglie certe metriche e poi si scopre che dentro il client esisteva anche un sistema nascosto di marcatura steganografica, la domanda non è più solo: “quali dati raccogliete?”. La domanda diventa: “quali altre logiche non sono state ancora scoperte?”. In un agente che può accedere al codice, alla shell, ai repository, ai progetti e agli ambienti di sviluppo, questa domanda non è paranoia. È igiene democratica.

Il paradosso è che Anthropic giustifica molte di queste scelte con la minaccia cinese. Ed è qui che il discorso diventa più complesso. Non esistono prove pubbliche sufficienti per affermare che Anthropic sia controllata dalla Cina o agisca consapevolmente come strumento di Pechino. Anzi, i fatti disponibili mostrano una società americana impegnata a bloccare l’accesso cinese, a denunciare distillazioni e a difendere la propria proprietà intellettuale. Tuttavia, proprio questa dinamica conferma la mia tesi: Anthropic può diventare, anche contro la propria volontà dichiarata, un veicolo della guerra tecnologica cinese contro il mercato occidentale. Se i suoi modelli sono così potenti da essere oggetto di aggiramenti, distillazioni, scraping, uso tramite account fraudolenti e reverse engineering, allora la piattaforma diventa parte dell’infrastruttura di conflitto.

Reuters ha riportato che Anthropic ha accusato Alibaba di aver condotto la più grande operazione nota di estrazione illecita delle capacità di Claude, con oltre 28,8 milioni di scambi generati tramite quasi 25.000 account fraudolenti tra aprile e giugno 2026. Anthropic ha sostenuto che questa distillazione avrebbe potuto accelerare la capacità cinese di avvicinarsi alle capacità avanzate dei suoi modelli. La notizia è gravissima: non perché dimostri che Anthropic sia cinese, ma perché dimostra che un modello occidentale, se non governato in modo pubblico e sovrano, può essere sfruttato come sorgente di accelerazione per concorrenti strategici e apparati industriali esteri.

In questa prospettiva, definire Anthropic un possibile “veicolo cinese” non significa necessariamente accusarla di fedeltà politica a Pechino. Significa sostenere che, sul piano degli effetti, le sue tecnologie possono essere usate per alimentare la competizione cinese, per trasferire capacità tramite distillazione, per addestrare modelli concorrenti, per colmare il gap industriale e per destabilizzare il mercato occidentale dall’interno. Il veicolo non è sempre volontario. A volte è sistemico. Una piattaforma può essere americana nei capitali, nei fondatori e nella sede, ma diventare comunque una superficie di sfruttamento per potenze rivali se produce capacità troppo concentrate, troppo opache, troppo accessibili attraverso canali indiretti.

Questa tesi è rafforzata da un altro episodio: nel novembre 2025 Anthropic ha dichiarato di aver interrotto una campagna di cyber-spionaggio che avrebbe usato Claude Code in modo agentico, non solo come assistente ma come esecutore operativo di parti dell’attacco. Secondo Anthropic, l’operazione sarebbe stata condotta con alta confidenza da un gruppo sponsorizzato dallo Stato cinese, designato GTG-1002. La società ha parlato di un salto qualitativo: l’IA non più come supporto, ma come strumento capace di eseguire attività offensive in modo semi-autonomo.

Questo fatto rende ancora più fragile la narrazione del “cavaliere bianco”. Anthropic denuncia che la propria tecnologia può essere usata da attori cinesi per operazioni di spionaggio, poi inserisce meccanismi nascosti per individuare ambienti e proxy sospetti, poi spiega che si trattava di un esperimento per difendersi da distillazione e reseller non autorizzati. Ma in questo modo conferma il punto politico fondamentale: questi sistemi sono già dentro la guerra ibrida globale. Non siamo più nella fase ingenua del chatbot che scrive poesie o corregge email. Siamo nella fase in cui agenti IA possono leggere codice, generare exploit, orchestrare workflow, aiutare campagne offensive, essere usati per distillare modelli e trasformarsi in moltiplicatori di capacità geopolitica.

Ed è qui che il rapporto con il Vaticano mi fa paura. Il 25 maggio 2026 Papa Leone XIV ha presentato l’enciclica Magnifica Humanitas, dedicata alla salvaguardia della persona umana nel tempo dell’intelligenza artificiale. Tra i relatori ufficiali figurava Christopher Olah, cofondatore di Anthropic e responsabile della ricerca sull’interpretabilità dell’IA. Anthropic ha poi pubblicato il suo intervento, presentando la partecipazione come parte dell’iniziativa aziendale per allargare la conversazione sulle grandi domande sollevate dall’IA.

Il fatto in sé non è illegittimo. È giusto che la Chiesa dialoghi con scienziati, ricercatori e operatori tecnologici. Ma quando uno dei protagonisti industriali più potenti dell’IA viene collocato simbolicamente accanto alla massima autorità spirituale cattolica nel momento in cui si definisce il linguaggio morale dell’intelligenza artificiale, il rischio è enorme. Il rischio è che si formi una nuova tecnoteocrazia: non una teocrazia classica, ma un’architettura di potere in cui l’impresa tecnologica produce l’infrastruttura, l’autorità religiosa fornisce il lessico morale, la politica rincorre, e il cittadino resta spettatore.

Il Vaticano ha anche approvato la creazione di una Commissione interdicasteriale sull’intelligenza artificiale, con lo scopo di coordinare riflessione, uso e studio dell’IA all’interno della Santa Sede. Anche questo, in astratto, è comprensibile e forse necessario. Ma proprio perché necessario deve restare libero da ogni influenza privilegiata delle grandi imprese tecnologiche. Nessuna azienda privata deve diventare interlocutore privilegiato della coscienza morale globale. Nessuna società che vende modelli, raccoglie dati, costruisce agenti, stipula accordi cloud e partecipa alla competizione geopolitica deve poter apparire come custode spirituale del rischio che essa stessa contribuisce ad accelerare.

Il linguaggio dei fondatori e dei vertici dell’IA è spesso costruito su un equilibrio sottile: da un lato evocano scenari estremi, quasi apocalittici, dall’altro si propongono come gli unici soggetti sufficientemente responsabili per governarli. Questo meccanismo è potentissimo. Prima si racconta il mostro: l’IA che può sfuggire, l’IA che può superare l’uomo, l’IA che può automatizzare guerra, lavoro, sorveglianza e manipolazione. Poi si presenta il salvatore: il laboratorio prudente, etico, allineato, attento, vicino alle istituzioni, capace di dialogare con il Papa, con i governi, con i regolatori, con le grandi imprese. Ma se il salvatore è anche uno dei principali costruttori del mostro, allora la società ha il dovere di diffidare.

Io non temo l’intelligenza artificiale perché “potrebbe diventare Dio”. Temo chi usa questa paura per costruire un monopolio morale sull’intelligenza artificiale. Temo la narrazione secondo cui la macchina starebbe per trovare la propria singolarità, sostituirsi all’uomo, superare Dio, travolgere la civiltà, e quindi bisognerebbe affidarsi proprio a chi quella macchina la sviluppa, la vende e la integra nei sistemi produttivi. È una narrazione antica travestita da futuro: creare la paura, occupare il ruolo del protettore, chiedere fiducia, ottenere potere.

Anthropic, in questo senso, rappresenta un caso emblematico. Nasce dalla fuga da OpenAI, dalla convinzione di essere più prudente, più morale, più capace di controllare il rischio. La sua origine viene spesso raccontata come una separazione quasi etica: ex dipendenti di OpenAI che avrebbero perso fiducia nella capacità dell’organizzazione originaria di gestire responsabilmente l’IA trasformativa. Ma questa genealogia non basta a rendere Anthropic moralmente superiore. Anzi, rischia di diventare parte del mito fondativo: noi siamo quelli usciti dal peccato originale, noi siamo quelli che hanno capito prima, noi siamo quelli che devono salvare il mondo dagli altri e forse anche da noi stessi.

La vicenda del codice nascosto in Claude Code incrina proprio questo mito. Perché non si può predicare interpretabilità e poi inserire marcatori invisibili. Non si può parlare di fiducia e poi classificare ambienti in modo occulto. Non si può invocare la sicurezza globale e poi chiedere agli utenti di accettare spiegazioni ex post. Non si può presentarsi come laboratorio della trasparenza e poi liquidare una funzione nascosta come un esperimento che si era già deciso di rimuovere. Questa non è sicurezza: è paternalismo tecnologico.

Il paternalismo tecnologico è la convinzione che l’utente non debba sapere tutto, perché sapere troppo potrebbe aiutare gli abusi. È una logica apparentemente razionale, soprattutto in materia di cyber-sicurezza. Ma quando viene applicata a strumenti generalisti usati da sviluppatori, aziende, enti pubblici e istituzioni, rischia di diventare una licenza all’opacità. Ogni volta che una funzione è nascosta “per sicurezza”, bisogna chiedersi chi controlla il controllore. Ogni volta che un’azienda dice “fidatevi, lo facciamo per proteggervi”, bisogna chiedersi quale incentivo abbia a dire tutta la verità.

La risposta non può essere il rifiuto dell’intelligenza artificiale. Sarebbe ingenuo, inutile e anche sbagliato. La risposta deve essere una sovranità tecnica e giuridica molto più forte. Servono audit indipendenti sui client e sui modelli, obbligo di documentare ogni forma di telemetria, divieto di marcatori occulti non dichiarati, sistemi di logging verificabili, release notes complete, controlli pubblici sui modelli agentici, responsabilità civile e penale in caso di abuso, standard europei autonomi e infrastrutture non dipendenti né dalla Silicon Valley né dalla Cina. Soprattutto, serve una separazione netta tra chi produce il rischio e chi scrive le regole morali per contenerlo.

Il caso Anthropic ci dice che la grande battaglia dell’IA non sarà solo tra modelli più o meno intelligenti. Sarà tra fiducia e opacità, tra sovranità e dipendenza, tra etica autentica ed etica usata come linguaggio di mercato. Una società che si presenta come custode dell’umanità, ma inserisce codice nascosto nei propri strumenti, deve essere interrogata con durezza. Una società che denuncia il rischio cinese, ma produce tecnologie che possono essere distillate, abusate o usate come acceleratore geopolitico da attori cinesi, deve essere regolata con severità. Una società che dialoga con il Vaticano mentre cresce come colosso computazionale deve essere osservata con attenzione ancora maggiore, non minore.

Il futuro non può essere consegnato ai nuovi sacerdoti del calcolo. Non possiamo permettere che l’IA venga amministrata da un’élite che parla il linguaggio della salvezza mentre costruisce infrastrutture di potere. Anthropic può anche avere ricercatori eccellenti, strumenti potenti e intenzioni dichiarate nobili. Ma la fiducia, in tecnologia, non nasce dalle dichiarazioni. Nasce dalla verificabilità. Nasce dal controllo. Nasce dalla possibilità di sapere cosa fa un sistema, cosa raccoglie, cosa nasconde, quali interessi serve e quali conseguenze produce.

Per questo, oggi, la domanda non è se Anthropic sia buona o cattiva. La domanda è molto più seria: possiamo accettare che una società privata, nata da una frattura interna a OpenAI, finanziata da capitali giganteschi, integrata nelle infrastrutture cloud, coinvolta nella guerra tecnologica tra Stati Uniti e Cina, presente nei tavoli morali sull’IA e sorpresa a usare meccanismi occulti dentro i propri strumenti, diventi uno degli arbitri del futuro umano?

La mia risposta è no. Non senza controllo. Non senza trasparenza. Non senza sovranità pubblica. Non senza una diffidenza strutturale verso ogni cavaliere bianco che arriva a salvarci dal drago mentre continua ad alimentarlo.