Claude Mythos e Project Glasswing: quando l'IA scopre migliaia di falle zero-day

L'8 aprile 2026 Anthropic ha presentato Claude Mythos Preview (nome in codice "Capybara"), il modello di intelligenza artificiale più potente mai costruito dall'azienda — e probabilmente il più consequenziale nella storia del settore. Il motivo non risiede nei benchmark accademici, per quanto impressionanti, ma in ciò che il modello ha fatto durante i test interni: ha scoperto migliaia di vulnerabilità zero-day in ogni principale sistema operativo, browser e infrastruttura critica. Una scoperta che ha portato alla creazione di un consorzio industriale senza precedenti: Project Glasswing.

Cosa ha scoperto Claude Mythos

Durante la fase di test interna, Mythos è stato sottoposto ai protocolli di valutazione della sicurezza di Anthropic. Quello che è emerso ha superato ogni aspettativa: il modello ha identificato migliaia di vulnerabilità zero-day precedentemente sconosciute in praticamente ogni superficie di attacco testata. Non si tratta di bug minori o di edge case teorici, ma di falle sfruttabili che mettevano a rischio miliardi di dispositivi.

Tra le scoperte più eclatanti:

• Una falla in OpenBSD vecchia di 27 anni — un sistema operativo celebre proprio per la sua sicurezza, che non aveva mai registrato una compromissione remota nel suo installer predefinito.
• Un bug in FFmpeg vecchio di 16 anni — FFmpeg è la libreria multimediale più utilizzata al mondo, presente in VLC, Chrome, Firefox e migliaia di altri software.
• Una catena di exploit nel kernel Linux — non una singola vulnerabilità, ma una sequenza di falle concatenabili che potevano portare all'escalation di privilegi completa.
• Vulnerabilità in tutti i principali browser — Chrome, Firefox, Safari ed Edge presentavano falle zero-day che Mythos ha identificato analizzando il codice sorgente.
• Falle nei sistemi operativi mobile — iOS e Android non sono stati risparmiati, con vulnerabilità che potevano compromettere la sicurezza dei dati degli utenti.

Project Glasswing: un consorzio industriale senza precedenti

Di fronte alla portata delle scoperte, Anthropic ha fatto una scelta inedita nel settore tech: anziché gestire le vulnerabilità internamente o venderle, ha convocato un consorzio dei principali attori dell'industria tecnologica e finanziaria per coordinare la divulgazione responsabile e la correzione delle falle.

Project Glasswing riunisce un cast che sarebbe stato impensabile solo un anno fa:

• Cloud e infrastruttura: AWS, Google Cloud, Microsoft Azure
• Sistemi operativi e dispositivi: Apple, Microsoft, Google (Android/Chrome OS)
• Hardware e chip: Nvidia
• Sicurezza informatica: CrowdStrike
• Finanza: JPMorgan Chase
• E altri partner del settore tecnologico e governativo

Il consorzio ha stanziato 100 milioni di dollari in crediti per le operazioni di patch e remediation, più 4 milioni di dollari dedicati alla sicurezza open-source, riconoscendo che gran parte delle infrastrutture critiche mondiali si basa su progetti mantenuti da comunità di volontari.

Benchmark: i numeri di un modello fuori scala

Al di là delle scoperte nel campo della sicurezza, Claude Mythos Preview stabilisce nuovi record in tutti i principali benchmark di valutazione dei modelli IA:

Il dato su SWE-bench Verified è particolarmente significativo: un punteggio del 93,9% significa che Mythos può risolvere autonomamente quasi tutte le issue software reali che gli vengono sottoposte. Per confronto, Claude Opus 4.6 si attesta intorno al 72% e i migliori modelli di ChatGPT e Gemini non superano l'85%.

Perché Mythos non è disponibile al pubblico

A differenza degli altri modelli Claude, Mythos Preview non è accessibile al pubblico — né tramite API, né tramite l'interfaccia web. La decisione è stata presa da Anthropic in consultazione con i partner di Project Glasswing, data la sensibilità delle capacità del modello nel campo della sicurezza informatica.

Anthropic ha dichiarato che le capacità di Mythos verranno progressivamente integrate nei modelli commerciali man mano che i rischi vengono mitigati. Claude Opus 4.7, rilasciato il 16 aprile 2026, è il primo modello a beneficiare delle protezioni informatiche sviluppate con Mythos.

Le implicazioni per il settore della sicurezza informatica

Le scoperte di Mythos pongono una questione fondamentale: se un modello IA può trovare migliaia di falle zero-day, cosa potrebbe fare un modello equivalente nelle mani sbagliate? Project Glasswing è la risposta di Anthropic a questa domanda — un approccio collaborativo alla divulgazione responsabile che potrebbe diventare il modello standard per la gestione delle capacità IA avanzate.

Il precedente storico più vicino è il Project Zero di Google, ma la scala delle scoperte di Mythos è di un ordine di grandezza superiore. Mentre Project Zero trova tipicamente decine di vulnerabilità all'anno con team di esperti umani, Mythos ne ha individuate migliaia in poche settimane di test.

Cosa significa per il futuro dell'IA

Claude Mythos Preview rappresenta un punto di svolta non solo per Anthropic, ma per l'intero settore dell'intelligenza artificiale. Dimostra che i modelli di frontiera possono avere impatti concreti e immediati ben oltre la generazione di testo e codice. La capacità di trovare vulnerabilità a una scala impossibile per i team umani apre un nuovo paradigma nella sicurezza informatica — ma solleva anche interrogativi importanti sulla governance dei modelli più avanzati.