Per anni la sicurezza informatica ha seguito una struttura tipica: emerge una vulnerabilità, viene rilasciata una patch, i team IT la applicano e il lavoro prosegue fino al ciclo successivo. Con l’evoluzione dell’IA, questa finestra temporale è diventata sempre più ridotta e frequente, perché gli attaccanti sono sempre più preparati. Quando Anthropic ha presentato Claude Mythos, non si è limitata a lanciare un modello di intelligenza artificiale più potente: ha messo in luce una rottura profonda nelle convinzioni che hanno sostenuto la sicurezza delle aziende per decenni. Claude Mythos è un sistema capace di trovare in modo autonomo migliaia di vulnerabilità critiche su tutti i principali sistemi operativi e browser, generando exploit funzionanti senza intervento umano, a una velocità e scala impensabili rispetto alle funzionalità precedenti.

Negli ultimi anni abbiamo visto il periodo di tempo a disposizione delle organizzazioni per applicare le patch ai propri sistemi ridursi in modo esponenziale. Nel 2018, il tempo mediano tra la chiusura di una vulnerabilità e il primo exploit osservato era di 771 giorni. Nel 2023 era di 6 giorni. Nel 2024, 4 ore, e nel 2025 la maggior parte delle vulnerabilità sfruttate veniva ormai sfruttata prima ancora di essere resa pubblica.

Claude Mythos porta tutto questo a un nuovo livello, con la possibilità per chiunque di individuare exploit alla velocità delle macchine e a una frazione del costo. Ciò su cui i principali CISO del mondo e i ricercatori indipendenti stanno ora lanciando l’allarme non è una minaccia lontana: la minaccia è già in corso e continuerà solo a intensificarsi. Per chi guida l’IT in aziende di fascia media e PMI, le risorse sono già limitate e il tempo per prepararsi è più breve di quanto ci si immagini. In questo articolo analizziamo cos’è davvero Claude Mythos, perché cambia le pratiche di sicurezza e quali azioni concrete e urgenti dovresti mettere in campo subito nella tua organizzazione.

Che cos’è Claude Mythos?

Claude Mythos è il modello di intelligenza artificiale più potente mai sviluppato da Anthropic. Durante la fase di anteprima del modello in un gruppo beta, si è scelto di non rilasciarlo al pubblico dopo averne scoperto tutte le capacità.

Per capire davvero quanto sia grande il salto rispetto ai modelli precedenti, Anthropic ha condotto un esperimento interno facendo affrontare a Mythos e al modello precedente lo stesso compito: trovare vulnerabilità nell’ultima versione di Firefox completamente patchata. Il modello precedente ne aveva trovate due, mentre Mythos ne ha scoperte 181.

Quello che rende Mythos davvero pericoloso è la sua capacità di scoprire vulnerabilità e generare exploit in autonomia e all’istante, senza bisogno di intervento umano. Non serve una configurazione speciale o un team di ricercatori d’élite. Durante questa fase di anteprima, Mythos ha inoltre scoperto bug che erano rimasti non rilevati per oltre 27 anni.

Perché Anthropic ha limitato l’accesso a Mythos e perché è importante

La decisione di Anthropic di non pubblicare Mythos non è stata una semplice precauzione o uno stratagemma di marketing. Si è trattato di una consapevolezza profonda da parte di alcuni tra i massimi esperti di sicurezza, che hanno riconosciuto il rischio enorme legato al numero di sistemi potenzialmente compromessi.

Questo ha portato Anthropic a bloccare del tutto il modello e a lanciare Project Glasswing. Un gruppo selezionato di fornitori di infrastrutture critiche ha avuto l’accesso anticipato per iniziare a mettere in sicurezza i propri sistemi con le patch e ridurre la superficie di attacco di modelli simili.

Il messaggio in tale decisione è chiaro: l'asimmetria è reale; la minaccia è reale.

Project Glasswing: un mese dopo

Nelle settimane successive all'annuncio di Mythos, Anthropic ha pubblicato i primi risultati dal Project Glasswing che hanno quantificato il cambiamento con numeri concreti:

• Oltre 10.000 vulnerabilità di gravità alta o critica scoperte nei sistemi dei partner solo nel primo mese, con la maggior parte dei singoli partner che ne ha individuate centinaia.
• Cloudflare ha individuato 2.000 bug — di cui 400 di gravità alta o critica — con un tasso di falsi positivi migliore rispetto ai tester umani
• Mozilla ha identificato e risolto 271 vulnerabilità in Firefox 150 usando Mythos Preview, più di dieci volte rispetto a quelle trovate nella versione precedente con il vecchio modello Claude
• Oltre 6.200 vulnerabilità di gravità alta o critica identificate in più di 1.000 progetti open source, con aziende di sicurezza indipendenti che hanno confermato un tasso di veri positivi del 90,6%
• L’AI Security Institute del Regno Unito segnala che Mythos Preview è il primo modello a risolvere entrambe le loro simulazioni di cyber range — attacchi informatici multistep — end-to-end
• I tassi di rilevamento di bug sono aumentati di oltre 10 volte presso diversi partner rispetto ai metodi precedenti
• Il nuovo collo di bottiglia è la capacità umana — non trovare vulnerabilità, ma verificarle, divulgarle e applicare le patch abbastanza rapidamente; alcuni manutentori open source hanno chiesto ad Anthropic di rallentare la divulgazione perché non riescono a stare al passo
• Il tempo medio per applicare una patch a una vulnerabilità di gravità alta o critica rilevata da Mythos Preview è attualmente di due settimane: un tempo che dovrà ridursi molto man mano che queste funzionalità si diffondono

Perché i responsabili IT devono agire subito: il panorama delle minacce è cambiato definitivamente con Claude Mythos

Claude Mythos non è il primo modello di IA a trasformare il panorama della sicurezza informatica, però è la prima volta che vediamo il cambiamento avvenire così rapidamente e su questa scala. Quello che fa la differenza tra Mythos e tutti i precedenti modelli di IA è la combinazione di velocità, autonomia e accessibilità, che si presentano contemporaneamente.

I modelli precedenti potevano aiutare un malintenzionato, mentre Mythos è in grado di sostituirlo. Mythos non ha bisogno di un operatore esperto a guidarlo, di una configurazione tecnica elaborata per farlo funzionare, né di giorni di analisi per produrre risultati. Trova la vulnerabilità, crea l’exploit e mette in pratica un vettore di attacco autonomo.

Il caso di business a favore dell’urgenza è quanto di più critico si possa immaginare. Secondo il Data Breach Investigations Report 2025 di Verizon, il ransomware è comparso nell’88% degli incidenti di data breach nelle PMI, rispetto a solo il 39% nelle organizzazioni più grandi. La tua azienda è il bersaglio principale degli aggressori. Il pagamento di riscatto medio nel 2025 è stato di 115.000 dollari. E questo senza considerare i costi di ripristino, i tempi di inattività, i rischi legali o i possibili danni alla reputazione.

Secondo il Threat Landscape Report 2026 per le PMI di VikingCloud, il 40% delle piccole e medie imprese afferma che un attacco informatico con un costo pari o inferiore a 100.000 dollari sarebbe sufficiente a mandarle completamente fuori mercato. Solo il riscatto mediano già supera quella soglia, ed è probabilmente inferiore a quanto ti aspetteresti o penseresti. Per le aziende che pagano e superano l'incidente immediato, il Cost of a Data Breach Report 2024 di IBM calcola il costo medio di una violazione per aziende con meno di 500 dipendenti a 3,31 milioni di dollari, cioè 33 volte la soglia che la maggior parte delle PMI afferma di non poter sostenere. Per la maggior parte delle PMI, una singola violazione può essere la causa della chiusura.

In un contesto Mythos, in cui il tempo necessario per trasformare le vulnerabilità in exploit attivamente utilizzati dagli aggressori si è ridotto da settimane a poche ore, non ci si chiede più se la tua organizzazione verrà colpita, ma se sarà in grado di sopravvivere quando accadrà.

Hype contro realtà: facciamo chiarezza sulle critiche

L’hype	La realtà
Migliaia di vulnerabilità gravi	I bug esistono. Ogni esecuzione ne trova di diverse. Ora è un processo continuo e poco costoso.
È totalmente autonomo	I risultati arrivano da un modello abbinato a una struttura di orchestrazione, non dal modello che lavora da solo.
Comprometterebbe tutta la sicurezza	Le basi, come patch, MFA, segmentazione e privilegio minimo, funzionano ancora e sono più importanti che mai.
È come un penetration tester IA	In realtà è più simile a un revisore di codice sorgente IA. Non è così efficace per i test "black box".
È solo marketing	Oltre 60 responsabili della sicurezza indipendenti hanno scritto un documento dove illustrano i veri rischi, senza interessi commerciali nel risultato

La visione onesta, come la Cloud Security Alliance la chiama, è: Mythos rappresenta un reale passo avanti nella ricerca delle vulnerabilità assistita dall’IA, con la vera svolta nel flusso di lavoro e nello sviluppo degli exploit. La vera novità è chi può eseguire questi attacchi, quanto velocemente e a quale costo. Siamo ora a un punto di accelerazione permanente dove i criminali comuni avranno funzionalità che prima erano solo per pochi.

Capire com’è davvero una catena di exploit

Per i responsabili IT, comprendere come si sviluppano questi attacchi è importante quanto sapere che stanno accadendo. Con Mythos, tale processo è più complesso e sistematico rispetto al passato.

L’AISI del Regno Unito ha valutato Claude Mythos Preview sottoponendolo a una simulazione di attacco a una rete aziendale articolata in 32 fasi, dalla ricognizione iniziale fino alla completa compromissione della rete. Hanno stimato che ciò avrebbe richiesto 20 ore di lavoro umano professionale. Claude Mythos ha completato l’operazione dall’inizio alla fine 3 volte su 10 senza intervento umano.

Ecco perché i CISO stanno lanciando l’allarme. Mythos non si limita a cercare vulnerabilità: legge anche il codice sorgente per individuare i punti deboli. Una volta confermata una vulnerabilità, può creare un exploit funzionante senza alcun intervento umano. In pratica, un attacco basato su IA come Mythos può raggiungere i privilegi da amministratore in solo 8 minuti. Per fare un paragone, un attaccante umano esperto impiega in genere da diverse ore a diversi giorni per ottenere lo stesso risultato.

Il piano di risposta agli incidenti medio di un’azienda si basa su tempi di rilevamento di almeno 24 ore, con il contenimento che spesso richiede diversi giorni in più. In appena 8 minuti, un attacco basato sull’IA raggiunge i sistemi critici prima ancora che la maggior parte dei team di sicurezza abbia ricevuto il primo avviso — figuriamoci organizzato una risposta all’incidente.

La parte più pericolosa è ciò che succede dopo il compromesso iniziale. Mythos collega più vulnerabilità in una sequenza di attacco multistep, sfruttando una debolezza per ottenere accesso ed elevare i privilegi sulla rete fino ai sistemi critici.

Una cosa da tenere a mente: ogni patch rilasciata rappresenta ormai anche un modello per sviluppare un exploit, poiché Mythos è in grado di effettuare il reverse engineering della vulnerabilità che la patch corregge.

10 domande che i responsabili IT dovrebbero farsi subito

Prima di costruire un piano di risposta, è necessaria una valutazione onesta della propria situazione attuale. Queste domande servono per arrivare subito al punto:

1. Qual è oggi la nostra reale posizione sull’IA — consentita, tollerata, limitata o sconosciuta?
2. Abbiamo censito ogni endpoint, browser e sistema operativo — inclusi i dispositivi BYOD che non controlliamo direttamente?
3. Sappiamo quali sistemi non possono essere patchati automaticamente e abbiamo un piano manuale di ripristino per loro?
4. Stiamo applicando almeno le patch dell’elenco KEV della CISA su tutti i sistemi esposti a Internet?
5. C’è un vero controllo di sicurezza tra modifica del codice e produzione — e lo stesso controllo sui software di terzi introdotti nel nostro ambiente?
6. Abbiamo runbook pre-autorizzati per isolare o spegnere un sistema compromesso senza dover passare attraverso ore di catene di approvazione?
7. I nostri asset più critici sono esplicitamente tracciati e aggiornati — non sistemi teoricamente importanti, ma quei pochi che contano davvero?
8. La leadership esecutiva ha una definizione operativa di urgenza — perché se tutto è una crisi, allora niente lo è?
9. Qual è la nostra attuale policy BYOD e abbiamo visibilità sui dispositivi non gestiti che accedono al nostro ambiente?
10. Il nostro team ha iniziato a utilizzare l’IA per qualche funzione di sicurezza, oppure stiamo ancora operando interamente alla velocità umana?

Se alcune di queste risposte risultano poco chiare o scomode, non è insolito, ma dovrebbe essere una priorità affrontarle. Sono proprio queste le lacune su cui puntano gli attacchi basati sull’IA.

A cosa dovrebbero dare la priorità le aziende di fascia media e le PMI con risorse limitate

La lista completa di azioni consigliate dalla Cloud Security Alliance è davvero lunga. Per le aziende di fascia media e le PMI che lavorano con team e budget ridotti, la verità è che non è possibile fare tutto subito. Quello che puoi fare è partire dalle azioni che offrono la massima protezione con la minima complessità — e puntare a crescere da lì.

Come afferma Attila Torok, VP Security di GoTo: “Qualsiasi cosa possiamo fare è meglio, perché l’alternativa è dover cercare di gestire una dozzina o 50 vulnerabilità ogni settimana. Qualsiasi cosa possiamo fare per essere anche solo un po’ migliori nel proteggere, contenere e rispondere è un punto a favore.”

Applicare le patch è più importante che mai

Applicare le patch è sempre stato essenziale. Ora conta ancora di più. Con modelli come Mythos in grado di ricostruire un exploit dal patch rilasciato, il tempo tra pubblicazione della patch ed exploit attivo è crollato da settimane a poche ore. Per i team con risorse limitate che non possono applicare tutte le patch contemporaneamente, occorre seguire questo ordine di priorità:

• Prima i sistemi operativi
• Poi i browser
• Poi le principali app aziendali
• Come minimo assoluto: applicare sempre le patch alle vulnerabilità presenti nella lista delle Known Exploited Vulnerabilities (KEV) di CISA, in particolare su qualsiasi sistema esposto a Internet.

Una realtà che merita particolare attenzione nei contesti mid-market è il problema del patching di sistemi IT obsoleti. Potresti avere un’infrastruttura mista tra moderna e obsoleta — sistemi operativi vecchi, software fuori supporto, applicazioni personalizzate sviluppate anni fa che non sono mai state pensate per l’applicazione automatica delle patch. Questi sistemi richiedono processi di implementazione manuali, passo dopo passo, il che significa che sono quasi sempre in ritardo. In un ambiente di minaccia stile Mythos, essere “quasi sempre in ritardo” sui sistemi legacy è un invito a nozze. Hai bisogno di un piano manuale di ripristino per questi sistemi, documentato adesso, non quando un zero-day rende necessario correre ai ripari.

Contenimento

Dato che il numero di zero-day è destinato ad aumentare sensibilmente, ci saranno momenti in cui una patch non sarà ancora disponibile. Il contenimento è ciò che colma questa lacuna. Questo significa avere la capacità di isolare rapidamente un endpoint compromesso o di disattivare un servizio vulnerabile, senza perdere delle ore con i processi di approvazione. I runbook pre-autorizzati non sono un lusso riservato alle grandi aziende: sono una necessità pratica per la tua organizzazione, se ci si aspetta di reagire alla velocità richiesta da queste minacce.

Architettura resiliente

Le PMI devono scegliere consapevolmente quali sistemi far comunicare tra loro. Separare il sistema finanziario e altri dati sensibili degli utenti dalle reti generali dei dipendenti. Mantieni i tuoi server e le applicazioni esposte a Internet isolati dalle workstation interne.

Il principio è semplice: quando emerge una vulnerabilità zero-day, la segmentazione determina se il raggio d’azione dell’attacco colpisce un solo sistema o l’intera rete. Ogni barriera che implementi costringe un aggressore a lavorare di più, impiegare più tempo e generare una maggiore attività rilevabile. Per una PMI che non può prevenire ogni intrusione, questo attrito è ciò che consente di guadagnare il tempo necessario per reagire.

Protezione dell’identità

Quando arriva un attacco zero-day, riduci il danno rendendo le identità compromesse inutilizzabili in pochi minuti invece che in ore. Credenziali a breve durata, accesso con privilegi minimi e rotazioni rapide delle chiavi sono una necessità per ridurre in modo significativo ciò che un aggressore può fare con un’identità compromessa.

Adotta l’IA per combattere l’IA

I team di sicurezza non possono contrastare minacce alla velocità delle macchine rispondendo con il ritmo umano. Le stesse funzionalità di IA usate dagli aggressori possono essere sfruttate dal tuo team per tenerli fuori. La scansione del codice, la triage degli avvisi, la stesura delle risposte agli incidenti e l’accelerazione della prioritizzazione delle patch sono tutte attività pratiche in cui l’IA può fornire supporto. Per i team di una PMI come la tua, la barriera per iniziare è più bassa di quanto si possa pensare, ed è fondamentale fornire al proprio team gli strumenti giusti per proteggere l’ambiente.

Rivalutare le strategie BYOD e il rischio degli endpoint non gestiti

Per le aziende di fascia media e le PMI, l’esposizione BYOD spesso viene trascurata perché è fuori dalla propria vista centralizzata. Il portatile personale di un dipendente con un sistema operativo non aggiornato, o un collaboratore che accede ai sistemi aziendali da un dispositivo non gestito, potrebbero non apparire nel tuo catalogo di gestione delle patch. Non ci sono trigger per gli avvisi sulle vulnerabilità e non sono inclusi nei tuoi runbook di contenimento. Si trovano completamente fuori dal tuo piano di controllo, ma sono collegati direttamente al tuo ambiente.

Il costo umano: burnout del team e prontezza della forza lavoro

Il burnout del team IT non è una novità ed è un tema importante che LogMeIn tratta già da tempo. I team sono bloccati in un perenne triage, senza la possibilità di imparare nuove tecnologie o come sfruttare meglio l’IA nei loro flussi di lavoro. Parte della crisi della complessità IT, in cui i team IT sono sempre più chiamati a fare di più con meno, mentre allo stesso tempo devono affrontare la pressione di modernizzare le operazioni e scalare l’adozione dell’IA in modo responsabile.

Burnout e turnover nelle funzioni di sicurezza sono rischi operativi, e le competenze per affrontare le transizioni si costruiscono in anni e non si sostituiscono in pochi mesi. Con i professionisti della sicurezza informatica che già lavorano in media 10,8 ore extra a settimana, è fondamentale avere una leadership chiara nell’adottare pratiche per alleggerire la pressione sui dipendenti.

Affrontare questo nuovo scenario richiederà di rivedere le priorità, automatizzare e rimodellare la cultura aziendale, facendo leva sull’IA per accelerare la sicurezza. Ogni membro del tuo team dovrebbe diventare un costruttore di soluzioni IA, sfruttando attivamente le capacità dell’IA. Le organizzazioni che supereranno bene questo periodo sono quelle che stanno sviluppando già adesso le competenze giuste.

Aspettare che gli strumenti “maturino” potrebbe lasciare la tua organizzazione indietro di due anni…

Come LogMeIn aiuta le organizzazioni a prepararsi per Mythos

Per aziende di fascia media e le PMI come la tua, che magari non hanno accesso alle stesse risorse e team di sicurezza dedicati delle grandi imprese, la sfida di prepararsi a Mythos può sembrare insormontabile. Scegliere un partner tecnologico come LogMeIn può contribuire ad alleggerire questo carico e aiutare la tua azienda a operare al di sopra di quella che la ricercatrice di sicurezza Wendy Nather definisce la “Cyber Poverty Line”, mantenendo i sistemi più sicuri.

LogMeIn sta investendo nelle funzionalità più importanti per i team IT sotto risorse limitate che si trovano ad affrontare un contesto di minacce in rapida evoluzione: patching automatizzato che riduce il tempo tra la divulgazione della vulnerabilità e la sua correzione, una risposta agli incidenti più rapida che non richiede grandi team di sicurezza per essere eseguita in velocità, e una gestione degli endpoint che estende la visibilità ai dispositivi e ai sistemi più facilmente trascurati. Basate su un framework di sicurezza Zero Trust, le soluzioni progettate ad hoc di LogMeIn forniscono alle PMI controlli di sicurezza avanzati per implementare facilmente queste pratiche all’interno della propria organizzazione.

Il principio fondamentale alla base di questo lavoro è chiaro: bisogna riuscire a stare al passo degli aggressori. Le funzionalità di IA di LogMeIn si basano su due pilastri per raggiungere questo obiettivo: insight basati sull’IA ("la mente") per decisioni più intelligenti e risoluzione dei problemi intelligente ("il braccio") per un’azione più rapida ed efficace. L’obiettivo è garantire che le organizzazioni che hanno più bisogno di queste funzionalità non siano le ultime ad avervi accesso.

Mythos è solo l’inizio...

La tempesta delle vulnerabilità legate all’IA è solo l’inizio di un nuovo contesto operativo a cui dovremo continuare ad adattarci. Le organizzazioni che supereranno questa epoca non saranno quelle che impediscono ogni attacco zero-day: saranno quelle che si sono assicurate che il danno sia limitato. Quelle che hanno costruito processi, strumenti e cultura descritti in questo articolo.

Le basi funzionano ancora. Le patch, l’MFA, la segmentazione della rete e il principio del privilegio minimo restano metodi chiave di prevenzione. Mythos ha semplicemente alzato il prezzo dell’ignorarle, sfruttando più velocemente e a costi minori le falle di base.

Mythos è solo il primo modello di questa nuova frontiera, con altri già all’orizzonte. Inizia a preparare già da ora la tua risposta.