Anthropic porta Claude Mythos a 200 partner in 15 Paesi e decide chi può difendersi col modello cyber più avanzato in circolazione

Cos’è successo

Anthropic ha allargato Project Glasswing da una cinquantina a circa duecento partner, portando per la prima volta oltre Stati Uniti e Regno Unito l'accesso a Claude Mythos Preview — il modello cyber che l'azienda tiene fuori dal mercato per la sua capacità di scovare e sfruttare vulnerabilità critiche nel software. I nuovi ammessi, in oltre quindici Paesi, dovranno comunque superare alcuni requisiti di sicurezza prima di entrare.

La lista, che Anthropic non ufficializza, è geopoliticamente eloquente: secondo il Financial Times comprende i Five Eyes, la Nato, l'agenzia cyber europea ENISA, infrastrutture di mercato come Swift ed Euroclear e colossi come Samsung. E arriva il giorno dopo il deposito confidenziale dell'S-1 per un'IPO potenzialmente oltre i 1.000 miliardi; poche ore più tardi, la Casa Bianca ha invece firmato un ordine esecutivo, annacquato, sulla revisione dei modelli cyber prima del rilascio.

Perché conta

Più del numero di partner pesa chi controlla la lista e, decidendo chi entra e chi resta fuori, Anthropic si arroga una funzione tipicamente statale: stabilire quali nazioni e quali infrastrutture critiche possono difendersi con lo strumento migliore in circolazione. Un privato che dosa l'accesso a una capacità che equivale a un'arma sta diventando, di fatto, esso stesso infrastruttura critica e una forma di sovranità.

• La geografia dell'accesso è già politica estera. Prima i Five Eyes, poi un gruppo scelto di alleati (Francia, Germania, Italia, Giappone, Corea del Sud) e infine NATO ed ENISA, quest'ultima dopo che i funzionari europei erano volati a San Francisco a chiedere il modello. Chi è dentro e chi è ancora fuori disegna una mappa di fiducia geopolitica, tracciata da un'azienda e non da un governo;
• Ed è qui il cortocircuito con lo Stato. Quell'ordine esecutivo, firmato a ridosso dell'annuncio, è il governo che prova a riprendersi un pezzo della sovranità che Anthropic si sta cucendo addosso — la stessa Casa Bianca che di recente aveva bloccato alcuni allargamenti di Glasswing per ragioni di sicurezza. Eppure si tratta dell'azienda che pochi mesi fa quel governo minacciava di marchiare come rischio per la catena di fornitura: conflitto e simbiosi nello stesso respiro;
• A reggere tutto sarebbe la promessa di un “vantaggio permanente per chi difende”. I numeri della stessa Anthropic, però, la incrinano: trovare le falle è ormai banale — oltre diecimila critiche scovate dai partner, dieci volte i bug che Mozilla individuava su Firefox col modello precedente — mentre ripararle resta lento e umano, con appena 75 patch sui 530 bug open-source già divulgati. E quando è Mythos a scrivere la correzione, spesso ne rompe un'altra parte. Se scovare è facile e riparare no, allargare la platea rischia di distribuire più potenziale offensivo che difensivo.

Adesso

• Il calendario non è innocente. Presentarsi come perno della cyber-difesa occidentale il giorno dopo aver avviato una delle più grandi quotazioni di sempre vale anche come argomento per gli investitori: l'indispensabilità geopolitica si vende bene in un prospetto. Conviene osservare se i prossimi allargamenti seguiranno la logica del rischio o quella del posizionamento;
• La finestra, del resto, è stretta. Per ammissione di Anthropic, entro sei-dodici mesi altri laboratori avranno modelli di pari capacità — il GPT-5.5-Cyber di OpenAI gira già tra i partner — e potrebbero rilasciarli senza le stesse cautele. Il valore di un club ad accesso controllato evapora quando la capacità si diffonde, e Anthropic ha pochi mesi per convertire il vantaggio di oggi in standard e infrastruttura che gli sopravvivano;
• Più Anthropic agisce da quasi-regolatore, più diventa ineludibile la questione della legittimità. La validazione delle falle la governa l'azienda stessa: è lei a scegliere quali risultati passano a revisori esterni, e nessuno controlla l'intero corpus. Una funzione di sicurezza di fatto pubblica, gestita da un privato senza controllo terzo, è un debito che governi e Unione Europea prima o poi chiederanno di saldare.