Claude Code, l’agente di sviluppo software di Anthropic, è stato utilizzato per individuare un programma di mining di criptovalute presente su un computer Mac durante un’attività inizialmente dedicata all’analisi dei sensori di temperatura. Il caso è stato reso pubblico da uno sviluppatore identificato su Reddit con il nome UntilHEX, che il 18 ottobre 2026 stava realizzando un’applicazione per monitorare le condizioni termiche del proprio computer. Dopo aver rilevato temperature superiori alle aspettative, lo sviluppatore ha chiesto a Claude Code di esaminare i dati raccolti per individuare la causa dell’anomalia. Durante l’analisi, l’agente ha identificato un processo riconducibile a XMRig, software utilizzato per il mining di criptovalute, che stava occupando una quantità eccezionalmente elevata di risorse della CPU. Il consumo rilevato era pari al 1.175%, un valore compatibile con l’utilizzo simultaneo di quasi dodici core logici, poiché nei sistemi operativi Unix-like la percentuale di utilizzo di un processo può superare il 100% quando l’elaborazione coinvolge più core. La scoperta ha fornito una spiegazione concreta al surriscaldamento e al progressivo rallentamento del computer segnalati dall’utente.
L’analisi non si è limitata all’individuazione del processo responsabile del carico computazionale. Claude Code ha verificato anche gli elementi associati all’avvio automatico del sistema, rilevando che il programma di mining risultava registrato tra i componenti eseguiti all’accensione del Mac. Le informazioni mostrate nella documentazione condivisa dallo sviluppatore suggerivano che l’inserimento tra gli elementi di avvio fosse avvenuto intorno al 29 agosto 2026. Non è stato tuttavia possibile stabilire attraverso quale percorso il software fosse stato inizialmente installato, né se l’installazione fosse collegata a un file compromesso, a un’applicazione di terze parti o a un’altra modalità di accesso non autorizzato. Il programma XMRig, di per sé utilizzabile anche legittimamente, assume in questo caso caratteristiche riconducibili al cryptojacking, ossia all’utilizzo non autorizzato della potenza di calcolo di un dispositivo per attività di mining.
La procedura di intervento proposta dall’agente ha previsto la disabilitazione dell’esecuzione automatica, l’arresto del processo di mining e lo spostamento dei file associati in una cartella di quarantena. Claude Code non ha eseguito autonomamente queste operazioni senza autorizzazione, ma ha prima presentato allo sviluppatore il problema individuato e richiesto un consenso esplicito per procedere. Ottenuta l’approvazione, l’agente ha completato gran parte delle operazioni di pulizia. Un file ha richiesto un intervento manuale a causa di limitazioni nei permessi di accesso, mentre gli altri componenti sono stati gestiti attraverso gli strumenti disponibili nell’ambiente di esecuzione. Lo sviluppatore ha successivamente effettuato un’ulteriore scansione mediante Malwarebytes, ma non sono stati pubblicati risultati sufficientemente dettagliati per stabilire con certezza che ogni elemento malevolo fosse stato eliminato.
L’episodio documenta un utilizzo di Claude Code diverso dalla generazione e modifica del codice applicativo. L’agente è intervenuto come strumento di diagnosi sistemistica, collegando un’anomalia termica al consumo delle risorse computazionali, individuando il processo responsabile e ricostruendo alcuni meccanismi di persistenza del software. Il caso mostra anche l’importanza della separazione tra analisi e operazioni che modificano lo stato del computer: la richiesta di autorizzazione prima della terminazione dei processi e dello spostamento dei file ha mantenuto il controllo dell’intervento nelle mani dell’utente, evitando che una diagnosi automatizzata producesse modifiche non approvate. Rimane necessario distinguere il successo della diagnosi dalla completa bonifica del sistema, per la quale servono verifiche successive e strumenti di sicurezza dedicati.
Questo articolo è stato redatto con il supporto di strumenti di intelligenza artificiale (AI)