Anthropic ha concesso all’Agenzia dell’Unione europea per la cybersicurezza, ENISA, l’accesso a Mythos 5, il proprio modello AI specializzato nell’individuazione e nell’analisi delle vulnerabilità del codice. La Commissione europea ha confermato il 10 settembre che l’agenzia può utilizzare il modello e ENISA ha indicato di aver già avviato i test nel corso di questo mese. L’accesso arriva dopo circa quattro mesi di negoziati e coordinamento tra Anthropic e le istituzioni europee, iniziati a maggio con le prime discussioni sulla possibilità di sottoporre Mythos 5 a valutazioni dirette.
Mythos 5 è progettato per individuare automaticamente vulnerabilità nel software e analizzarne le possibili implicazioni di sicurezza. Proprio questa capacità lo rende interessante per attività di cyberdifesa, ma introduce anche un problema di doppio uso: le stesse competenze che possono aiutare a scoprire e correggere una falla possono essere impiegate per identificare punti deboli sfruttabili in un attacco. Per questo Anthropic non aveva distribuito il modello in modo generalizzato fin dal lancio, scegliendo invece un accesso progressivo e limitato a organizzazioni selezionate.
Ad aprile Mythos 5 era stato inizialmente reso disponibile a circa 50 aziende e istituzioni, tra cui Amazon Web Services e JPMorgan Chase. A giugno Anthropic aveva ampliato il programma portando a circa 150 il numero delle organizzazioni autorizzate a utilizzare il modello. L’accesso di ENISA inserisce ora anche l’Unione europea tra i soggetti in grado di valutare direttamente le prestazioni di Mythos 5 nell’individuazione delle vulnerabilità e nella risposta alle minacce informatiche.
La disponibilità internazionale del modello è stata influenzata anche dalle restrizioni introdotte negli Stati Uniti. A giugno l’amministrazione Trump aveva promosso misure volte a limitare l’uso all’estero di alcuni modelli Anthropic, portando l’azienda a bloccare completamente l’accesso a Mythos 5 e Fable 5 per determinate organizzazioni straniere. Successivamente la Casa Bianca ha consentito una riapertura parziale e controllata dell’accesso a Mythos 5 per alcune aziende e istituzioni governative.
Per ENISA, la possibilità di utilizzare direttamente Mythos 5 permette di valutare in condizioni operative quanto un modello di questo tipo possa contribuire all’automazione dell’analisi del software e della risposta alle minacce. L’agenzia può quindi verificare non soltanto la capacità del sistema di individuare vulnerabilità, ma anche i limiti e i rischi associati all’impiego di un modello con competenze avanzate in materia di cybersicurezza.
L’accesso concesso all’Unione europea riguarda però Mythos 5 e non la versione più recente Mythos 5.1. Anthropic è stata recentemente al centro di una controversia dopo aver rifiutato di consentire all’AI Safety Institute britannico, UK AISI, una valutazione preventiva di Mythos 5.1 prima del rilascio. La disponibilità concessa a ENISA resta quindi limitata alla generazione precedente del modello, nonostante l’esistenza di una versione successiva.
ENISA avrebbe inoltre ottenuto accesso anche ad alcuni modelli specializzati di OpenAI, tra cui GPT-5.6 Cyber e GPT-6 Astra. L’agenzia europea sta quindi ampliando la propria capacità di testare direttamente modelli frontier con competenze rilevanti per la sicurezza informatica, confrontando approcci e capacità differenti nella rilevazione delle vulnerabilità e nell’automazione delle attività di cyberdifesa.
Questo articolo è stato redatto con il supporto di strumenti di intelligenza artificiale (AI)