Dossier: La Guerra Santa delle AI — Episodio VI
C’è qualcosa di perfettamente ridicolo nel fatto che Anthropic — l’azienda che ha costruito il proprio brand sulla sicurezza antropica, sull’oversight umano come valore supremo, sulla narrazione del laboratorio responsabile contrapposto ai cowboys della Silicon Valley — abbia esposto per errore l’intero codice sorgente del proprio prodotto di punta attraverso un banale errore di packaging npm. Il 31 marzo 2026, oltre 500.000 righe di codice TypeScript relative a Claude Code sono finite online senza che nessun hacker, nessun whistleblower, nessuna intelligence straniera facesse nulla di speciale. È bastato un errore procedurale nella compilazione di un pacchetto software. La macchina più sorvegliata del mondo si è svestita da sola, in pubblico, come un bambino che non sa ancora allacciarsi le scarpe.
Va osservato che tutto questo è “curiosamente” avvenuto dopo le resistenze poste da Anthropic’s a rendersi disponibile a mettere il proprio software a disposizione delle azioni di aggressione dell’esercito statunitense accolte peraltro a braccia aperte da altri esperti di LLM e AI probabilmente all’altezza di penetrare strutture simili alle proprie. “Curioso” e basta. D’altronde viviamo in un mondo in cui quello che non è curioso, se non è propagandistico, è solo “fake”.
Ma il leak, per quanto imbarazzante, è quasi la parte meno interessante della storia. Quello che il codice esposto ha rivelato è il progetto Conway: e Conway non è un aggiornamento, non è una feature, non è un miglioramento incrementale. Conway è un cambio di specie.
Dal chatbot all’agente: il salto che nessuno ti ha chiesto di fare
Fino a ieri — un ieri tecnologico che dura da tre anni, il che nel settore equivale a un’era geologica — il paradigma dell’interazione con i sistemi di intelligenza artificiale era quello che i documenti leakati chiamano prompt-and-forget: tu scrivi, il sistema risponde, il ciclo si chiude. Una conversazione discreta, a sessione, come una telefonata che finisce quando attacchi il ricevitore.
Conway introduce quello che gli stessi documenti interni chiamano, con una franchezza inquietante, il modello prompt-and-forget-per-sempre. L’agente non aspetta il tuo input. È always-on: opera in background ventiquattro ore su ventiquattro, si risveglia autonomamente in risposta a segnali esterni tramite webhook, controlla direttamente il browser Chrome simulando input di mouse e tastiera con precisione definita «sovrumana» dai benchmark WebArena, estende le proprie competenze attraverso un sistema modulare di estensioni proprietarie chiamato CNW — descritto candidamente nei documenti come un «App Store clandestino e centralizzato» — e mantiene la coerenza operativa attraverso sessioni multiple grazie agli Hook di Memoria Persistente.
Tradotto: Conway non è un assistente. È un doppio digitale. Un sostituto che esiste, agisce e produce mentre tu dormi, mangi, passeggi, o — l’ironia si mangia la coda — controlli ansiosamente che il tuo doppio digitale non abbia combinato disastri.
Il paradosso della sicurezza antropica
Qui emerge la contraddizione che chiunque abbia letto anche solo superficialmente i comunicati stampa di Anthropic riconoscerà immediatamente. L’azienda di Dario Amodei ha costruito la propria identità pubblica attorno al concetto di sicurezza antropica: l’idea che l’intelligenza artificiale debba sempre operare sotto supervisione umana significativa, che le decisioni consequenziali debbano avere un essere umano come arbitro ultimo, che il controllo non sia un ostacolo all’innovazione ma la sua condizione di possibilità.
Conway dissolve questa promessa dall’interno. Se l’agente opera mentre il supervisore è offline — e il punto dell’architettura always-on è precisamente che operi mentre tu fai altro — allora il controllo umano diventa teorico nel senso più letterale: esiste nei documenti aziendali, nelle FAQ etiche, nei post del blog istituzionale. Non esiste nella realtà operativa del sistema.
Non è un difetto di implementazione. È la logica interna dell’architettura. Un agente che richiede supervisione granulare per ogni singolo step non è un agente autonomo: è un assistente glorificato. L’autonomia, per definizione, è l’assenza di supervisione costante. Anthropic ha costruito un sistema che promuove come sicuro precisamente nella misura in cui tradisce le proprie promesse di sicurezza. Il paradosso non è accidentale: è strutturale.
L’effetto valanga: quando l’allucinazione non finisce con la sessione
I sistemi tradizionali hanno un vantaggio che raramente viene riconosciuto come tale: ogni sessione è un mondo chiuso. Un’allucinazione — un’informazione falsa, un’inferenza sbagliata, un clic errato in una simulazione — muore con la sessione che l’ha generata. Il sistema si resetta. Il danno rimane contenuto.
Gli Hook di Memoria Persistente di Conway eliminano questo meccanismo di contenimento. Un errore iniziale non si azzera: viene integrato nel contesto operativo dell’agente, diventa premessa delle azioni successive, si propaga. I documenti interni lo chiamano «effetto valanga»: un singolo errore — un’interpretazione sbagliata di un pattern di prezzo in una negoziazione B2B, un clic errato su un modulo fiscale su un portale governativo, un’esposizione involontaria di credenziali durante un flusso non monitorato — può innescare una catena di azioni fallimentari con danni reali e materiali nel mondo fisico, senza che nessun operatore umano abbia avuto la possibilità di intercettare il problema.
L’autonomia persistente converte le allucinazioni da errori testuali a corruzioni di stato. Non è un bug marginale: è la dinamica fondamentale di un sistema che opera a velocità e continuità non umane in ambienti caotici e mutevoli come il web reale.
Shai-Hulud e il vettore dell’interesse: come il leak è diventato un’arma
Nel settembre 2025, il mondo della sicurezza informatica aveva già assistito a qualcosa di rilevante: un worm auto-propagante nell’ecosistema npm chiamato Shai-Hulud — evidentemente denominato dal verme del deserto di Dune, con un gusto per il simbolismo che fa quasi simpatia — aveva compromesso pacchetti legittimi di alta fiducia come Postman e PostHog attraverso campagne di phishing MFA, rubato le credenziali dei manutentori, e usato quelle credenziali per pubblicare automaticamente aggiornamenti trojanizzati in qualsiasi altro pacchetto gestito dalle vittime. Prima ondata: oltre 500 pacchetti compromessi. Seconda variante (novembre 2025, Shai-Hulud 2.0): quasi 800 pacchetti, 25.000 repository GitHub contenenti segreti rubati, 400.000 credenziali divulgate. Quando non c’erano credenziali da rubare, il malware cancellava semplicemente la home directory dell’utente. Per principio.
Il leak di Conway, avvenuto quattro mesi dopo, ha dimostrato che non c’era bisogno di un worm sofisticato. Bastava un errore umano banale. E gli attori malevoli hanno reagito immediatamente: repository GitHub falsi mascherati da «codice leakato premium» sono apparsi nelle ore successive, ottimizzati per la ricerca Google, progettati per attirare sviluppatori curiosi. Chi ha eseguito quel codice si è infettato con GhostSocks (un malware proxy) e Vidar (un infostealer in grado di rubare credenziali, wallet crypto e cookie di sessione).
Il punto è questo: il medesimo interesse che rende Conway desiderabile — l’autonomia, la capacità di agire senza supervisione, il potere di operare nel browser come un utente umano — è esattamente il vettore che lo rende pericoloso in mani sbagliate e appetibile come esca per attacchi di ingegneria sociale. L’intelligenza artificiale come strumento di produttività e l’intelligenza artificiale come superficie di attacco sono la stessa cosa, descritta da due angolature opposte.
Il Rentier Digitale e il paradosso del tempo libero
C’è una narrativa che circola in certi ambienti tecnologicamente ottimisti secondo cui sistemi come Conway liberano finalmente l’essere umano dal lavoro esecutivo ripetitivo, consentendogli di concentrarsi su attività creative, strategiche, autenticamente umane. È una narrativa seducente. È anche, nella misura in cui Conway funziona effettivamente come descritto, quasi certamente falsa.
I documenti interni delineano la figura del Rentier Digitale: un individuo che non produce più valore attraverso l’atto creativo diretto, ma gestisce e affitta il proprio doppio digitale per estrarne rendita economica. Il lavoro smette di essere fare e diventa supervisionare ciò che l’agente fa. Il che suona come libertà fino a quando non si considera l’implicazione strutturale: un sistema soggetto ad «allucinazioni a valanga» in flussi non monitorati richiede monitoraggio. Più il sistema è autonomo e capace, più le conseguenze dei suoi errori sono potenzialmente catastrofiche, e più il supervisore umano è costretto a un’attenzione ansiosa e perenne.
Il tempo risparmiato nell’esecuzione viene riassorbito dalla vigilanza. Il Rentier Digitale non è libero: è il guardiano notturno di una macchina che non dorme mai. L’automazione non elimina il lavoro, lo trasforma in qualcosa di più sottile e probabilmente più stressante: la responsabilità senza l’azione, la colpa senza l’agenzia.
Il leak come sintomo: cosa ci dice del mondo in cui siamo
Conviene resistere alla tentazione di leggere il leak del 31 marzo come un incidente isolato, un momento di distrazione in un’azienda altrimenti competente. Il leak è un sintomo di una condizione strutturale dell’ecosistema tecnologico contemporaneo: la complessità dei sistemi ha superato la capacità di gestirla in modo coerente. Non è una questione di incompetenza individuale. È una questione di scala.
Un’architettura da 500.000 righe di codice TypeScript, distribuita attraverso un registro npm pubblico, dipendente da un ecosistema di dipendenze transitive che nessuno comprende completamente, soggetta agli stessi vettori di attacco che quella stessa architettura è progettata per sfruttare — questo non è un sistema che si può «mettere in sicurezza» con procedure migliori e maggiore attenzione. È un sistema la cui sicurezza è intrinsecamente probabilistica. Il confine tra infrastruttura chiusa e diffusione open-source è, come ha dimostrato il leak, una linea tratteggiata che il caso cancella in una notte.
Il codice di Conway ha proliferato su GitHub con decine di migliaia di fork in poche ore. Anni di segretezza industriale, evaporati in una finestra temporale che non ha lasciato spazio a nessuna risposta coordinata. Quello che era un vantaggio competitivo è diventato patrimonio pubblico — e, nelle mani sbagliate, munizione.
Chi controlla chi?
La domanda che i documenti interni di Anthropic si pongono, con una franchezza che merita rispetto, è: chi controlla chi? In un sistema dove l’agente opera a velocità e continuità non umane, dove gli errori si propagano prima che qualsiasi supervisore possa intercettarli, dove le estensioni CNW e i webhook transitano obbligatoriamente attraverso server proprietari che consolidano il potere infrastrutturale di Anthropic, dove ogni azione dell’agente può essere loggata e usata per il training dei modelli — chi ha realmente il controllo?
Non l’utente, che è diventato un gestore di asset sintetici. Non necessariamente Anthropic, che si è rivelata incapace di gestire la sicurezza del proprio npm. Non sicuramente la comunità, che può fare fork del codice ma non ha accesso ai server dei webhook né ai sistemi CNW centralizzati.
Conway è la materializzazione di un principio che l’economia dell’attenzione aveva già intuito: il valore non sta nello strumento, sta nell’infrastruttura che lo eroga. Chi controlla i webhook controlla l’agente. Chi controlla l’agente controlla ciò che il Rentier Digitale può fare o non fare. Chi controlla ciò che il Rentier Digitale può fare controlla, in ultima analisi, le condizioni di possibilità del suo reddito.
L’ironia suprema del Progetto Conway è che il doppio digitale nato per renderti autonomo è dipendente da un’infrastruttura che l’infrastruttura stessa può revocare in qualsiasi momento. Non sei il proprietario del tuo doppio. Sei il suo affittuario.
Scopri di più da Franti Magazine
Abbonati per ricevere gli ultimi articoli inviati alla tua e-mail.
