La sanità inglese e l’India prendono contromisure per timori su Anthropic Mythos
Il National Health Service (NHS), la mastodontica macchina della sanità pubblica del Regno Unito, ha ordinato a tutti i suoi responsabili tecnologici di alzare un muro protettivo intorno ai progetti open source dell’organizzazione. Entro l’11 maggio, ogni repository pubblico su GitHub dovrà essere convertito in modalità privata. Un ordine perentorio che arriva direttamente dall’Engineering Board dell’NHS e che rappresenta un arretramento strategico senza precedenti rispetto a una politica di trasparenza difesa per anni.
La motivazione ufficiale risiede nel timore suscitato dai rapidi progressi dei modelli di intelligenza artificiale avanzata, con un nome specifico che ricorre costantemente nelle circolari interne: Mythos. Questo nuovo modello sviluppato da Anthropic è capace di una gestione massiva del codice, dotata di capacità di inferenza e ragionamento logico che le permettono di individuare vulnerabilità strutturali, decisioni architettoniche discutibili e dettagli di configurazione che un occhio umano, per quanto esperto, potrebbe impiegare mesi a rintracciare. L’NHS teme che la disponibilità pubblica del proprio codice sorgente possa diventare una mappa dettagliata per chiunque voglia orchestrare un attacco su scala industriale sfruttando queste nuove capacità di scansione automatizzata.
Un portavoce dell’NHS ha tentato di smorzare i toni definendo la manovra come una misura puramente temporanea, adottata mentre l’organizzazione valuta l’impatto di questi modelli di frontiera. Il segnale inviato al mercato B2B e alle altre istituzioni pubbliche appare però inequivocabile. La fiducia nell’approccio “open by default” sta vacillando di fronte alla potenza di calcolo di agenti IA che non si limitano a leggere il codice, ma ne comprendono le implicazioni logiche più profonde.
Nonostante l’NHS sostenga che la maggior parte dei repository contenga materiale poco sensibile, come diagrammi di architettura o applicazioni web per la gestione degli appuntamenti clinici, il rischio percepito è che anche una banale falla in uno strumento interno possa essere utilizzata come testa di ponte per incursioni più profonde nei sistemi critici.
Crediti: Shutterstock
Questa inversione a U appare ancora più clamorosa se si considera il manuale di servizio dell’NHS, il quale ha sempre stabilito che il software costruito con soldi pubblici debba essere restituito alla collettività sotto forma di codice aperto, in modo da evitare il lock-in dei fornitori, favorire il riutilizzo tra diversi team e migliorare la qualità globale dei servizi attraverso la collaborazione. Oggi, quella stessa logica si scontra con il timore di fornire a Mythos un arsenale gratuito di informazioni.
Le voci critiche all’interno del settore non mancano e sollevano dubbi tecnici piuttosto fondati sulla reale efficacia di questa chiusura. Terence Eden, figura di spicco nel panorama tecnologico britannico e già a capo dell’open technology presso NHSX, ha fatto notare un dettaglio fondamentale che spesso sfugge ai decisori politici, ricordando che il codice che era pubblico fino a ieri è già stato ingerito dai modelli di addestramento anni fa.
Qualsiasi archivio digitale, hoarder di dati o libreria di ricerca ha già effettuato il backup di quei repository. Chiudere i cancelli adesso potrebbe essere interpretato come un tentativo di sigillare una stalla quando i cavalli sono scappati da un pezzo. Secondo Eden, le vere minacce non risiedono tanto nei bug logici sottili che un’IA come Mythos potrebbe trovare, quanto piuttosto nelle debolezze della supply chain, nella gestione delle password e nelle minacce interne, fattori che non vengono minimamente scalfiti dal rendere privato un repository su GitHub.
Il dibattito su Mythos oscilla intanto tra il riconoscimento di un salto tecnologico autentico e il sospetto che si tratti di una montatura di marketing per giustificare nuove restrizioni. Se da un lato l’AI Safety Institute del Regno Unito e il National Cyber Security Centre hanno validato le affermazioni di Anthropic sulla capacità di Mythos di superare i cicli di sviluppo previsti, dall’altro diversi esperti restano scettici sull’effettivo tasso di falsi positivi che questi modelli generano durante le scansioni di vulnerabilità.
Attualmente, Mythos è protetto da Project Glasswing e accessibile solo a un numero ristretto di organizzazioni selezionate, ma il timore dei regolatori è che una volta che modelli simili diventeranno di pubblico dominio o cadranno nelle mani di attori malevoli, la superficie d’attacco globale si espanderà in modo incontrollabile.
Crediti: Shutterstock
Questa preoccupazione non è limitata ai confini britannici. Il Securities and Exchange Board indiano ha emesso un avviso urgente a tutto il comparto finanziario nazionale, ordinando una revisione immediata dei sistemi di sicurezza informatica. Il regolatore indiano ha esplicitamente citato la rapida evoluzione degli strumenti di identificazione delle vulnerabilità basati sull’IA come un fattore che introduce nuove dimensioni di rischio, potenzialmente in grado di compromettere l’integrità delle applicazioni e la riservatezza dei dati su scala massiva.
La risposta indiana è stata una direttiva che coinvolge 19 diverse classi di società, dai fondi comuni ai gestori di stock exchange, imponendo l’adozione di architetture zero-trust e l’uso della stessa intelligenza artificiale come scudo difensivo per trasformare i centri operativi di sicurezza.
Parallelamente, il Segretario del Tesoro degli Stati Uniti, Scott Bessent, ha convocato riunioni di emergenza con i vertici bancari e mosse simili sono state intraprese dalle autorità di regolamentazione a Singapore e Hong Kong. L’Australia ha inviato promemoria dai toni severi alle banche locali, esigendo strategie di IA che considerino esplicitamente i rischi derivanti da modelli di nuova generazione. Si sta insomma assistendo a un effetto domino globale in cui la sicurezza delle infrastrutture critiche viene messa alla prova non da un virus tradizionale, ma da un “ragionatore” automatico che può analizzare milioni di righe di codice in pochi secondi.
L’approccio dell’India si distingue per la sua natura prescrittiva, ordinando alle entità regolate di ricalibrare i rischi e di avviare una gestione continua delle vulnerabilità mediata dall’IA. È una strategia speculare a quella dell’NHS e mentre i britannici scelgono il silenzio e l’oscurità dei repository privati, gli indiani spingono per un potenziamento proattivo delle difese digitali.
Entrambe le posizioni riflettono una verità comune per il settore B2B nel 2026, dove il vecchio paradigma della sicurezza reattiva è ufficialmente morto. Le organizzazioni si trovano ora a dover decidere se la protezione del proprio patrimonio intellettuale e operativo passi attraverso una chiusura ermetica, o una trasformazione tecnologica che utilizzi l’IA come arma sia offensiva che difensiva.
(Immagine in apertura: Shutterstock)
