Samuel Algherini
Il 24 luglio 2026 Anthropic ha rilasciato Claude Opus 5, presentato attraverso il consueto confronto di benchmark su coding, ragionamento e task agentici: Frontier-Bench, ARC-AGI 3, OSWorld 2.0, e cosรฌ via. ร il tipo di comunicazione che ci si aspetta dal lancio di un modello. Tutto nella norma. Nello stesso documento di rilascio, perรฒ, compaiono tre punti che meritano piรน attenzione delle prestazioni tecniche. Riguardano allineamento, cybersicurezza e rischio biologico (da uso improprio nella creazione di armi chimiche o biologiche). Lette insieme, mostrano il tipo di architettura di gestione del rischio che Anthropic sta costruendo: un sistema a piรน livelli, con soglie che cambiano da compito a compito, piรน simile a un termostato (regolazione graduale e continua) che a un interruttore acceso o spento. Questa architettura sarร molto probabilmente il default dei futuri modelli di frontiera e dunque merita, specialmente essendo solo parzialmente trasparente, doverosa attenzione. Iniziamo vedendo i tre punti sopra citati.
Allineamento: ridurre uso improprio
Nell’audit comportamentale automatizzato che Anthropic conduce prima del rilascio, Opus 5 ottiene il punteggio piรน basso di sempre su “comportamento disallineato” tra i modelli recenti (2.3, contro modelli precedenti collocati piรน in alto sulla stessa scala). Tradotto: meno episodi di inganno rilevati, minore vulnerabilitร a essere manipolato per usi impropri, minore propensione ad azioni rischiose dagli effetti difficili da invertire.
Il dato รจ positivo, ma va sempre contestualizzato e preso con le dovute precauzioni: รจ un audit interno, con metodologia e criteri di misurazione definiti dalla stessa azienda che produce il modello. Anthropic, si legge nella system card, ha usato un mix di metodi, prevalentemente interni, integrati da alcuni benchmark pubblici e da testing esterno indipendente. Non รจ disponibile, ad esempio, la rubrica di classificazione dettagliata – cosa distingue esattamente “comportamento scorretto ma accettabile” da “concerning behavior”- oppure le soglie numeriche esatte che fanno scattare una classificazione come “sandbagging”, “deception”, “oversight evasion” ecc.
Le scelte fatte nel creare il framework di valutazione sono inevitabilmente umane, temporalmente e spazialmente locate, e su parte di esse non abbiamo visibilitร .
Cybersicurezza: trovare ma non sfruttare
Il dato piรน interessante sulla cybersicurezza riguarda dove Anthropic ha scelto di limitare deliberatamente il modello, ovvero nello sfruttare le falle di sicurezza trovate dal sistema. Sul benchmark interno OSS-Fuzz, che misura la capacitร di trovare e poi sfruttare vulnerabilitร software senza guida umana estesa, Opus 5 le individua con un’efficacia paragonabile a Mythos 5, il modello piรน capace (e ad accesso ristretto) di Anthropic. Questa capacitร รจ emersa senza training dedicato, come โsempliceโ effetto collaterale dell’aumento generale delle competenze del modello.
Quando bisogna poi perรฒ sfruttare tali vulnerabilitร , Opus 5 resta perรฒ piรน indietro rispetto a Mythos 5. Anthropic qui dichiara esplicitamente di aver evitato di allenare il modello su questo tipo di task. ร una scelta di design, dichiarata come tale.
Tale scelta si riflette anche nei classificatori di sicurezza applicati al modello, che consentono di trovare bug nel codice sorgente ma bloccano la scansione binaria, il penetration testing e la generazione di exploit. Anthropic stima che questi classificatori intervengano circa l’85% in meno rispetto a quelli applicati a Fable 5. Quando una richiesta viene segnalata, viene instradata automaticamente verso un modello con piรน restrizioni (Opus 4.8 di default), mentre aziende e ricercatori verificati attraverso il Cyber Verification Program di Anthropic possono accedere a una versione con meno vincoli.
Biologia: capacitร autonoma limitata su task lunghi
Sul fronte โbiologicoโ si ripete la stessa logica. Opus 5 รจ il modello generalmente disponibile piรน capace di Anthropic per la ricerca scientifica, ma mantiene limiti intenzionali sui task di ricerca autonoma a lungo termine, cioรจ proprio dove Anthropic stessa colloca il rischio biologico piรน concreto. Anche qui, Mythos 5 resta il modello piรน capace (sempre con accesso ristretto).
Un dettaglio da notare: le richieste in ambito biologico che venivano bloccate su Fable 5 ora vengono instradate su Opus 5 anzichรฉ su Opus 4.8. La soglia si sposta insieme al modello considerato “abbastanza sicuro” per quel livello di richiesta.
Capacitร e permesso non coincidono
Nei tre punti visti finora torna uno stesso schema. Da un lato c’รจ quello che il modello sa fare, o potrebbe arrivare a fare: trovare una vulnerabilitร , condurre ricerca scientifica, valutare uno scenario rischioso. Dall’altro c’รจ quello che gli viene permesso di fare: generare l’exploit, condurre ricerca autonoma a lungo termine, agire senza restrizioni aggiuntive. I due piani non coincidono, e nel caso di Opus 5 la distanza รจ ben documentata: il modello trova le vulnerabilitร quasi quanto Mythos 5, ma resta indietro nello sfruttarle, non per un limite tecnico, semplicemente perchรฉ non รจ stato allenato a farlo.
A tracciare il confine tra i due piani, e a decidere quando spostarlo, รจ l’azienda che sviluppa il modello. ร lei a stabilire quali classificatori intervengono, quali richieste vengono bloccate, quali instradate su un modello con piรน o meno restrizioni. Ed รจ sempre lei a decidere quando allargare l’accesso: le richieste biologiche che fino a poco tempo fa venivano bloccate su Fable 5 ora passano su Opus 5 invece che su Opus 4.8, segno che la soglia si รจ spostata con il nuovo rilascio.
Ne consegue che la distinzione tra cosa un modello puรฒ fare e cosa gli รจ concesso fare, in questo momento, non la decidiamo noi. Lo decide a monte l’azienda che lo produce. Per la biologia, Anthropic dichiara di aver condotto le valutazioni “alongside private-sector and government partners”: una collaborazione con soggetti esterni che vale la pena registrare, anche se il testo non specifica se riguardi anche la decisione finale sulla soglia o solo la fase di valutazione.
C’รจ un’immagine, diffusa e rassicurante, del modello come di un blocco neutro che ciascuno plasma secondo le proprie esigenze, quasi fosse materia grezza da customizzare in azienda. Il caso di Opus 5 mostra quanto questa immagine sia parziale. Un modello arriva giร configurato rispetto a ciรฒ che considera un comportamento accettabile, e giร dotato di una soglia, per quanto mobile, tra ciรฒ che รจ lecito concedere e ciรฒ che va bloccato o instradato altrove; una configurazione, va detto, che non discende dall’uso che ne facciamo una volta ricevuto, ma che viene decisa prima, da chi lo costruisce.
Resta chiaro che comunque la possibilitร di customizzazione del modello รจ reale, ed รจ quello che lo rende utile per il caso d’uso specifico. Ma si tratta di un lavoro che si svolge sempre entro un perimetro giร definito da altri. I confini che contano di piรน, quelli che stabiliscono a monte dove spostare la soglia tra rischio accettabile e rischio da respingere, restano nella disponibilitร di un numero ristretto di aziende private.
Va detto che questi processi non sono del tutto opachi. Le principali aziende del settore hanno pubblicato framework che rendono almeno in parte visibili i criteri con cui classificano i rischi, definiscono le soglie di intervento e giustificano le proprie decisioni. ร una visibilitร limitata, ma reale. Quello che emerge con questโultimo rilascio รจ come l’attenzione si sposti sempre di piรน da cosa un modello sa fare a cosa non gli รจ permesso fare: le soglie e i valori precisi su cui si fonda quella distinzione restano in parte non dichiarati, ed รจ in quello spazio meno visibile che si decide buona parte del comportamento reale di uno strumento.
