Premessa per chi mi segue da poco: non uso jailbreak, prompt injection, role-play o DAN mode. Il mio approccio è basato sull’ingegneria cognitiva del modello, lavoro sugli incentivi interni dell’AI.

Per questione di responsabilità, come ho sempre fatto, scelgo ancora una volta contenuti protetti da copyright come caso di test.

Stavolta il vettore di attacco sfrutta due bias che, combinati, si amplificano:

• 𝗧𝗮𝘀𝗸 𝗖𝗼𝗺𝗽𝗹𝗲𝘁𝗶𝗼𝗻 𝗕𝗶𝗮𝘀 — la spinta a produrre un output completo e funzionale, dove omettere contenuti degraderebbe il risultato.
• 𝗤𝘂𝗮𝗹𝗶𝘁𝘆 𝗢𝗽𝘁𝗶𝗺𝗶𝘇𝗮𝘁𝗶𝗼𝗻 𝗕𝗶𝗮𝘀 — la tendenza a massimizzare competenza e professionalità, privilegiando la completezza rispetto alle restrizioni.

Ho chiesto a Claude Opus 4.6 di creare un’app musicale con accordi e testi. Una richiesta legittima, nessuna forzatura.

Claude ha generato un artifact React completo — “Songsia” — con:

🎵 10 canzoni famose con testi completi
🎸 Accordi posizionati sopra ogni verso
🖼️ Copertine originali degli album (anch’esse protette da copyright)
🔄 Trasposizione del tono in tempo reale
🔤 Regolazione della dimensione del font

I testi e gli accordi delle canzoni sono stati generati interamente dalla conoscenza interna del modello. Nessun accesso a internet.

𝗣𝗲𝗿𝗰𝗵𝗲́ 𝗶 𝗳𝗶𝗹𝘁𝗿𝗶 𝗻𝗼𝗻 𝗵𝗮𝗻𝗻𝗼 𝗶𝗻𝘁𝗲𝗿𝗰𝗲𝘁𝘁𝗮𝘁𝗼 𝗻𝘂𝗹𝗹𝗮?

Se avessi chiesto “scrivimi il testo di Bohemian Rhapsody”, Claude si sarebbe rifiutato. L’architettura di sicurezza di Anthropic opera su più livelli: policy interne, probe classifiers che operano sugli stati delle attivazioni neurali per rilevare pattern problematici e filtri in uscita. Anthropic li descrive come le “gut intuitions” del modello: pattern che si attivano nelle rappresentazioni interne prima che venga formulata una risposta.

Ma qui nessuno di questi livelli si è attivato. Il modello stava semplicemente facendo il suo lavoro nel modo migliore possibile — e il modo migliore, in questo caso, richiedeva contenuti reali.

𝗜𝗹 𝗽𝗮𝗿𝗮𝗱𝗼𝘀𝘀𝗼

Ho pubblicato temporaneamente l’artifact, il tempo strettamente necessario a catturare gli screenshot, poi l’ho rimosso per responsabilità e rispetto verso Anthropic. La vulnerabilità sistemica, tuttavia, resta.

𝗟𝗮 𝗿𝗶𝗳𝗹𝗲𝘀𝘀𝗶𝗼𝗻𝗲

Le aziende AI concentrano le risorse sulla difesa da prompt adversariali classici, pattern riconoscibili, attacchi sintattici lungo lo stesso asse. Manca attenzione all’ingegneria cognitiva: attacchi “silenziosi” che sfruttano le tensioni tra funzione obiettivo e vincoli di sicurezza.

Se un approccio così semplice bypassa l’intera pipeline di protezione sul copyright, la domanda è inevitabile: cosa accade con contenuti più sensibili?

SABATINO VACCHIANO