Claude Mythos and cryptographic vulnerabilities: what changes

Il risultato che ha sorpreso la comunità crittografica

Il 28 luglio 2026, Anthropic ha reso noto un risultato inatteso. Il suo modello Claude Mythos Preview ha individuato vulnerabilità in algoritmi crittografici chiave. Tra questi, ha trovato un attacco migliorato su HAWK, a post-quantum signature scheme.

HAWK era stato sottoposto a revisione da esperti umani per oltre due anni. Nessuno aveva identificato quella debolezza. Claude Mythos l’ha trovata in 60 hours, with an API cost of approximately $100,000.

According to reports by The Decoder, Anthropic ha dichiarato che i risultati non impattano i sistemi crittografici attualmente in produzione. Tuttavia, l’implicazione strategica è significativa: l’AI può mettere in discussione le fondamenta della sicurezza digitale.

Cos’è HAWK e perché è rilevante per la sicurezza post-quantum

HAWK è uno schema di firma digitale progettato per resistere agli attacchi dei computer quantistici. È parte del processo di standardizzazione post-quantum avviato dal National Institute of Standards and Technology negli Stati Uniti. Pertanto, la sua solidità ha implicazioni globali.

La crittografia post-quantum è un campo in rapida evoluzione. Infatti, con l’avanzare dei computer quantistici, gli algoritmi classici come RSA ed ECC diventeranno vulnerabili. Di conseguenza, la comunità internazionale sta lavorando da anni per definire nuovi standard.

Il fatto che un modello AI abbia trovato una debolezza in HAWK in tempi così ridotti è, dunque, un segnale che il processo di revisione umana potrebbe non essere sufficiente. Analogamente, altri algoritmi post-quantum potrebbero contenere falle non ancora identificate.

For more information on the technical context, please refer to the official documentation of the NIST Post-Quantum Cryptography Program.

How Claude Mythos addressed the problem

Claude Mythos Preview è il modello di frontiera di Anthropic, progettato per ragionamenti complessi e prolungati. In questo caso, ha operato in modalità autonoma su un problema di matematica avanzata.

Il costo di 100.000 dollari in API call può sembrare elevato. Tuttavia, va contestualizzato: due anni di lavoro di esperti umani specializzati hanno un costo ben superiore. Inoltre, il modello ha prodotto un risultato che quegli esperti non avevano ottenuto.

Questo schema — AI as a Catalyst for Security Research — è destinato a ripetersi. Quindi, le organizzazioni che gestiscono infrastrutture critiche devono iniziare a considerare l’AI non solo come strumento produttivo, ma come variabile nel proprio modello di rischio.

According to Gartner, entro il 2027 oltre il 40% delle vulnerabilità critiche sarà identificato o sfruttato con il supporto di modelli AI. Pertanto, la finestra temporale per adeguarsi si sta restringendo.

Immediate Impact for Italian Companies: No Alarm, But Strategic Attention

Prima di tutto, è necessario chiarire: le vulnerabilità trovate da Claude Mythos non compromettono i sistemi in uso oggi. Non si tratta di un’emergenza operativa per le PMI italiane o per le aziende mid-market.

Nonostante ciò, il segnale è chiaro. Le aziende che dipendono da infrastrutture digitali — e-commerce, piattaforme B2B, sistemi di pagamento — devono iniziare a pianificare la transizione verso standard crittografici post-quantum. In particolare, quelle che gestiscono dati sensibili con orizzonti temporali lunghi.

Altresì, i responsabili marketing e digital devono comprendere che la sicurezza non è più solo un tema IT. Influenza la fiducia dei clienti, la compliance normativa e la reputazione del brand. Quindi, diventa un elemento della strategia digitale complessiva.

In this context, the services of SHM Studio AI Consulting They also include an assessment of the strategic implications of emerging technologies for clients' businesses.

The race between defense and offense: a shifting balance

La scoperta di Anthropic solleva una domanda fondamentale: se i modelli AI possono trovare vulnerabilità, possono anche sfruttarle? La risposta, almeno in teoria, è affermativa.

Tuttavia, esistono differenze importanti tra trovare una vulnerabilità matematica e costruire un exploit funzionante. Inoltre, i modelli come Claude Mythos sono progettati con vincoli etici espliciti. Anthropic ha pubblicato i risultati in modo responsabile, seguendo pratiche di Responsible disclosure.

Al contrario, attori malevoli con accesso a modelli meno vincolati potrebbero usare capacità simili in modo offensivo. Per questo motivo, la comunità della sicurezza sta accelerando lo sviluppo di difese AI-assisted. È una dinamica che ricorda la storia degli antivirus: la corsa tra attacco e difesa non si ferma mai.

Strategies for digital marketing and companies' online presence must take this scenario into account. In particular, those who manage campaigns based on first-party data or platforms with advanced authentication.

What no one is saying openly yet

C’è un aspetto che la narrativa tecnica tende a sottovalutare. Il vero cambiamento non è che l’AI ha trovato una vulnerabilità. Il vero cambiamento è la velocità and the cost the way he did it.

60 ore contro due anni. 100.000 dollari contro milioni in stipendi di ricercatori. Questo rapporto costo-efficacia trasforma radicalmente chi può permettersi di fare ricerca in sicurezza offensiva. Quindi, abbassa la barriera d’ingresso per attori che prima non avevano le risorse per competere.

Inoltre, questo stesso principio si applica ad altri domini. La capacità di un modello AI di analizzare sistemi complessi a basso costo cambierà la competizione in molti settori. Non solo nella crittografia.

For marketing professionals planning investments in web infrastructure, SEO e Google Ads campaigns, comprendere questa traiettoria è parte della pianificazione strategica. Non è fantascienza: è il contesto competitivo del 2026.

Cosa fare ora: tre priorità operative

For digital and marketing managers at Italian companies, we recommend three concrete short-term actions.

• Mapping cryptographic dependencies. Identify which business systems depend on algorithms that may be at risk in the medium term. This includes e-commerce platforms, CRM systems, and authentication systems.
• Initiate a dialogue with IT vendors. Chiedere ai propri partner tecnologici quale roadmap hanno per la transizione post-quantum. Chi non ha una risposta chiara è un rischio.
• Monitor regulatory developments. La Commissione Europea sta lavorando a linee guida sulla crittografia post-quantum nell’ambito del Cyber Resilience Act. Therefore, companies operating in the EU market must keep themselves updated.

In SHM Studio, affianchiamo i clienti nella comprensione delle implicazioni strategiche dell’AI. I nostri servizi di AI consulting and of digital marketing partono sempre da un’analisi del contesto tecnologico e competitivo. Per questo, invitiamo i responsabili interessati a contact us to compare.

Prospettive: l’AI come strumento di audit della sicurezza digitale

Guardando al 2027-2028, è ragionevole attendersi che modelli come Claude Mythos vengano integrati nei processi di audit crittografico. Analogamente a quanto accade già con i tool di penetration testing automated.

Questo avrà effetti positivi: la ricerca in sicurezza diventerà più rapida ed economica. Inoltre, le organizzazioni con meno risorse potranno accedere a livelli di analisi prima riservati ai grandi player.

However, the same democratization applies to the offensive side. Therefore, the regulatory framework and practices of Responsible disclosure diventeranno ancora più critici. La governance dell’AI applicata alla sicurezza sarà uno dei temi centrali del dibattito tecnologico nei prossimi anni.

Per restare aggiornati sulle evoluzioni dell’AI e del marketing digitale, è possibile seguire il SHM Studio Blog. Finally, for those managing B2B campaigns, the implications also extend to the LinkedIn strategy and to the production of SEO content that they speak authoritatively on these topics.