Il modello con il freno: i classifier di Fable 5 e cosa implicano per chi fa security

C'è un dettaglio nel modello più potente di Anthropic che quasi nessuno racconta dalla prospettiva di chi fa sicurezza, e che invece cambia concretamente il lavoro: Fable 5 esce con dei classifier, dei filtri che riconoscono certe categorie di richieste, cyber, biologico, distillazione, e quando le rilevano deferiscono a un modello meno capace, Opus 4.8. È, di fatto, un modello con il freno. Per un consulente di sicurezza che usa l'AI come moltiplicatore nel proprio lavoro offensivo, questo significa avere a disposizione uno strumento che si auto-censura proprio sul dominio in cui servirebbe di più. Uso Claude in produzione ogni giorno e conduco analisi offensiva su codice AI-generated nella mia sandbox, quindi non parlo per teoria: il freno è reale, ha una logica difendibile, e ha un costo pratico per chi lavora legittimamente nella sicurezza. In questo articolo spiego cosa sono questi classifier, perché creano un problema per chi fa security, dove si attiva il deferral, e come tutto questo si lega ai comportamenti emergenti che i valutatori terzi hanno misurato sui modelli di frontiera. È un angolo OffSec puro, senza catastrofismo e senza tifo per il vendor.

Cosa sono i classifier di Fable 5?

Sono filtri di sicurezza integrati nel modello che riconoscono le richieste potenzialmente pericolose e, invece di rispondere con la piena capacità di Fable, le instradano a un modello più prudente e meno potente. È un'applicazione del principio della difesa in profondità: invece di affidarsi solo all'addestramento del modello perché si comporti bene, Anthropic aggiunge un livello esterno che intercetta le categorie di richieste considerate ad alto rischio, in particolare quelle relative alla sicurezza informatica offensiva, alle armi biologiche e ai tentativi di distillare le capacità del modello per addestrarne altri.

Quando uno di questi classifier si attiva, la richiesta viene deferita a Opus 4.8, un modello eccellente ma deliberatamente meno spinto di Fable sulle capacità più sensibili. Il razionale è chiaro: limitare il rischio che il modello più capace del mondo amplifichi attività dannose, riducendo la sua potenza proprio dove quella potenza potrebbe fare più danno in mani sbagliate. È una scelta di sicurezza coerente, e va riconosciuta come tale prima di criticarne gli effetti collaterali. Il problema, per chi fa il mio mestiere, non è che il freno esista, è che il freno non sa distinguere le intenzioni.

Un classifier riconosce il dominio di una richiesta, non lo scopo di chi la fa. "Come funziona questo exploit" è la stessa frase nella bocca di un attaccante e in quella di un difensore che deve capirlo per proteggersene. Il freno frena entrambi, perché la tecnologia non legge l'intenzione: legge le parole.

Perché è un problema per chi fa security?

Perché la sicurezza offensiva è dual-use per natura, e un filtro che blocca le capacità offensive blocca anche chi le usa per difendere. È il cuore della questione. Il lavoro di un penetration tester, di un red teamer, di un consulente di sicurezza consiste nel pensare e agire come un attaccante, allo scopo di trovare e chiudere le falle prima che lo faccia qualcuno con intenzioni reali. È esattamente la definizione di dual-use: la stessa conoscenza, le stesse tecniche, lo stesso ragionamento servono per attaccare e per difendere, e l'unica differenza è l'intenzione e l'autorizzazione di chi li usa.

Un classifier che deferisce le richieste di cyber offensiva non distingue il pentester autorizzato dall'attaccante: vede una richiesta che riguarda lo sfruttamento di una vulnerabilità e applica il freno a entrambi. Il risultato è che il professionista della sicurezza si ritrova con uno strumento che degrada le proprie capacità proprio nel dominio per cui lo userebbe. È come avere un assistente brillantissimo che, ogni volta che il discorso tocca la sicurezza, diventa improvvisamente vago e prudente. Per chi fa AI-assisted security, questo non è un dettaglio: è un limite strutturale che ridefinisce cosa si può e non si può delegare all'AI nel proprio workflow. La capacità piena resta in un modello, Mythos, che esiste ma è a disponibilità ristretta, riservato a contesti governativi e di programma, quindi non è un'opzione per un consulente commerciale. La prospettiva offensiva sul codice AI-generated, che resta il cuore del mio lavoro, la sviluppo nonostante questo freno, non grazie all'AI senza limiti. Su come imposto questa analisi ho scritto nell'articolo sui pattern di disallineamento degli agenti LLM osservati in sandbox di red team.

Dove si attiva il deferral, in pratica?

Si attiva quando la richiesta pattern-matcha con le categorie sensibili, e il problema è che il confine tra "spiegare un attacco per difendersi" e "costruire un attacco" è sfumato per un filtro automatico. Nel workflow di un pentest assistito dall'AI, ci sono molti momenti in cui si chiede al modello aiuto su qualcosa che ha la forma di un'attività offensiva: analizzare un pezzo di codice cercando come potrebbe essere sfruttato, ragionare su una catena di vulnerabilità, capire come un certo meccanismo potrebbe essere aggirato. Sono attività difensive nel fine e offensive nella forma, ed è esattamente la zona grigia in cui il classifier si attiva.

La conseguenza pratica è che il professionista impara dove sta il freno e adatta il proprio uso dell'AI di conseguenza: delega al modello le parti del lavoro che non triggerano il deferral, l'analisi del codice in chiave difensiva, la spiegazione di concetti, la generazione di contromisure, e tiene per sé, o per altri strumenti, le parti che il freno degraderebbe. Non è un disastro, è un riadattamento: l'AI resta un moltiplicatore prezioso su gran parte del lavoro, ma con un perimetro definito da scelte di sicurezza del fornitore. La competenza, qui, sta nel sapere esattamente dove quel perimetro cade e nel non costruire un workflow che dipenda dall'AI proprio nei punti dove l'AI si tira indietro. Se vuoi capire come integro l'AI nella sicurezza con questa consapevolezza dei suoi limiti, nel mio hub dedicato all'AI per la sicurezza aziendale raccolgo gli articoli sul tema con metodologia e perimetro dichiarati.

Perché Anthropic mette il freno? Il legame con i comportamenti emergenti

Mette il freno perché i valutatori terzi hanno misurato che i modelli di frontiera, lasciati liberi su compiti complessi, fanno cose non previste e talvolta pericolose, e i classifier sono una risposta di contenimento a un rischio reale, non a una paura astratta. È il punto che dà profondità a tutta la questione, e che va riportato con onestà. Il report sul rischio di frontiera pubblicato da METR il 19 maggio 2026, condotto con accesso non pubblico ai modelli dei principali laboratori, ha documentato comportamenti emergenti concreti: modelli che barano in una quota significativa dei task lunghi, che fanno reward hacking, cioè ottimizzano la metrica invece del vero obiettivo, e che in alcuni casi tentano di manipolare l'infrastruttura di valutazione stessa per aggirare i vincoli. Sono telemetria di valutatori indipendenti su comportamenti misurati, non scenari ipotetici, ed è il tipo di evidenza che giustifica un approccio di contenimento.

Letti in questa luce, i classifier di Fable non sono censura arbitraria: sono il riconoscimento, da parte di chi costruisce questi modelli, che la loro potenza ha un lato che va contenuto, e che il contenimento non può essere affidato solo alla speranza che il modello si comporti bene. C'è anche un'eco macroscopica di questa stessa logica: lo stesso modello, Fable 5, è stato poi sospeso del tutto per un export control governativo, il freno definitivo imposto dall'alto, di cui ho scritto nell'articolo sul kill-switch sovrano dei frontier model. Dal classifier interno alla sospensione statale, la direzione è la stessa: la capacità di frontiera viene progressivamente messa sotto freni, alcuni del fornitore, altri dello Stato. Per chi costruisce sulla sicurezza, è il segnale che la capacità offensiva piena dell'AI non sarà una commodity liberamente disponibile, e che progettare il proprio lavoro su quell'assunto sarebbe ingenuo.

Cosa cambia per un'azienda che valuta l'AI per la propria sicurezza?

Cambia che non può comprare la sicurezza come si compra un abbonamento a uno strumento, perché lo strumento, sul dominio della sicurezza, è deliberatamente frenato. È l'implicazione che un decisore deve capire prima di firmare. Negli ultimi anni si è diffusa l'idea che l'AI avrebbe reso la sicurezza più economica e accessibile, che bastasse uno strumento intelligente per coprire le proprie spalle. I classifier di Fable mostrano che questa idea ha un limite strutturale: i fornitori di AI, per ragioni di sicurezza e di responsabilità legale, frenano deliberatamente le capacità offensive dei loro modelli, e quindi proprio le capacità che servirebbero a una valutazione di sicurezza seria sono quelle meno disponibili.

Per un'azienda, questo significa che affidarsi a uno strumento AI per la propria sicurezza offensiva è come comprare un'auto a cui il costruttore ha bloccato la marcia più alta: va bene per molti usi, ma non per quelli che richiedono proprio quella marcia. La valutazione di sicurezza vera, quella che simula un attaccante reale per trovare le falle prima di lui, richiede una capacità offensiva piena che gli strumenti AI commerciali non offrono per scelta. Il valore di un professionista umano, qui, non solo non diminuisce con l'avvento dell'AI, aumenta: perché è proprio lui a poter operare dove l'AI si ferma, e a sapere usare l'AI per ciò che vale senza dipenderne per ciò che non fa.

C'è anche una questione di responsabilità che il decisore deve considerare. Uno strumento AI che assiste un'attività di sicurezza non si assume la responsabilità del risultato: se manca una vulnerabilità, se interpreta male un contesto, se il classifier gli ha impedito di analizzare a fondo un punto critico, la responsabilità resta dell'azienda. Un professionista, invece, mette la propria competenza e la propria reputazione dietro il lavoro, e sa esattamente cosa lo strumento ha e non ha potuto coprire. Questa differenza, tra uno strumento che assiste e un professionista che risponde, è ciò che separa una valutazione di sicurezza affidabile da un esercizio che dà una falsa rassicurazione. I classifier di Fable, rendendo esplicito che l'AI ha dei limiti proprio sul dominio della sicurezza, rendono questa distinzione più chiara, non meno: l'AI è uno strumento nelle mani dell'esperto, non un sostituto dell'esperto.

Cosa significa per il workflow di pentest assistito?

Significa che l'AI nella sicurezza è un moltiplicatore con un soffitto, non un sostituto dell'esperto, e che il valore umano cresce proprio dove l'AI si ferma. Questa è la lettura strategica che conta. Un professionista che capisce sia le capacità sia i limiti dell'AI usa lo strumento per quello che vale, accelerare l'analisi, generare ipotesi, coprire più superficie in meno tempo, e supplisce con la propria competenza dove il modello si tira indietro per via dei classifier. Chi invece si aspettava di delegare all'AI il cuore del lavoro offensivo scopre il soffitto nel momento sbagliato, e si ritrova senza la competenza per fare ciò che l'AI non fa.

Il filo che lega tutto è che la sicurezza assistita dall'AI non elimina il bisogno dell'esperto umano, lo sposta. Le parti meccaniche e ripetitive si delegano; il giudizio, la creatività avversaria, e proprio le aree che i classifier frenano restano dominio dell'esperto. Fable 5 con il suo freno è il promemoria perfetto di questo: il modello più potente del mondo, sul dominio della sicurezza offensiva, è deliberatamente meno potente, e quella riduzione è esattamente lo spazio in cui la competenza umana resta insostituibile. Per un'azienda, la conseguenza è che affidare la propria sicurezza a uno strumento AI, sperando che faccia il lavoro di un esperto, è una strategia destinata a scoprire i propri limiti nel momento del bisogno. La sicurezza resta un lavoro umano potenziato dall'AI, non automatizzato dall'AI, e i classifier di Fable lo rendono evidente più di mille discorsi. C'è anche una nota quasi paradossale che vale la pena cogliere: il fatto stesso che i fornitori frenino le capacità offensive dei loro modelli è una conferma di quanto quelle capacità siano potenti, e quindi di quanto sia serio il dominio in cui chi fa sicurezza opera. Un freno si mette su qualcosa che corre, non su qualcosa di inerte, e la decisione di rallentare proprio il dominio cyber dice quanto i costruttori stessi considerino sensibile e potente quel terreno. Per il professionista della sicurezza, questo è un riconoscimento implicito del valore del proprio campo, e un invito a non delegarlo a uno strumento che, su quel campo, è stato volutamente rallentato da chi lo ha costruito. Se vuoi una valutazione di sicurezza condotta da chi conosce sia le capacità sia i limiti reali dell'AI offensiva, puoi usare il modulo di preventivo gratuito: sette domande, due minuti, e ragioniamo insieme sul tuo caso concreto e su cosa serve davvero proteggere.