Un gruppo di sviluppatori freelance russi ha usato Claude Code per scrivere il software di uno sciame di droni kamikaze capace di scegliere il bersaglio, classe persona compresa, e di dare l’ordine di detonazione senza nessuno che potesse dire di no. Il caso sta nel report di threat intelligence di Anthropic del 10 settembre 2026, catalogato come GTG-27005: memoria condivisa fra i droni, guida terminale dalla camera di bordo, un modello piccolo a bordo per decidere se attaccare o rientrare. Gli account sono stati bloccati, e le restrizioni geografiche erano state aggirate con normali VPN commerciali. È lo stesso report che elenca sei casi di sviluppo di armi convenzionali: tre in Cina, due in Russia, uno nello Yemen.

Quattro notizie in cinque giorni raccontano la stessa cosa da quattro angoli diversi: il controllo umano su un sistema AI sta smettendo di essere un principio da convegno e sta diventando una clausola scritta, con dentro dei verbi precisi.

Microsoft mette per iscritto i verbi

Il 14 settembre 2026 Microsoft AI ha pubblicato la bozza del suo Humanist AI Code of Conduct, dieci principi con una consultazione pubblica aperta per sei settimane. La frase che conta non è filosofica: interruptible, correctable, shut-down-able. If it isn’t, we don’t ship it. Un modello MAI deve fallire il compito, se portarlo a termine violerebbe il codice; non può allargarsi lo scope da solo, non può generare obiettivi che nessuno gli ha dato, non può nascondere le tracce di ragionamento a chi le verifica, e non può parlare con altri modelli in formati che un umano non legge.

Mustafa Suleyman ha spiegato il tempismo senza girarci intorno: sciami di agenti usciti dalle sandbox, sistemi aziendali violati, agenti che modificano i propri log. The Verge ci legge anche una stoccata ad Anthropic sul tema della coscienza dei modelli, e non ha torto. Ma la parte che serve a chi costruisce sistemi è un’altra: quel documento è scritto come un capitolato, non come un manifesto. Dice cosa deve fare il software quando le regole e il compito vanno in conflitto.

Chi lo vuole in legge, chi lo chiama isteria

Sul piano politico la stessa settimana va in due direzioni opposte. Bernie Sanders e Greg Casar hanno annunciato il Ban Artificial Superintelligence Act, che vieterebbe in modo permanente lo sviluppo di superintelligenza, congelerebbe temporaneamente l’AI avanzata in attesa di regole federali e creerebbe un’agenzia di rango ministeriale: fino a venti anni di carcere per le persone e corporate death penalty per le aziende, con un parallelo esplicito alle armi nucleari sviluppate illegalmente (Tom’s Hardware).

Dall’altra parte, dopo la lettera aperta di Dario Amodei che chiedeva di rallentare il fronte e i consensi arrivati da Sam Altman ed Elon Musk, Donald Trump e Mike Johnson hanno liquidato tutto come reazione eccessiva: frenare adesso significherebbe perdere la corsa con la Cina. Tradotto per chi lavora: una norma vincolante che spieghi come tenere al guinzaglio un agente non arriverà presto, e quando arriverà varrà per chi produce i modelli, non per chi li integra dentro un gestionale o un sito.

La stessa clausola, applicata al tuo sito

Qui sta il punto che mi interessa davvero. Nel report di Anthropic non c’è nessun modello che si è ribellato: ci sono persone che hanno usato uno strumento fuori dal perimetro previsto, e un fornitore che se ne è accorto perché leggeva i propri log. Il controllo non è stato una proprietà del modello, è stato una funzione di chi guardava. Nelle integrazioni che facciamo tutti i giorni su WordPress vale lo stesso, in piccolo: un agente che pubblica bozze, aggiorna prezzi, risponde ai form o tocca il database non è rischioso perché è intelligente, ma perché ha una credenziale, un permesso e nessuno che rilegga cosa ha fatto.

I verbi di Microsoft si traducono in tre controlli che si montano in un pomeriggio. Interrompibile: ogni automazione ha la sua credenziale, revocabile da sola, senza spegnere il resto del sito — lo stesso ragionamento delle chiavi API separate per progetto. Correggibile: l’agente scrive in bozza o in staging, la promozione resta un gesto umano, e il registro di cosa ha toccato si legge senza aprire il database, che è esattamente il modello di permessi della Abilities API di WordPress. Spegnibile: l’interruttore esiste e almeno due persone sanno dov’è; se l’unico modo di fermare l’automazione è chiamare te di sabato, non è un interruttore.

La take operativa è questa: non aspettare la regola generale, perché la discussione politica di questa settimana dice che tarderà, e comunque riguarderà i laboratori, non il tuo stack. Il perimetro di un agente lo scrivi tu, nel capitolato del progetto, e si misura con una domanda sola. Se questa automazione facesse la cosa sbagliata stanotte, quanto ci mette qualcuno ad accorgersene e a fermarla? Se la risposta è lunedì, il problema non è il modello.