In questo articolo Indice dei contenuti 2 sezioni
Sei aziende cinesi di intelligenza artificiale avrebbero portato avanti per quasi due anni una campagna di distillazione su scala industriale contro i modelli di frontiera americani, estraendo miliardi di token attraverso milioni di richieste. Lo sostengono, in un avviso congiunto, CISA, NSA e FBI, che parlano di operazioni cominciate almeno dalla fine del 2024 e mai davvero interrotte. I nomi sul tavolo sono pesanti: DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun e Z.AI. Dall’altra parte, come bersagli, i sistemi di Anthropic, OpenAI, Google e xAI. La valutazione delle agenzie statunitensi va oltre il semplice sospetto tecnico. Scala, coordinamento e livello di sofisticazione sarebbero tali da suggerire che il governo cinese fosse al corrente di quanto stava accadendo. Non solo: per le società coinvolte questo approccio non sarebbe un espediente occasionale, ma una vera e propria strategia di sviluppo, uno dei pilastri su cui costruire prodotti competitivi senza sostenere i costi di addestramento che gravano sui laboratori americani.
Come funziona la distillazione e dove diventa un problema
Va detto subito che la distillazione dei modelli AI è, in sé, una pratica legittima e diffusa. Un modello definito “studente” impara dalle risposte di un modello già ben addestrato, riducendo i tempi e le spese necessarie per ottenere buone prestazioni. Ricercatori e sviluppatori la usano tutti i giorni, spesso all’interno di ambienti controllati e con il consenso di chi possiede il modello di partenza.
Il problema nasce quando l’operazione avviene fuori da quei confini. Già a febbraio Google aveva segnalato il rischio di attacchi di distillazione condotti abusando dell’accesso via API, con l’obiettivo di estrarre la conoscenza e la logica interna di un sistema potente per poi competere con lui spendendo una frazione del budget originale. È esattamente lo scenario descritto nell’avviso americano. Secondo CISA, le richieste venivano distribuite su account fraudolenti o condivisi, API diverse, servizi cloud, aggregatori e proxy che l’avviso definisce “stazioni di trasferimento”. Tutto per aggirare restrizioni geografiche, limiti di utilizzo e sistemi di rilevamento. Alcuni prompt sarebbero stati costruiti per far emergere il ragionamento passo a passo, la cosiddetta chain of thought, normalmente non accessibile. E c’era anche una componente di controllo qualità automatizzata: i sistemi cambiavano fornitore quando venivano bloccati e verificavano se le risposte ricevute fossero state volutamente peggiorate dai difensori.
Chi ha colpito quali modelli
L’avviso indica DeepSeek e Moonshot AI come i soggetti più attivi, coinvolti nella distillazione di più versioni di Claude, GPT, Gemini e Grok. Subito dopo viene collocata MiniMax, che avrebbe puntato su Claude, Gemini e GPT. Alibaba e StepFun sono accusate di aver lavorato su Claude e GPT per migliorare i propri prodotti, mentre Z.AI avrebbe preso di mira GPT-5.5 e Claude Opus 4.8. Il vantaggio, secondo le tre agenzie, è tanto concreto quanto misurabile: chi conduce questo tipo di operazioni riduce sensibilmente i tempi di sviluppo e abbatte la spesa necessaria per addestrare un modello di frontiera.
Le raccomandazioni rivolte alle aziende americane vanno in tre direzioni. Rafforzare il rilevamento sia a livello comportamentale sia a livello di infrastruttura, modificare le risposte quando si sospetta un’operazione di distillazione industriale e condividere informazioni su queste campagne con tutti gli attori coinvolti.
Tra i segnali d’allarme elencati ci sono account appena creati che arrivano immediatamente al massimo consumo consentito, attività continua senza le normali pause di inattività tipiche di un utente umano, account condivisi raggiunti da un gran numero di indirizzi IP o user agent differenti, prompt identici inviati a più fornitori, rapporti anomali tra abbonamento e utilizzo effettivo e passaggi coordinati da una via di accesso all’altra. Tutte e sei le società cinesi coinvolte sono state contattate per un commento sulle accuse contenute nell’avviso.
