Nel suo rapporto di intelligence del settembre 2026, Anthropic ha portato alla luce una serie di campagne di “destillazione illecita” condotte da laboratori di intelligenza artificiale con sede in Cina. L’azienda ha identificato e disattivato almeno sette gruppi che avrebbero estratto in modo clandestino le capacità del modello di linguaggio Claude, per poi replicarle nei propri sistemi di IA senza autorizzazione.

Che cosa è la destillazione illecita?

Il documento di Anthropic distingue la destillazione legittima – una pratica comune in cui un modello “maestro” più avanzato genera risposte usate per addestrare un modello “studente” più piccolo – dalla destillazione illecita, definita come “una campagna coperta su scala industriale volta a estrarre le capacità di un modello e replicarle in un altro senza autorizzazione”.

Principali protagonisti delle campagne

    • Alibaba
    • Moonshot AI
    • DeepSeek
    • Zhipu (conosciuta fuori dalla Cina come Z.ai)
    • Xiaomi
    • SenseTime
    • MiniMax

Alibaba: la più grande operazione di estrazione

Secondo Anthropic, gli operatori legati ad Alibaba hanno condotto la più grande campagna di destillazione mai registrata, rivolta ai modelli di ragionamento Opus 4.6 e 4.7. Il metodo consisteva nell’iniettare un’istruzione fissa in ogni richiesta, costringendo Claude a rivelare la propria catena di ragionamento interno prima della risposta finale. Le informazioni raccolte sono state usate per l’addestramento fine‑tuned dei modelli Qwen 3.5, 3.6 e 3.7 di Alibaba.

Le statistiche più allarmanti includono:

    • Picco di quasi tre milioni di scambi giornalieri per diversi mesi.
    • Oltre 151 milioni di scambi tra maggio e luglio 2026.
    • Utilizzo di più di 3.500 account fraudolenti per lanciare le richieste.

Oltre alla destillazione, Alibaba ha impiegato Claude per sviluppare infrastrutture interne di addestramento, avanzare nella ricerca di architetture di modello e sperimentare ambienti di apprendimento per rinforzo.

Moonshot AI e DeepSeek: deviazioni clandestine di richieste

Moonshot AI, responsabile della famiglia di modelli Kimi, ha dirottato segretamente le richieste dei propri clienti verso Claude, mostrando le risposte generate come se fossero prodotte da Kimi. In dieci giorni, sono state reindirizzate circa 300.000 query mediante una rete di 5.380 account fraudolenti, prevalentemente localizzati a Singapore e Giappone. Il metodo di “ripetizione tra sessioni” ha permesso di eludere le protezioni anti‑estrazione, portando a più di 23 milioni di scambi tra maggio e luglio 2026.

DeepSeek ha adottato una tattica simile, intercettando richieste indirizzate a strumenti di terze parti come Claude Code o il Claude Agent SDK, identificandole tramite stringhe specifiche e reindirizzandole verso Opus. In soli quattordici giorni di luglio, DeepSeek è stato accreditato di 12,1 milioni di scambi.

Zhipu (Z.ai) e la migrazione da Fable a Opus

Zhipu, operante fuori dalla Cina con il nome Z.ai, ha impiegato 273 account fraudolenti per estrarre e “pulire” le tracce di ragionamento di Claude Opus 4.8, destinandole ai propri modelli GLM. Il risultato è stato:

    • 770.609 scambi in dieci giorni.
    • Più di 3,4 milioni di scambi totali tra giugno e luglio.

Inizialmente Zhipu aveva tentato di attaccare le capacità cibernetiche del modello Fable, il più avanzato di Anthropic, ma ha abbandonato l’attacco dopo aver riscontrato difese più robuste, spostando poi l’effort verso Opus 4.6.

Xiaomi: addestramento di MiMo tramite Claude

Xiaomi ha replicato conversazioni e sessioni di programmazione del proprio modello MiMo usando Claude per generare dati di addestramento. Sono state inviate più di 400.000 richieste tramite 1.500 account. L’operazione ha coinciso con la chiusura di una fase di prova gratuita di MiMo‑V2‑Pro, suggerendo che Xiaomi abbia sfruttato il picco di utilizzo internazionale per estrarre capacità da Claude.

SenseTime e MiniMax: acquisizione di trascrizioni e rete proxy

Il rapporto indica che SenseTime ha acquistato trascrizioni di conversazioni con Claude da fornitori di dati terzi, mentre MiniMax ha creato una rete di proxy attraverso una società di facciata non collegata visibilmente alla casa madre. Questa rete è stata usata esclusivamente per accedere ai modelli di Anthropic e OpenAI, senza includere i propri sistemi.

Esposizione di dati sensibili

In diversi casi, le conversazioni dirottate contenevano informazioni personali e aziendali sensibili, compresi nomi, indirizzi email e dati corporativi di clienti di Moonshot, DeepSeek e Xiaomi. I dati sono stati trovati in almeno una dozzina di lingue, provenienti principalmente da utenti negli Stati Uniti ed Europa che utilizzavano servizi di routing di modelli. Anthropic non ha evidenze che questi clienti fossero informati del reindirizzamento a terzi.

Risposte di Anthropic

Di fronte agli abusi, Anthropic ha adottato una serie di contromisure:

    • Blocco degli account coinvolti.
    • Rafforzamento dei classificatori di rilevamento.
    • Implementazione di nuove salvaguardie tecniche, tra cui:
      • Un sistema che riepiloga il ragionamento interno di Claude prima di mostrarlo.
      • Un meccanismo che impedisce la modifica del contesto precedente al ragionamento del modello per nuove API.

Implicazioni per l’ecosistema IA globale

Le accuse di Anthropic sollevano interrogativi cruciali sulla sicurezza, l’etica e la governance dei modelli di linguaggio di grandi dimensioni. La capacità di estrarre, a scala industriale, il “know‑how” di un modello avanzato dimostra quanto le difese attuali possano essere vulnerabili a strategie di ingegneria sociale e massicce operazioni automatizzate.

Inoltre, la diffusione di dati sensibili attraverso canali non autorizzati accentua il rischio di violazioni della privacy e di perdita di fiducia da parte di utenti e aziende che fanno affidamento su servizi IA. Regolatori di diversi paesi, già impegnati nella definizione di normative sull’IA, dovranno considerare norme più stringenti sul tracciamento, sull’audit e sulla trasparenza delle operazioni di addestramento.

Conclusioni

Il rapporto di Anthropic evidenzia una nuova frontiera di conflitto tra le grandi società tecnologiche e gli attori statali o quasi‑statali desiderosi di colmare il divario di capacità IA. Con campagne di destillazione illecita su vasta scala, i laboratori cinesi hanno dimostrato di poter accedere e replicare tecnologie di punta in modo clandestino, mettendo in luce la necessità di rafforzare le difese tecniche e di instaurare collaborazioni internazionali per contrastare tali pratiche.