Contro chi copia l'AI per addestrare modelli cinesi, le agenzie Usa consigliano ai lab di rispondere di nascosto con un modello meno capace

Cos’è successo

L'8 settembre la NSA, l'agenzia americana di intelligence elettronica, ha pubblicato con l'FBI e la CISA (responsabile della cybersicurezza civile) un avviso sulle campagne di distillazione attribuite a sei aziende cinesi, tra cui DeepSeek e Alibaba. Che avrebbero raccolto miliardi di token — i frammenti di testo elaborati dai modelli — attraverso milioni di richieste alle AI americane più avanzate, almeno dalla fine del 2024, per accelerare lo sviluppo delle proprie.

La distillazione usa le risposte di un modello come esempi con cui addestrarne un altro ed è una tecnica legittima, come riconoscono le stesse agenzie. L'accusa, però, riguarda il modo di ottenere quel materiale: account fraudolenti e intermediari che nasconderebbero la provenienza delle richieste, aggirando i divieti di accesso e le condizioni d'uso. Nel rapporto ritorna anche Moonshot, il produttore di Kimi K3 già accusato a luglio di aver attinto a Claude Fable 5 di Anthropic.

Perché conta

Alle accuse e alle minacce di sanzioni dei mesi scorsi adesso si aggiungono indicazioni operative per coordinare la difesa. Le campagne descritte distribuiscono le richieste tra fornitori diversi, passando da un canale all'altro quando vengono bloccate; incrociarne le tracce permetterebbe ai lab di riconoscere un'operazione che ciascuno, da solo, vedrebbe soltanto in parte.

• Una volta accertato che un utente sta interrogando i modelli per una campagna di distillazione malevola, le agenzie suggeriscono perfino di eseguire un downgrade nascosto, facendo rispondere un modello meno capace ma senza avvertire il destinatario della sostituzione. La raccolta continuerebbe così ad alimentare l’addestramento del concorrente con materiale meno utile, purché il peggioramento sia abbastanza sottile da sfuggire ai controlli automatici che, secondo il rapporto, permettono alle campagne di riconoscere la qualità inferiore e cambiare strada;
• Un abbonamento usato a pieno regime può appartenere anche a un cliente legittimo, e gli intermediari possono mescolarne il traffico a quello di chi estrae dati. Per questo, l'avviso raccomanda di incrociare gli indizi anziché fermarsi al solo volume di richieste. I ricercatori di sicurezza e i valutatori esterni devono invece essere informati dei cambiamenti di modello (altrimenti rischierebbero di misurare un sistema diverso da quello che credono di avere davanti);
• Il documento dettaglia le condotte, senza pubblicare il materiale sottostante necessario a verificarle autonomamente. Contiene persino una cronologia da chiarire: colloca entro metà 2025 una campagna DeepSeek che avrebbe usato anche Claude Sonnet 4.5, lanciato pubblicamente il 29 settembre di quell'anno, senza spiegare la discrepanza. La tesi che la distillazione sia il cuore dell'avanzamento delle aziende cinesi citate rimane una valutazione delle agenzie, che i singoli episodi descritti non bastano a dimostrare.

Adesso

• L'avviso raccomanda contromisure ai fornitori, mentre le sanzioni minacciate a luglio appartengono a un percorso distinto. Anche sul piano giuridico, la violazione delle condizioni di un servizio va separata dall'accertamento di un furto di proprietà intellettuale: il Wall Street Journal riporta pareri legali che contestano quell'equivalenza automatica;
• Le accuse arrivano mentre Washington e Pechino preparano un confronto sulla sicurezza dell'AI a metà settembre, prima della visita di Xi Jinping negli Stati Uniti prevista a fine mese. La Cina, dal canto suo, respinge le accuse e minaccia contromisure contro eventuali restrizioni alle proprie aziende. Ai negoziatori toccherà discutere come contenere rischi comuni mentre litigano anche su quanto il progresso cinese dipenda dall'accesso ai modelli americani;
• I lab vendono l'accesso alle stesse capacità che Washington vuole proteggere. Controlli troppo indiscriminati rischierebbero di spostare clienti legittimi verso alternative cinesi più accessibili, riducendo proprio la diffusione globale dei prodotti americani.