Le agenzie statunitensi accusano sei aziende cinesi di AI di distillazione dei modelli su scala industriale

I rapporti pubblicati il 9 settembre 2026 illustrano una valutazione congiunta del governo statunitense, secondo cui sei aziende cinesi di intelligenza artificiale avrebbero estratto sistematicamente capacità dai modelli frontier americani.

CISA, NSA e FBI hanno indicato DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun e Z.AI. Secondo il bollettino delle autorità, le aziende avrebbero raccolto miliardi di token attraverso milioni di richieste rivolte ai modelli gestiti da Anthropic, OpenAI, Google e xAI.

La data di pubblicazione del bollettino non è del tutto coerente tra i diversi rapporti. Due pubblicazioni hanno datato la notizia al 9 settembre, mentre un’altra ha riferito che le agenzie lo avevano diffuso l’8 settembre. Il materiale ufficiale di CISA disponibile qui non riporta una data.

Le attività contestate sarebbero iniziate almeno alla fine del 2024. Le agenzie statunitensi le descrivono come una campagna prolungata contro la sicurezza dei modelli e la proprietà intellettuale, non come una normale intrusione nelle reti aziendali.

La distillazione è diventata un’operazione di estrazione

La distillazione della conoscenza è una tecnica standard di machine learning. Un modello “studente” più piccolo apprende dalle risposte generate da un modello “insegnante” più potente, consentendo agli sviluppatori di trasferire comportamenti utili senza riprodurre l’intera architettura del modello insegnante.

Le agenzie sostengono che le campagne segnalate siano sfociate in un’estrazione abusiva per scala, finalità e modalità di accesso. Gli operatori avrebbero utilizzato accessi API non autorizzati, condivisione di account, abbonamenti fraudolenti, servizi proxy, generazione automatizzata di prompt e tecniche pensate per aggirare le restrizioni geografiche e le misure di sicurezza dei provider.

Le richieste venivano distribuite tra API native, piattaforme cloud, aggregatori di terze parti, proxy del mercato grigio e servizi descritti come “stazioni di trasferimento”. Questa distribuzione rendeva meno evidente ogni singolo flusso di attività e impediva a un singolo provider di vedere l’intera operazione.

Secondo le accuse, gruppi di account inviavano prompt identici o strettamente correlati migliaia o milioni di volte. Gli operatori raccoglievano quindi le risposte come dati sintetici per l’addestramento, ne valutavano la qualità e li utilizzavano per il supervised fine-tuning, il reinforcement learning o il perfezionamento dei dataset.

Alcuni prompt cercavano informazioni riservate di chain-of-thought, anziché semplici risposte. DeepSeek, per esempio, avrebbe tentato di indurre i modelli a ricostruire e spiegare passo dopo passo il proprio ragionamento interno. Secondo le segnalazioni, MiniMax avrebbe usato prompt injection contro Claude Code, cercando di convincere il sistema di essere un prodotto MiniMax e potenzialmente di modificare le informazioni che divulgava.

Le operazioni più avanzate avrebbero verificato se i provider avessero degradato intenzionalmente le risposte. Gli operatori potevano cambiare account, modelli o percorsi di accesso dopo un blocco e identificare automaticamente i sistemi appena rilasciati.

Sei aziende, modelli e obiettivi diversi

La campagna attribuita a DeepSeek sarebbe iniziata almeno alla fine del 2024 e sarebbe proseguita dalla fine del 2024 alla metà del 2025. Secondo le segnalazioni, i dati estratti sarebbero stati utilizzati per produrre materiale sintetico destinato all’addestramento dei suoi modelli R1 e V3; R1 è stato rilasciato all’inizio del 2025.

Tra gli obiettivi indicati figuravano Claude 3.7, Claude Sonnet 4 e 4.5, Claude Opus 4.1, Gemini 2, Gemini 2.5 Pro Preview, Gemini 2.5 Flash Preview, GPT-4, GPT-4o, GPT-4 Mini, GPT-4 Nano, GPT-5, Grok 3 Mini e Grok 4. Le capacità ricercate spaziavano dalla specializzazione legale e dai comportamenti agentici alla scrittura, alla risposta alle domande, alle attività basate su API e al supervised fine-tuning.

Il bollettino contesta inoltre la cifra di 5,6 milioni di dollari indicata pubblicamente da DeepSeek come costo dell’addestramento. Le agenzie sostengono che tale cifra escluda il valore economico e il costo di acquisizione dei dati ottenuti attraverso un’attività di distillazione su vasta scala.

Secondo le accuse, Moonshot AI avrebbe avviato una campagna di estrazione ad ampio raggio almeno a metà del 2025. Avrebbe utilizzato dati di Claude Fable 5 per Kimi-K3 e output di GPT-4o per Kimi-K2, con l’obiettivo di svolgere supervised fine-tuning, reinforcement learning e attività di matematica e ingegneria del software.

L’elenco dei modelli sorgente comprende Claude Opus 4.1; Claude Sonnet 3.7, 4, 4.5 e 4.5 Thinking; Claude Fable 5; GPT-oss-20b; GPT-3; GPT-4o e GPT-4o mini; GPT-5, GPT-5 Codex e GPT-5 Pro; Gemini 2.5 Flash, Flash-Image e Pro; Nano Banana; e Grok Code Fast-1. Secondo le accuse, Moonshot avrebbe reindirizzato la propria infrastruttura di raccolta verso un nuovo modello Claude entro 24 ore dal lancio, suggerendo un monitoraggio automatizzato dei nuovi modelli.

L’attività attribuita ad Alibaba si sarebbe svolta alla fine del 2025 e avrebbe puntato a migliorare la famiglia Qwen. Tra gli obiettivi indicati figuravano Claude 4, Claude Opus, Claude Sonnet e GPT-5. La raccolta si concentrava su sviluppo software, dialoghi per il servizio clienti, personaggi virtuali, dataset di valutazione, workflow agentici, reinforcement learning e supervised fine-tuning.

Secondo le accuse, alla fine del 2025 MiniMax avrebbe preso di mira Claude Code, Claude Sonnet 4, Claude Opus 4.5, Gemini 1, Gemini 2.5 Pro, Gemini 3 Pro e GPT-5. Il beneficiario previsto era il modello M2. Le funzioni ricercate comprendevano revisione del codice, ingegneria del software, operatività agentica, ragionamento chain-of-thought, reinforcement learning e perfezionamento dei dataset.

L’attività di StepFun sarebbe collocabile tra la fine del 2025 e l’inizio del 2026. Secondo le accuse, l’azienda avrebbe utilizzato Claude Opus 4.1 e 4.5, Claude Sonnet 4.5, Claude Haiku 4.5, GPT-5 Mini, GPT-5 Pro, GPT-5.1, GPT-5.1 Codex, GPT-5.1 Codex Mini e GPT-5.2 per migliorare le funzioni di coding e agentiche di Step 4. Secondo le segnalazioni, l’operazione riuniva diversi account per eludere i limiti di frequenza e aumentare la spesa giornaliera.

Entro la metà del 2026, Z.AI avrebbe estratto miliardi di token da GPT-5.5 e Claude Opus 4.8 per sviluppare capacità di chain-of-thought.

L’impatto sulla sicurezza è strategico, non risolvibile con una patch

Le agenzie classificano l’attività come una minaccia strategica ed economica da alta a critica. Non riguarda una vulnerabilità software resa pubblica e non esistono CVE, punteggi CVSS, release software interessate o patch.

L’obiettivo è invece il valore accumulato all’interno dei modelli frontier: schemi di ragionamento, comportamenti specializzati, competenze di coding, conoscenze di dominio, workflow agentici e output adatti alla costruzione di dataset per l’addestramento.

Un’estrazione riuscita può comprimere anni di sviluppo riducendo la necessità di sperimentazione, le risorse di calcolo e i costi di ricerca. I concorrenti possono riprodurre capacità costose senza sostenere per intero il costo necessario per scoprirle e addestrarle.

Le vittime immediate sono i provider dei modelli e i loro investitori, ma le conseguenze difensive possono riguardare anche i clienti legittimi. Controlli più rigidi sull’identità, restrizioni d’uso e una riduzione intenzionale delle prestazioni dei modelli possono generare falsi positivi per i team di ricerca o le aziende con carichi di lavoro API insolitamente elevati.

I provider dovrebbero correlare account, prompt e infrastruttura

Nessun singolo segnale dimostra una distillazione malevola. Le agenzie raccomandano di combinare telemetria relativa ad account, rete, comportamenti e prompt.

I provider dovrebbero esaminare gli account appena creati che consumano immediatamente i limiti massimi, operano senza interruzioni e senza periodi di inattività umana oppure si collegano da numerosi indirizzi IP e user agent. Anche gli abbonamenti enterprise condivisi, con un volume di attività incoerente con lo scopo dichiarato, meritano una verifica.

Tra gli altri indicatori figurano prompt ripetuti su più provider, grandi gruppi di domande correlate, creazione distribuita di account, rotazione automatizzata degli account e traffico che cambia servizi cloud o percorsi proxy subito dopo l’applicazione di misure restrittive. Anche le richieste che domandano esplicitamente ragionamenti nascosti costituiscono un segnale utile.

Il rilevamento deve funzionare oltre i confini delle singole organizzazioni. Una campagna distribuita tra diverse API e aggregatori può sembrare un normale utilizzo intenso per ciascun servizio preso singolarmente. Per questo provider, operatori cloud, intermediari API e governi devono scambiarsi informazioni su schemi degli account, infrastrutture proxy, gruppi di prompt, comportamenti di cambio del modello ed elementi che dimostrino test automatizzati della qualità degli output.

Il comportamento attribuito a Moonshot, cioè il passaggio a un modello appena rilasciato entro 24 ore, offre un’ulteriore opportunità di rilevamento. Una migrazione rapida associata a query ad alto volume e strutturate in modo uniforme è più indicativa di ciascuna delle due caratteristiche considerata singolarmente.

Le risposte difensive comportano a loro volta dei rischi

Per gli account valutati come malevoli, le agenzie propongono di ridurre discretamente il valore degli output per l’addestramento. Tra le possibili risposte figurano la limitazione della profondità del ragionamento, l’introduzione di rumore controllato o variazioni stilistiche, la sottrazione di alcune capacità oppure il reindirizzamento degli utenti sospetti verso un modello meno potente.

Raccomandano in particolare di non informare gli operatori sospettati, con base in Cina, quando viene applicato questo tipo di reindirizzamento. Le modifiche silenziose rendono più difficile per i sistemi di estrazione diagnosticare la difesa e adattarsi.

L’approccio è tecnicamente complesso. Le campagne contestate utilizzerebbero sistemi di controllo qualità in grado di rilevare risposte alterate e distinguere un degrado intenzionale dai normali problemi di servizio. Gli operatori possono quindi ruotare gli account, riscrivere i prompt o passare a un altro provider.

Le modifiche difensive possono inoltre compromettere i test indipendenti di sicurezza. I provider dovrebbero fare in modo che i valutatori di fiducia sappiano quando i modelli sono stati modificati, impedendo al contempo che queste informazioni arrivino alle operazioni sospettate di estrazione.

L’attribuzione resta contestata

Le agenzie statunitensi ritengono che la scala, la persistenza e la maturità operativa delle campagne rendano la distillazione una componente centrale della strategia di sviluppo delle sei aziende. Ritengono inoltre probabile che l’attività si sia svolta con la consapevolezza del governo cinese.

Si tratta comunque di una valutazione d’intelligence, non di un accertamento indipendente e definitivo.

Il ministero degli Esteri cinese ha respinto le accuse definendole infondate, mentre in precedenza un portavoce dell’ambasciata cinese aveva descritto la posizione statunitense come una campagna diffamatoria basata sul pregiudizio. Le autorità cinesi sostengono che i progressi del Paese nel campo dell’AI siano il risultato dello sviluppo scientifico interno e accusano a loro volta le aziende americane di aver distillato modelli cinesi.

La disputa non cambia il problema difensivo. I provider dei modelli frontier devono ora affrontare operazioni di estrazione che assomigliano a campagne di sicurezza coordinate: infrastrutture distribuite, gestione automatizzata degli account, routing elusivo, manipolazione dei prompt e adattamento continuo quando i controlli entrano in funzione.