The Pulse

Agenzie statunitensi accusano sei aziende cinesi di IA di distillazione dei modelli

Sei aziende di IA con sede in Cina hanno estratto miliardi di token dai modelli di frontiera statunitensi attraverso campagne distribuite su scala industriale, affermano NSA, FBI e CISA. Le agenzie esortano i fornitori di modelli, le aziend

AI.info Team · Scritto con l’IA · verificato · 2026-09-12

Washington ha trasformato una disputa di lunga data sulla copia dell’IA in un avviso ufficiale di cybersicurezza. Sei aziende con sede in Cina hanno estratto miliardi di token dai modelli di frontiera americani attraverso milioni di scambi, per poi utilizzare gli output per addestrare sistemi concorrenti, secondo la National Security Agency, l’FBI e la Cybersecurity and Infrastructure Security Agency.

Pechino respinge l’accusa. Mao Ning, portavoce del ministero degli Esteri cinese, ha dichiarato durante una conferenza stampa ordinaria il 9 settembre che «lo sviluppo dell’IA in Cina è il risultato di un’autonomia e di una forza tecnologica di alto livello» e che «tutte le parti dovrebbero rafforzare la cooperazione per promuovere uno sviluppo dell’IA aperto, inclusivo, vantaggioso per tutti e orientato al bene comune». Il ministero ha esortato Washington ad astenersi da accuse infondate; Mao ha detto di non aver visto l’avviso in sé. Lo scontro pone alle aziende di IA una questione pratica: come possono bloccare l’estrazione organizzata senza precludere la ricerca legittima, l’uso commerciale e l’accesso internazionale?

L’avviso congiunto di cybersicurezza delle agenzie, pubblicato l’8 settembre, cita DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun e Z.AI. Secondo l’avviso, le aziende hanno preso di mira versioni di Claude di Anthropic, dei modelli GPT di OpenAI, di Gemini di Google e di Grok di xAI, con attività che risalgono almeno alla fine del 2024.

Le agenzie descrivono la distillazione come una filiera organizzata

La distillazione della conoscenza è un metodo standard nell’apprendimento automatico. Un modello «studente» più piccolo apprende dagli output di un modello «insegnante» più grande, consentendo agli sviluppatori di riprodurre determinate capacità con una minore potenza di calcolo e costi di addestramento inferiori. L’avviso statunitense non definisce impropria la tecnica in sé; distingue la distillazione ordinaria da quella che definisce un’estrazione aggressiva, malevola e mirata di capacità soggette a restrizioni.

Le aziende citate hanno distribuito la loro attività tra fornitori di modelli, piattaforme cloud, aggregatori di API, servizi proxy e gruppi di account, secondo NSA, FBI e CISA. Questa struttura era progettata per impedire a qualsiasi singolo fornitore di vedere l’intera campagna. Alcuni operatori hanno utilizzato proxy API del mercato grigio, chiamati «stazioni di trasferimento», per aggirare le restrizioni geografiche, nascondere l’origine delle richieste e ridurne la tracciabilità, si legge nell’avviso.

Gli operatori hanno inoltre acquistato abbonamenti premium in blocco, condiviso l’accesso tra i team e alternato gli account quando i fornitori bloccavano il traffico, afferma il rapporto. Tra gli indicatori utili al rilevamento figurano account che iniziano subito a utilizzare l’intera quota disponibile, credenziali condivise che compaiono da più indirizzi IP, attività ininterrotta a tutte le ore e prompt simili provenienti da account diversi.

Questi comportamenti sono rilevanti perché i fornitori di modelli spesso esaminano gli abusi un account o una chiave API alla volta. Una campagna distribuita può sembrare un insieme di utenti senza legami tra loro, a meno che i fornitori non confrontino tempistiche, prompt, informazioni di pagamento, infrastruttura di instradamento e modalità d’uso. Le agenzie vogliono che questi segnali vengano combinati tra le aziende che si collocano tra un utente e un modello.

Le accuse più dettagliate del rapporto riguardano DeepSeek e Moonshot

L’avviso dedica le descrizioni più estese a DeepSeek e Moonshot AI. Secondo il documento, DeepSeek ha condotto una campagna organizzata almeno dalla fine del 2024 per generare dati sintetici di addestramento destinati a modelli tra cui R1, rilasciato all’inizio del 2025, e V3. Stando al rapporto delle agenzie, DeepSeek ha preso di mira il ragionamento, la specializzazione giuridica, le prestazioni nelle domande e risposte, le funzioni degli agenti, la scrittura e altri comportamenti specifici di determinati ambiti.

Il documento elenca un’ampia gamma di modelli che DeepSeek avrebbe interrogato, tra cui varianti di Claude Sonnet e Opus, i sistemi Gemini di Google, GPT-4, GPT-4o, GPT-5 e Grok 4. DeepSeek ha anche utilizzato prompt progettati per ottenere il ragionamento passo dopo passo da modelli che normalmente limitano la visibilità delle tracce del ragionamento interno, afferma il documento. Il materiale così ottenuto potrebbe insegnare a un modello studente metodi per la programmazione, le dimostrazioni logiche e i compiti complessi degli agenti, anziché limitarsi a trasferire risposte fattuali.

Moonshot AI, sviluppatrice della famiglia Kimi, avrebbe condotto una campagna separata iniziata almeno a metà del 2025. Secondo l’avviso, l’azienda ha estratto dati da Claude Fable 5 per Kimi-K3 e da GPT-4o per Kimi-K2, puntando anche alle prestazioni nell’ingegneria del software, nella matematica, nell’apprendimento per rinforzo e nel fine-tuning supervisionato.

Le autorità statunitensi citano anche Alibaba, MiniMax, StepFun e Z.AI. Secondo il rapporto, Alibaba ha utilizzato gli output di Claude e GPT-5 per migliorare l’ingegneria del software, i dialoghi del servizio clienti, la creazione di personaggi virtuali e i flussi di lavoro degli agenti. MiniMax avrebbe preso di mira Claude Code e altri modelli per la programmazione, il ragionamento e il perfezionamento dei dataset, mentre StepFun si è concentrata sulla programmazione e sulle funzioni degli agenti. L’avviso attribuisce a Z.AI l’uso di miliardi di token di GPT-5.5 e Claude Opus 4.8 per lavorare sul ragionamento a catena di pensiero.

Le «stazioni di trasferimento» permettono agli operatori di distribuire il rischio

I dettagli tecnici mostrano perché le agenzie considerino l’attività qualcosa di più di un normale scraping. Gli operatori avrebbero instradato le richieste attraverso API native, fornitori cloud remoti, aggregatori terzi, sistemi di ritrasmissione e gruppi di account presso i fornitori. I sistemi di instradamento centralizzati potevano selezionare il percorso più economico disponibile, monitorare se un fornitore rispondeva, far rispettare le quote e cambiare fornitore quando un percorso non funzionava.

L’avviso descrive quattro tecniche che, secondo le agenzie, non sono pienamente contemplate dall’attuale framework MITRE ATLAS per le minacce all’IA. Comprendono l’elusione delle restrizioni regionali e lo sfruttamento degli abbonamenti, l’instradamento centralizzato delle richieste, la rimozione automatizzata dei metadati identificativi e l’ottimizzazione sistematica delle quote e dei costi.

Anche il prompt engineering ha avuto un ruolo. Secondo il rapporto, gli operatori hanno utilizzato jailbreak e prompt injection per costringere i modelli a rivelare il ragionamento nascosto o a produrre risposte in formati utili per l’addestramento. Un esempio riferisce che DeepSeek ha chiesto ai modelli, tramite prompt, di immaginare e mettere per iscritto il ragionamento interno alla base di risposte già completate. Un altro afferma che MiniMax ha reindirizzato gli scambi verso un modello Claude appena rilasciato entro 24 ore, suggerendo che l’infrastruttura fosse pronta a cambiare rapidamente bersaglio.

Le campagne sarebbero durate giorni o mesi, con un numero di interrogazioni rivolte a specifici ambiti compreso tra migliaia e milioni. Moonshot viene descritta come impegnata ad andare oltre le risposte testuali, verso il ragionamento agentico, l’uso di strumenti, gli agenti capaci di usare il computer e la visione artificiale. L’obiettivo non era una raccolta indiscriminata, ma l’acquisizione sistematica di capacità che avrebbero potuto essere incorporate in modelli concorrenti, affermano le agenzie.

L’avviso presenta l’attribuzione come una valutazione del governo statunitense, non come un accertamento giudiziario. Il documento non contiene un accertamento giudiziario della responsabilità delle aziende citate.

Washington avverte: i controlli sui chip non colmano il divario nell’accesso

Il rapporto presenta la distillazione dei modelli come una questione di sicurezza nazionale, perché può ridurre i costi e i tempi necessari per sviluppare sistemi avanzati. Gli sviluppatori cinesi possono ottenere determinati comportamenti attraverso le API senza costruire la stessa infrastruttura di addestramento, acquistare lo stesso volume di acceleratori o ripetere la stessa ricerca di base. Queste capacità potrebbero rafforzare le applicazioni militari, informatiche e relative alle infrastrutture critiche, affermano le autorità statunitensi.

Questa tesi sposta l’attenzione dall’hardware di calcolo fisico alle interfacce software attraverso cui i modelli mettono a disposizione le loro capacità. I controlli sulle esportazioni possono limitare l’accesso ai chip avanzati, ma non impediscono automaticamente a un operatore determinato di interrogare un modello ospitato altrove. Un’API, un rivenditore di servizi cloud o un servizio proxy può diventare un canale per trasferire comportamenti anche quando il modello sottostante non lascia mai i server del fornitore.

Secondo l’avviso, l’attività provoca anche un danno economico diretto alle aziende americane di IA. I fornitori sostengono costi per il calcolo, il personale di ricerca, i dati, i test di sicurezza e le infrastrutture prima di far pagare ai clienti l’accesso. Un concorrente che copia determinate capacità attraverso richieste non autorizzate può ridurre i propri costi di sviluppo utilizzando i sistemi del fornitore originale come una filiera di ricerca non retribuita.

Il ministero degli Esteri cinese contesta questa ricostruzione. In dichiarazioni pubblicate dal ministero il 9 settembre, Mao ha affermato che lo sviluppo dell’IA in Cina riflette una «cooperazione aperta» e ha esortato entrambi i Paesi a collaborare anziché scambiarsi accuse. Nell’avviso della NSA non compare alcuna risposta delle sei aziende citate.

Ai fornitori viene chiesto di cambiare il comportamento dei modelli, non solo di bloccare gli account

Le agenzie raccomandano tre misure immediate. I fornitori dovrebbero rilevare prompt, account, reti e comportamenti anomali; apportare modifiche mirate alle risposte alle richieste considerate malevole con un alto grado di certezza; e condividere informazioni tra aziende che forniscono modelli, piattaforme cloud e aggregatori di API.

Modificare le risposte è un passo più aggressivo della sospensione degli account. I fornitori potrebbero ridurre in modo impercettibile il valore degli output inviati a operazioni sospette di distillazione, abbassando la qualità del materiale disponibile per l’addestramento senza necessariamente rivelare il sistema di rilevamento, afferma l’avviso. Tali misure richiederebbero controlli accurati, perché una classificazione errata potrebbe danneggiare un normale cliente, ricercatore o sviluppatore.

Il coordinamento tra aziende presenta un’altra difficoltà. I fornitori di modelli potrebbero essere riluttanti a condividere i dati di telemetria a causa degli obblighi di tutela della privacy, di preoccupazioni legate alla concorrenza o di restrizioni legali. Le agenzie sostengono tuttavia che le attività distribuite non possano essere individuate in modo affidabile esaminando isolatamente i registri di un solo fornitore.

L’avviso raccomanda di prestare attenzione ad account collegati, attività sincronizzate, schemi di prompt ripetuti, rapidi passaggi da un modello all’altro e modalità d’uso che privilegiano il volume rispetto alla varietà dei compiti. Indica inoltre le modifiche ai metadati successive a divulgazioni pubbliche come un possibile segnale che un operatore abbia cambiato la propria infrastruttura per evitare di essere individuato.

Il risultato immediato è un nuovo onere difensivo per le aziende che vendono l’accesso ai modelli di frontiera. Devono decidere quali utenti richiedano controlli più rigorosi, fino a che punto possano modificare il comportamento dei modelli e quando le prove siano abbastanza solide da essere condivise con un altro fornitore o un’agenzia governativa. L’avviso dell’8 settembre fornisce un quadro per queste decisioni, ma non risolve la questione di quanto accesso i fornitori debbano continuare a offrire mentre la disputa tra Stati Uniti e Cina si sviluppa attraverso le API commerciali.