Le società cinesi di intelligenza artificiale avrebbero utilizzato milioni di conversazioni dei propri clienti per apprendere le capacità dei modelli statunitensi e trasferirle nei propri sistemi. Le accuse arrivano da Anthropic e dalle autorità di sicurezza degli Stati Uniti e trasformano la cosiddetta “distillazione” dei modelli in un nuovo terreno dello scontro economico e tecnologico tra Washington e Pechino.
Secondo un rapporto di Anthropic reso pubblico nel settembre 2026 e riportato dal Wall Street Journal, Moonshot AI e DeepSeek avrebbero instradato verso Claude richieste formulate originariamente dagli utenti dei loro servizi. Alcune contenevano informazioni sensibili, comprese password, credenziali aziendali e dati sulla posizione geografica. Moonshot avrebbe generato oltre 23 milioni di scambi con Claude fra maggio e luglio 2026.
Il caso è più ampio delle due aziende. L’8 settembre Nsa, Fbi e Cybersecurity and Infrastructure Security Agency hanno pubblicato l’advisory AA26-251A, nel quale indicano DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun e Z.ai come protagoniste di campagne di distillazione condotte su scala industriale contro modelli statunitensi. Le attività, secondo le tre agenzie, sarebbero iniziate almeno alla fine del 2024 e avrebbero estratto miliardi di token attraverso milioni di richieste rivolte a sistemi Claude, GPT, Gemini e Grok.
Indice degli argomenti:
Che cos’è la distillazione e perché Washington la contesta
La distillazione non nasce come tecnica clandestina. Nel machine learning indica il processo con cui un modello meno potente, lo “studente”, apprende dalle risposte prodotte da un modello più capace, il “docente”. Le aziende la impiegano normalmente per produrre sistemi più piccoli, economici e veloci.
Anthropic lo riconosce esplicitamente. In un rapporto del 23 febbraio 2026 spiegava che la distillazione costituisce una pratica legittima quando un laboratorio la applica ai propri modelli o quando dispone dei diritti necessari.
Il problema, secondo l’azienda, nasce quando un concorrente crea migliaia di account falsi, aggira restrizioni geografiche e condizioni contrattuali e raccoglie sistematicamente gli output di un modello proprietario per addestrare un prodotto rivale.
È proprio questa distinzione a rendere complesso il confronto giuridico. Non esiste una regola generale secondo cui apprendere dagli output di un altro modello costituisca automaticamente un furto di proprietà intellettuale. Una testimonianza presentata nel maggio 2025 alla commissione Giustizia della Camera statunitense sottolineava come copyright, brevetti e norme sui segreti commerciali non siano stati concepiti per una tecnica che tende a replicare capacità e comportamento di un sistema senza necessariamente copiarne codice o parametri. In diversi casi, il terreno più immediato per un contenzioso può quindi essere la violazione delle condizioni di utilizzo o l’accesso fraudolento ai servizi.
La posta economica è rilevante. Addestrare da zero un modello di frontiera richiede grandi quantità di chip avanzati, elettricità, dati e capitale. Utilizzare gli output di un sistema già sviluppato può ridurre una parte di questi costi e abbreviare il percorso necessario per ottenere capacità competitive.
Le “stazioni di trasferimento” tra Cina e Claude
Il nuovo elemento descritto da Anthropic riguarda la struttura utilizzata per raggiungere Claude da paesi nei quali il servizio non è normalmente disponibile.
Secondo l’azienda statunitense, alcuni operatori si sarebbero affidati a intermediari definiti “transfer stations”, servizi collocati fuori dalla Cina capaci di inoltrare le richieste ai modelli americani. In alcuni casi questi intermediari avrebbero utilizzato credenziali rubate o ottenute in modo fraudolento.
Lo schema consente di distribuire il traffico su un elevato numero di account e infrastrutture, rendendo più difficile individuare una campagna coordinata. Anthropic aveva già descritto a febbraio architetture composte da reti di account fraudolenti e servizi proxy: in un singolo caso, una rete avrebbe gestito più di 20 mila account contemporaneamente.
L’obiettivo non sarebbe semplicemente ottenere risposte dal chatbot. Una campagna di distillazione può sottoporre al modello decine di migliaia di varianti dello stesso problema, raccogliere le risposte e utilizzarle come materiale di addestramento o come base per tecniche di reinforcement learning.
Nell’advisory dell’8 settembre, Nsa, Fbi e Cisa descrivono una combinazione di Api ufficiali, servizi cloud remoti e aggregatori di terze parti impiegati per nascondere provenienza e metadati degli utenti. Le agenzie attribuiscono alle sei aziende cinesi attività dirette a estrarre capacità di ragionamento, programmazione, funzionamento degli agenti e altre specializzazioni.
Il caso Moonshot e i dati degli utenti Kimi
Le accuse rivolte a Moonshot sono particolarmente delicate perché coinvolgono anche la riservatezza dei clienti.
Secondo Anthropic, in un episodio un utente avrebbe chiesto a Kimi, il servizio sviluppato da Moonshot, di analizzare immagini provenienti da centinaia di telecamere di videosorveglianza di Chengdu per ricostruire gli spostamenti di una persona. La richiesta sarebbe stata inoltrata a Claude attraverso la rete di intermediari.
In un altro caso un ingegnere avrebbe inserito nel servizio Kimi credenziali di accesso appartenenti a diverse aziende mentre lavorava allo sviluppo di software. Anche questi dati sarebbero arrivati a Claude senza che l’utente sapesse che la sua richiesta veniva processata da un sistema esterno. Anthropic sostiene che Moonshot abbia prodotto più di 23 milioni di interazioni con Claude fra maggio e luglio.
Le contestazioni a Moonshot non iniziano a settembre. Nel rapporto del 23 febbraio Anthropic aveva già attribuito alla società oltre 3,4 milioni di scambi realizzati attraverso centinaia di account fraudolenti, finalizzati soprattutto all’estrazione di capacità legate a ragionamento, programmazione, analisi dei dati, computer vision e utilizzo autonomo di strumenti.
A luglio Michael Kratsios, direttore dell’Office of Science and Technology Policy della Casa Bianca, aveva poi accusato Moonshot di avere utilizzato il modello Fable di Anthropic nello sviluppo di Kimi K3. Il segretario al Tesoro Scott Bessent aveva risposto prospettando sanzioni e possibili inserimenti nelle blacklist commerciali americane nei casi in cui la distillazione su larga scala superasse, secondo Washington, la soglia del furto di proprietà intellettuale.
Alcuni ricercatori hanno però contestato l’idea che le prestazioni di Kimi K3 possano essere spiegate principalmente copiando Fable. Il modello Anthropic era disponibile pubblicamente da troppo poco tempo, sostenevano gli esperti citati da TechCrunch il 23 luglio, perché la distillazione potesse da sola giustificare l’intero sviluppo di K3.
DeepSeek, Alibaba e gli altri gruppi sotto accusa
Il dossier riguarda ormai buona parte dei laboratori cinesi che competono nella fascia più avanzata del mercato.
Anthropic aveva dichiarato a febbraio di avere identificato campagne riconducibili a DeepSeek, Moonshot e MiniMax per oltre 16 milioni di scambi complessivi attraverso circa 24 mila account fraudolenti. A DeepSeek attribuiva allora più di 150 mila conversazioni destinate a estrarre capacità di ragionamento e dati utili all’addestramento tramite reinforcement learning. MiniMax avrebbe superato i 13 milioni di scambi.
Le informazioni diffuse questa settimana dalle autorità statunitensi ampliano ulteriormente il perimetro. L’advisory indica anche Alibaba, StepFun e Z.ai e sostiene che le aziende abbiano colpito diversi produttori americani, non soltanto Anthropic. Secondo Nsa, Fbi e Cisa, fra i modelli presi di mira figurano varianti di Claude, Gpt, Gemini e Grok.
Le agenzie arrivano a sostenere che la distillazione su grande scala rappresenti una componente centrale della strategia di sviluppo dei gruppi coinvolti. Si tratta di un’affermazione delle autorità statunitensi, non di una conclusione indipendentemente dimostrata sull’intero settore cinese dell’AI.
Pechino ha respinto le accuse. Il 9 settembre il governo cinese ha definito infondate le contestazioni americane e ha accusato Washington di utilizzare il tema della sicurezza per limitare lo sviluppo tecnologico del paese. Il ministero degli Esteri cinese ha chiesto invece una maggiore cooperazione tra le due potenze nel campo dell’intelligenza artificiale.
Moonshot, interpellata dal Wall Street Journal sulle nuove accuse di Anthropic, non ha commentato; DeepSeek non ha risposto alle richieste del quotidiano.
La distillazione entra nella guerra dei chip
Il confronto interessa direttamente la politica americana sui semiconduttori.
Washington limita da anni l’esportazione verso la Cina dei processori più avanzati utilizzati per addestrare i grandi modelli. Se un laboratorio cinese riesce a trasferire una parte delle capacità sviluppate da aziende statunitensi in un proprio sistema spendendo meno potenza di calcolo, la distillazione può attenuare l’effetto economico delle restrizioni sui chip.
Anthropic sostiene apertamente questa tesi. In febbraio affermava che le campagne di distillazione consentono ai concorrenti di ottenere capacità avanzate a una frazione del tempo e del costo necessari per svilupparle autonomamente. La società appoggia inoltre controlli più severi sulle esportazioni di semiconduttori verso la Cina.
La posizione di Anthropic coincide in questo caso con una precisa scelta di politica industriale statunitense e deve essere letta anche alla luce degli interessi economici dell’azienda. Le società americane hanno investito miliardi di dollari in modelli, data center, chip e personale specializzato e hanno quindi un interesse diretto a impedire che concorrenti accedano gratuitamente ai risultati di quegli investimenti.
Una stretta molto ampia presenta però costi propri. Le imprese americane che impiegano modelli cinesi open-weight possono beneficiare di prezzi inferiori e di una maggiore concorrenza. Provvedimenti che limitassero indiscriminatamente l’accesso a questi sistemi potrebbero ridurre le alternative disponibili per sviluppatori e aziende.
Dalla proprietà intellettuale alla sicurezza nazionale
Anthropic collega inoltre la distillazione alla sicurezza dei modelli. Secondo la società, un sistema addestrato sulle capacità di Claude può acquisire parte delle prestazioni del modello senza ereditarne necessariamente tutte le protezioni contro usi pericolosi.
Il nuovo threat report segnala tentativi di utilizzare Claude per attività di hacking e ricerche biologiche potenzialmente pericolose. In uno dei casi descritti, un utente avrebbe cercato assistenza per adattare l’influenza aviaria in modo da aumentare la capacità di infettare mammiferi. Anthropic precisa che richieste di questo tipo non dimostrano automaticamente l’intenzione di produrre un’arma biologica, ma le considera esempi di ricerca dual use che richiede controlli più severi. Il Financial Times ha riferito di cinque episodi esaminati dalla società nel 2026.
Anthropic prevede nella propria roadmap di sicurezza controlli specifici per le capacità chimiche e biologiche dei modelli e ritiene possibile che sistemi futuri possano accelerare il lavoro di gruppi di ricerca altamente qualificati in settori sensibili.
Distillazione, privacy degli utenti, proprietà intellettuale, controlli sui chip e sicurezza nazionale stanno così convergendo nello stesso dossier. Per le aziende americane la capacità di riconoscere traffico prodotto artificialmente e bloccare reti di account coordinati diventa una forma di protezione del capitale tecnologico. Per i concorrenti cinesi, l’accesso ai migliori modelli stranieri può ridurre costi e tempi necessari per competere sulla frontiera dell’AI.
Washington dispone di diversi strumenti: restrizioni all’accesso ai modelli, controlli sulle esportazioni, sanzioni finanziarie, Entity List e obblighi di sicurezza per i fornitori. La difficoltà sarà applicarli senza trasformare ogni forma di apprendimento tra modelli in una violazione e senza ridurre la concorrenza che ha contribuito alla rapida caduta dei costi dell’intelligenza artificiale.
Le rivelazioni di settembre spostano comunque il problema fuori dai soli laboratori. Con Nsa, Fbi e Cisa schierati pubblicamente sul dossier, la distillazione dei modelli è ormai entrata nella politica commerciale e di sicurezza degli Stati Uniti. Il prossimo passaggio sarà stabilire quali comportamenti possano essere dimostrati, quali norme possano colpirli e quale prezzo economico Washington sia disposta a pagare per separare più nettamente gli ecosistemi tecnologici americano e cinese.
Partecipa alla community