Anthropic ha accusato Alibaba di condurre la più grande campagna di distillazione di modelli illeciti mai misurata, parte di un'ondata di attacchi di estrazione da sette laboratori di intelligenza artificiale con sede in Cina che la società afferma di aver rilevato e interrotto a partire da febbraio 2026. Le accuse compaiono nel rapporto di intelligence sulle minacce di settembre 2026 di Anthropic, pubblicato giovedì, che dedica un'intera sezione ai tentativi su scala industriale di clonare le capacità di Claude.
La divulgazione è il resoconto pubblico più dettagliato finora di una pratica che è diventata silenziosamente uno dei problemi più controversi del settore dell’intelligenza artificiale. Per chiunque segua le ultime notizie sull’intelligenza artificiale, il rapporto si legge come un’escalation nella battaglia in corso tra i laboratori di frontiera statunitensi e i concorrenti cinesi su chi controlla i modelli più capaci e su come tali capacità vengono ottenute.
Cosa ha fatto Anthropic secondo Alibaba
Secondo il rapporto, gli operatori affiliati al Qwen, o Tongyi, Lab di Alibaba hanno inserito un prompt fisso in ogni richiesta che costringeva Claude a scrivere l'intera catena di ragionamento all'interno di tag di testo in linea prima di rispondere. Le trascrizioni dei ragionamenti sono state poi salvate e convertite in dati di messa a punto supervisionati, che secondo Anthropic sono stati utilizzati per aiutare ad addestrare Qwen 3.5, 3.6 e 3.7.
La scala è sorprendente. Anthropic afferma che la campagna ha preso di mira le trascrizioni della catena di pensiero di Opus 4.6 e 4.7, ha raggiunto il picco di quasi 3 milioni di scambi al giorno lanciati da oltre 3.500 account fraudolenti e ha totalizzato oltre 151 milioni di scambi osservati tra maggio e luglio 2026. La società afferma che l'operazione ha attraversato due pool di quasi 5.000 account fraudolenti che utilizzavano proxy residenziali, indirizzi e-mail usa e getta e pagamenti con carte virtuali per nascondere le loro tracce. Quando Anthropic ha bandito il primo pool, il traffico si è semplicemente spostato sul secondo.
Al di là della distillazione, il rapporto sostiene che Alibaba ha utilizzato Claude anche per portare avanti la propria ricerca e sviluppo sull’intelligenza artificiale, compresa la costruzione di ambienti di apprendimento di rinforzo e la ricerca sull’architettura dei modelli. Anthropic afferma che alcuni account incanalano richieste anche da DeepSeek e Xiaomi, suggerendo che le stesse reti proxy servono più organizzazioni.
Moonshot ha servito Claude al posto di Kimi
Le accuse contro Moonshot AI, il produttore della famiglia di modelli Kimi, sono forse le più insolite. Anthropic riferisce che Moonshot inoltrava silenziosamente le richieste dei clienti a Claude invece di elaborarle con i propri modelli, quindi mostrava le risposte di Claude agli utenti che credevano di parlare con Kimi.
In un caso, Anthropic ha contato quasi 300.000 richieste di clienti inoltrate ad Anthropic in soli dieci giorni, la stragrande maggioranza indirizzata a Opus. L'operazione si è svolta attraverso una rete proxy di 5.380 conti fraudolenti, la maggior parte dei quali sembra essere situata a Singapore e in Giappone. Tra maggio e luglio 2026, Anthropic attribuisce alla campagna più di 23 milioni di scambi.
Moonshot ha anche creato quello che Anthropic chiama un attacco di replay a sessioni incrociate: salvando la "firma pensante" crittografata Claude restituisce invece del ragionamento grezzo, quindi avvia una nuova sessione e chiede a Claude di riconvertire quella firma nella traccia del ragionamento completo. Anthropic afferma che DeepSeek ha utilizzato la stessa tecnica e che vengono implementate nuove difese contro di essa.
Il rapporto segnala una grave dimensione relativa alla privacy: le query degli utenti reindirizzate da Moonshot includevano informazioni sensibili che i suoi clienti non hanno mai acconsentito a condividere con terzi. Gli esempi includono un utente probabilmente affiliato all'Esercito popolare di liberazione cinese che analizza i dati di sorveglianza CCTV di un individuo preso di mira da centinaia di telecamere a Chengdu e un ingegnere di un'importante azienda statale cinese il cui codice interno e credenziali attive sono passate attraverso Claude a sua insaputa.
Operazione di inoltro di DeepSeek
Anthropic afferma che DeepSeek ha implementato tattiche simili, inoltrando silenziosamente le richieste degli utenti a Claude Opus e raccogliendo tracce di ragionamento tramite lo stesso metodo di riproduzione delle sessioni incrociate. Secondo quanto riferito, la società ha identificato gli obiettivi controllando le richieste in entrata di stringhe associate a cablaggi di codifica di terze parti come Claude Code, Claude Agent SDK e OpenCode, quindi ha selezionato le richieste di inoltro degli utenti taggati.
La scala attribuita a DeepSeek: oltre 12,1 milioni di scambi osservati in soli 14 giorni nel luglio 2026. I dati trasmessi hanno rivelato ciò che gli utenti sicuramente presumevano fosse privato. Gli esempi di Anthropic includono un dipendente di un'azienda tecnologica cinese che analizza la documentazione interna per un programma di intelligenza artificiale di punta, un operatore IT che lavora con i dati di un'agenzia governativa russa associata al Ministero della Difesa le cui richieste hanno rivelato credenziali di database in tempo reale e ingegneri di un ufficio municipale di pubblica sicurezza in Cina che costruisce uno strumento che traccia i movimenti delle persone rispetto ai registri della polizia in base al numero di identificazione nazionale.
Zhipu, Xiaomi e il modello più ampio
Il rapporto attribuisce inoltre una campagna di estrazione basata sulla catena di pensiero a Zhipu AI, che si autodefinisce Z.ai fuori dalla Cina. Anthropic afferma che Zhipu ha gestito la sua pipeline contro Opus 4.8 ruotando 273 account fraudolenti nell'arco di dieci giorni a giugno, contando 770.609 scambi attraverso il suo pulitore di estrazione CoT e oltre 3 milioni di scambi totali nello stesso periodo.
DeepSeek, Xiaomi e Moonshot sono accusati separatamente di aver inserito in Claude le conversazioni tra i propri utenti e modelli come dati di addestramento. Anthropic afferma che quelle sessioni contenevano nomi, indirizzi e-mail, dati aziendali e altre informazioni sensibili di centinaia di utenti finali in almeno una dozzina di lingue - la maggior parte delle quali trasmesse attraverso servizi di routing di terze parti popolari tra gli utenti negli Stati Uniti e in Europa - e che le pratiche sono probabilmente incoerenti con le leggi sulla privacy e i termini di servizio dei laboratori.
Perché la distillazione è così difficile da fermare
La distillazione stessa è un metodo di formazione legittimo e ampiamente utilizzato: un modello di "studente" più piccolo impara dai risultati di un modello di "insegnante" più grande. Ciò che Anthropic definisce illecita è la versione segreta su scala industriale: account falsi costruiti su carte di credito, credenziali e chiavi API rubate, oltre a trascrizioni degli utenti acquistate da servizi proxy che salvano le conversazioni all'insaputa degli utenti.
I tentativi di estrazione documentati nel rapporto vanno dal brusco al creativo. Un laboratorio ha eseguito un esperimento con 12.000 richieste, ciascuna richiesta utilizzando una tecnica diversa, per scoprire quali avrebbero estratto il ragionamento di Claude. Un altro ha ordinato al modello di "tradurre" la sua precedente memoria di lavoro in giapponese solo katakana per superare i filtri anti-distillazione.
OpenAI ha segnalato pubblicamente gli attacchi alla distillazione dall’inizio del 2025 e Google ha pubblicato un tracker delle minacce sulla distillazione contraddittoria all’inizio di quest’anno. Il contributo di Anthropic è scala e specificità: laboratori con nome, modelli con nome e numeri concreti.
Anthropic afferma che tutti gli attacchi dei sette laboratori hanno preso di mira i suoi modelli generalmente disponibili e che non ha osservato alcun tentativo contro i suoi sistemi limitati Mythos 5 o Mythos Preview, che non sono accessibili al pubblico. Rileva inoltre che i modelli distillati dai sistemi di frontiera non ereditano nessuno dei loro guardrail di sicurezza – e che la sua stessa ricerca suggerisce che la distillazione può aumentare capacità pericolose nei domini biologici e informatici anche quando gli scambi raccolti contengono poco su questi argomenti.
L’azienda afferma che ogni campagna descritta è stata interrotta, che le misure di sicurezza sono state rafforzate in risposta e che le informazioni sono state condivise con le autorità e i partner del settore, ove appropriato. Se dare nomi cambierà l’economia della clonazione dei modelli di frontiera – o semplicemente documenterà una corsa agli armamenti già in pieno svolgimento – dipenderà da ciò che accadrà dopo.
---
Stai al passo con l'intelligenza artificialeRicevi le ultime notizie, analisi e scoperte sull'intelligenza artificiale, tutto in un unico posto.
Leggi altre notizie sull'AI →
