IA · 10 settembre 2026 · 4 min di lettura
Operazione distillazione: l'intelligence USA accusa la Cina di clonare i modelli di frontiera
In sintesi: Un avviso congiunto di NSA, CISA ed FBI ha accusato formalmente sei tra le maggiori aziende cinesi di intelligenza artificiale di aver clonato sistematicamente le capacità dei modelli di frontiera statunitensi tramite distillazione su scala industriale. Sfruttando proxy, milioni di account civetta e tecniche avanzate di prompt injection per carpire il ragionamento nascosto delle macchine, i laboratori cinesi avrebbero risparmiato miliardi di dollari di addestramento. Washington ora esorta i fornitori di IA ad adottare contromisure radicali, inclusa la degradazione silenziosa delle risposte per gli account sospetti.
di Team Mocchi's
Lo scontro geopolitico sull'intelligenza artificiale ha superato la soglia della diplomazia economica ed è entrato a pieno titolo nel perimetro della sicurezza nazionale. In una presa di posizione congiunta senza precedenti, la National Security Agency (NSA), la Cybersecurity and Infrastructure Security Agency (CISA) e l'FBI hanno pubblicato un dossier formale in cui accusano apertamente sei aziende cinesi di aver condotto campagne sistematiche e coordinate per sottrarre la proprietà intellettuale e le capacità di calcolo dei principali modelli americani. Nel mirino delle agenzie federali figurano nomi di primo piano dell'ecosistema tech asiatico: DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun e Z.AI.
Come riporta un'accurata analisi di Ars Technica, le attività contestate sarebbero iniziate almeno alla fine del 2024 e avrebbero agito con il probabile consenso governativo di Pechino. L'obiettivo dell'operazione non era la semplice copia di pesi o codice sorgente, bensì una massiccia campagna di distillazione: interrogare senza sosta i modelli più evoluti del mercato per catturarne le logiche interne e riaddestrare modelli domestici a costi infinitamente inferiori.
Anatomia della distillazione: proxy, swarm di account e prompt injection
Il documento delle agenzie federali descrive una strategia meticolosa e distribuita, studiata per aggirare le protezioni commerciali e geografiche predisposte dai laboratori occidentali. Per bypassare i blocchi IP, le aziende incriminate avrebbero fatto ricorso a vasti mercati grigi di proxy residenziali, attraverso i quali instradavano il traffico di decine di migliaia di account apparentemente slegati tra loro.
Questi sciami di identità fittizie — alimentati anche dall'acquisto all'ingrosso di abbonamenti aziendali premium condivisi tra interi team di sviluppo — lanciavano sequenze di query pressoché identiche su specifici domini di conoscenza. Le agenzie parlano di volumi compresi tra le migliaia e i milioni di richieste ripetute nell'arco di settimane o mesi, mirate a estrarre risposte dettagliate e scenari complessi da famiglie di modelli come Claude, GPT, Gemini e Grok.
L'aspetto tecnicamente più rilevante riguarda l'uso di prompt injection studiate per forzare i meccanismi di allineamento e aggirare le barriere di riservatezza. Nello specifico, i ricercatori coinvolti avrebbero costretto i modelli a esplicitare passo dopo passo il proprio ragionamento logico interno (la cosiddetta chain-of-thought), una componente che le aziende americane tengono storicamente celata dietro le API. Catturando queste tracce di pensiero computazionale, i concorrenti cinesi sono riusciti ad addestrare le proprie architetture su dataset sintetici di altissima qualità, comprimendo drasticamente tempi e investimenti di ricerca.
La contromossa di Washington: il declassamento silenzioso
Di fronte a un fenomeno che minaccia di erodere il vantaggio competitivo statunitense, NSA, CISA ed FBI non si sono limitate a denunciare l'accaduto, ma hanno delineato linee guida operative per i fornitori di cloud e IA. Oltre a un monitoraggio più severo dei pattern di query anomale e delle reti proxy, le autorità federali suggeriscono una strategia difensiva non convenzionale: il declassamento invisibile (silent downgrading).
Invece di bloccare gli account fraudolenti — una mossa che spingerebbe immediatamente gli attaccanti a ruotare indirizzi IP e credenziali — le agenzie raccomandano di reindirizzare silenziosamente le query sospette verso modelli più vecchi, degradati o deliberatamente depotenziati. In questo modo, le aziende che tentano la distillazione continuano a pagare per le chiamate API e a consumare risorse, ma finiscono per raccogliere dati sintetici mediocri o viziati da errori impercettibili, vanificando i loro tentativi di imitazione.
Attriti in arrivo per l'intero ecosistema software
Sebbene mirate contro attori statali e grandi aziende estere, le raccomandazioni di sicurezza rischiano di avere ricadute immediate sull'intera comunità di sviluppatori e sulle integrazioni aziendali lecite. Per individuare le campagne di estrazione, le big tech saranno costrette a intensificare i controlli euristici, l'analisi del traffico e le limitazioni sulle chiamate contemporanee ad alto volume.
Questo irrigidimento delle policy di accesso potrebbe generare falsi positivi per tutte quelle applicazioni aziendali legittime che fanno un uso intensivo delle API per task di automazione, generazione documentale o migrazione dati. Il timore diffuso tra i tecnici è che l'introduzione di trappole algoritmiche e controlli sempre più invasivi finisca per appesantire la latenza e ridurre la trasparenza delle piattaforme di frontiera.
Il punto di Mocchi's
Questa vicenda segna la fine definitiva dell'illusione di un accesso neutrale e lineare alle API dei grandi modelli di frontiera. Per noi e per le aziende italiane che sviluppano su queste piattaforme, il messaggio è inequivocabile: la qualità del ragionamento generato dalle macchine è ormai considerata un asset strategico difendibile con logiche di controspionaggio. Nel progettare architetture software aziendali avanzate non possiamo più limitarci a consumare un endpoint considerandolo affidabile a prescindere, ma dobbiamo implementare verifiche continuative sulla coerenza degli output per accertarci di non finire intrappolati nelle maglie dei filtri anti-distillazione. Proteggere i propri flussi di automazione con identità applicative chiare, contratti trasparenti e benchmark interni di validazione qualitativa diventa una condizione imprescindibile di resilienza operativa.