NSA, CISA e FBI accusano sei società cinesi – DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun e Z.AI – di avere condotto, almeno dalla fine del 2024, campagne sistematiche per trasferire nei propri sistemi le capacità dei principali modelli statunitensi.
Secondo l’avviso congiunto, le aziende avrebbero inviato milioni di richieste a varianti di Claude, GPT, Gemini e Grok, ottenendo miliardi di token da utilizzare nei processi di knowledge distillation. L’attività non sarebbe stata un’integrazione marginale della ricerca cinese, ma una componente centrale della strategia di sviluppo, probabilmente condotta con la consapevolezza del governo di Pechino.
Dalla distillazione legittima all’estrazione organizzata
La distillazione è una tecnica comune che permette di addestrare un modello più piccolo a riprodurre risposte e capacità di uno più grande. L’accusa statunitense riguarda però la scala, l’organizzazione e le modalità impiegate per acquisire funzionalità proprietarie senza sostenere integralmente i costi necessari a svilupparle.
Le capacità ricercate comprenderebbero ragionamento, programmazione, competenze specialistiche e funzioni agentiche. In questo modo, le aziende coinvolte potrebbero ridurre sia i tempi di sviluppo sia le enormi spese computazionali richieste per addestrare un modello di frontiera.
Il caso più dettagliato riguarda DeepSeek, accusata di avere utilizzato dati ottenuti da differenti versioni di Claude, GPT e Gemini per contribuire allo sviluppo dei modelli R1 e V3. L’estrazione avrebbe interessato anche conoscenze giuridiche e processi di ragionamento passo dopo passo, normalmente protetti dai fornitori.
Un’infrastruttura pronta a colpire i nuovi modelli
Le operazioni descritte appaiono continuative e altamente coordinate. Moonshot AI avrebbe reindirizzato il traffico di estrazione verso una nuova versione di Claude entro 24 ore dal suo rilascio. Una simile rapidità presuppone infrastrutture già predisposte, capaci di monitorare in tempo reale l’offerta dei concorrenti e avviare automaticamente nuove campagne.
Le aziende avrebbero acquistato numerosi account premium, condividendoli tra gruppi di sviluppatori attivi simultaneamente. Il traffico sarebbe stato instradato attraverso servizi proxy del mercato grigio, definiti “transfer stations”, per nasconderne l’origine e aggirare i controlli.
StepFun avrebbe utilizzato gruppi di account e sistemi automatizzati per distribuire le richieste, superare i limiti operativi e incrementare progressivamente il volume della raccolta. MiniMax avrebbe invece tentato di manipolare Claude Code tramite prompt injection, cercando di convincere il sistema di essere un prodotto MiniMax e indurlo così a modificare il proprio comportamento.
Indicatori e contromisure
L’avviso indica alcuni segnali che, se osservati congiuntamente, possono rivelare una campagna di distillazione: account condivisi tra molteplici indirizzi IP e dispositivi, attività ininterrotta senza le pause tipiche degli utenti umani, rapporti anomali tra abbonamenti e consumo delle API e profili appena creati che raggiungono immediatamente i limiti massimi.
Le contromisure proposte non si limitano al blocco degli account. Le agenzie suggeriscono anche di fornire in modo discreto risposte degradate ai soggetti sospettati, senza informarli della riduzione della qualità. L’obiettivo sarebbe impedire agli operatori di riconoscere il rilevamento e adattare le proprie tecniche.
Si tratta di una forma di controinganno digitale: il fornitore non chiude necessariamente l’accesso, ma contamina la risorsa che l’avversario tenta di acquisire. Questa strategia può rendere meno affidabili i dati estratti, ma introduce problemi di trasparenza e il rischio di colpire utenti legittimi con profili d’uso intensivi.
La prospettiva geostrategica
L’accusa colloca la distillazione dei modelli nel cuore della competizione tecnologica tra Stati Uniti e Cina. Il valore strategico dell’IA non risiede soltanto nei semiconduttori e nei data center: comprende i risultati degli addestramenti, le capacità emergenti e il patrimonio di conoscenza incorporato nei modelli.
Per Washington, l’estrazione industriale equivale a un trasferimento accelerato di proprietà intellettuale che consente ai concorrenti cinesi di aggirare almeno in parte i vincoli sull’accesso ai chip avanzati. Per Pechino, tecniche di questo tipo potrebbero contribuire a ridurre il divario con gli Stati Uniti nonostante le restrizioni tecnologiche e finanziarie.
Il confronto è destinato a spostarsi sempre più verso il controllo dell’accesso ai modelli. Autenticazione, analisi comportamentale, limiti di utilizzo e tracciamento del traffico diventeranno strumenti di sicurezza economica, mentre i fornitori saranno incentivati a trattare richieste apparentemente commerciali come possibili operazioni di raccolta avversaria.
Ne deriva anche un problema per le imprese. Account condivisi e utilizzo continuo da parte di grandi gruppi di sviluppatori potrebbero assomigliare ai comportamenti segnalati dalle agenzie e generare falsi positivi. La protezione dei modelli dovrà quindi conciliare sicurezza, riservatezza degli utenti e continuità dei servizi legittimi.
La competizione sull’IA entra così in una fase nella quale non basta costruire il modello migliore: occorre impedire che le sue capacità vengano replicate sistematicamente dai concorrenti. La distillazione diventa contemporaneamente tecnica industriale, questione di proprietà intellettuale e strumento della rivalità strategica sino-americana.
Fonte: Security Affairs – Autore: Pierluigi Paganini
The Global Eye è in partnership con SIOI – Società Italiana per l’Organizzazione Internazionale
