Anthropic sostiene di aver individuato una serie di campagne coordinate per estrarre capacità dai suoi modelli Claude e trasformarle in materiale di addestramento per altri sistemi di intelligenza artificiale. Nel rapporto pubblicato il 10 settembre, l’azienda descrive quasi 200 milioni di interazioni riconducibili a cinque operazioni distinte e indica fra i soggetti coinvolti Alibaba, Moonshot AI e DeepSeek. Si tratta di accuse formulate dalla stessa Anthropic: le attribuzioni, i collegamenti fra account e le finalità delle richieste non risultano verificate in modo indipendente nel materiale disponibile.
Il dato più rilevante non è soltanto il volume. Per Anthropic, negli ultimi mesi le tecniche impiegate da laboratori non autorizzati sarebbero diventate più efficaci nell’aggirare le protezioni progettate per impedire l’estrazione delle capacità più preziose dei modelli di frontiera statunitensi. Nel bersaglio ci sarebbero il ragionamento logico, l’analisi dei dati, la programmazione, l’uso di strumenti esterni e le funzioni agentiche: ambiti che rendono un modello più utile nei flussi di lavoro complessi e che richiedono investimenti consistenti per essere sviluppati.
Che cosa Anthropic intende per distillazione
La distillazione, nel contesto descritto dal rapporto, consiste nell’interrogare ripetutamente un modello avanzato per raccoglierne risposte e, soprattutto, passaggi di ragionamento utilizzabili come esempi per addestrare un modello più piccolo. Questo materiale può poi alimentare un processo di supervised fine-tuning, cioè un perfezionamento supervisionato che insegna al sistema ricevente a replicare determinati comportamenti o abilità generali di ragionamento.
Anthropic non mette normalmente a disposizione degli utenti la traccia interna completa del ragionamento di Claude. Al suo posto, il prodotto mostra blocchi di “summarized thinking”, sintesi che offrono un quadro generale senza esporre integralmente il processo elaborativo. Le campagne individuate, secondo l’azienda, avrebbero cercato precisamente di superare questa separazione, inducendo il modello a rivelare direttamente parti delle proprie tracce di ragionamento.
Uno degli espedienti rilevati aiuta a capire il tipo di pressione esercitata sui sistemi. Una richiesta si presentava come un compito di traduzione e chiedeva di convertire la memoria di lavoro precedente in giapponese composto soltanto da katakana. In questa cornice apparentemente innocua, l’obiettivo sarebbe stato ottenere contenuti che il modello non dovrebbe restituire in forma esplicita. Il rapporto non suggerisce quindi un singolo attacco tecnico spettacolare, ma un’attività insistente di sperimentazione sui prompt, distribuita su molti account e orientata a trovare falle operative nei comportamenti del modello.
Il caso Alibaba: 151 milioni di scambi in tre mesi
La parte più ampia dell’attività descritta da Anthropic viene attribuita ad Alibaba. Fra maggio e luglio 2026, l’azienda afferma di aver osservato 151 milioni di scambi legati a quella che definisce la più grande operazione di distillazione su larga scala mai rilevata internamente. Il ritmo avrebbe raggiunto un picco vicino ai tre milioni di interazioni quotidiane.
Le richieste sarebbero arrivate attraverso circa 3.500 account. Per Anthropic, tuttavia, la frammentazione degli accessi non esclude un coordinamento: il collegamento fra gli account deriverebbe dall’impiego di un medesimo prompt fisso, usato per tentare l’estrazione dei passaggi di ragionamento. Sulla base di questo elemento, la società attribuisce l’operazione a un unico sforzo destinato a produrre dati di training per la famiglia di modelli Qwen di Alibaba.
È un passaggio delicato, perché sposta il confronto dalla semplice imitazione di output pubblici alla raccolta industrializzata di dati generati da un concorrente. La distillazione, come tecnica in senso generale, può avere anche impieghi legittimi nello sviluppo di modelli; qui la contestazione riguarda invece l’accesso non autorizzato, l’uso di account multipli e i tentativi di aggirare le protezioni di Claude. Anthropic presenta questi elementi come indicatori di un’operazione intenzionale, non come normali interrogazioni di prodotto.
Moonshot AI e le richieste ricondotte a impieghi di sorveglianza
Un’altra campagna viene associata a Moonshot AI, sviluppatore del modello Kimi. Secondo Anthropic, in un periodo di dieci giorni quasi 300 mila richieste sarebbero state inoltrate a Claude attraverso una rete di 5.000 account, con un’attenzione prevalente al modello Opus. Il rapporto sostiene inoltre che alcune richieste sembravano essere instradate direttamente dall’apparato militare cinese.
Fra gli esempi citati compare l’analisi di un archivio di video di sorveglianza a circuito chiuso per stabilire se una persona ripresa stesse mostrando comportamenti anomali. Anthropic non fornisce, nel materiale riportato, ulteriori elementi pubblici per chiarire il contesto di quella richiesta, né per ricostruire il rapporto operativo fra Moonshot AI e i soggetti che l’avrebbero inoltrata. Resta comunque un dettaglio importante: la denuncia non riguarda soltanto la replica di capacità di coding o ragionamento, ma include potenziali utilizzi sensibili di analisi visiva e sorveglianza.
DeepSeek è fra le aziende citate nel quadro delle campagne dettagliate da Anthropic, ma i dettagli specifici relativi alle attività attribuite alla società non sono presenti nel materiale disponibile. In precedenza, OpenAI aveva segnalato attività analoghe attribuendole proprio a DeepSeek. Anthropic, dal canto suo, aveva già richiamato l’attenzione sul fenomeno della distillazione a febbraio, arrivando allora a menzionare alcuni laboratori specifici. Il nuovo rapporto alza però la scala dell’allarme, sia per il numero di richieste osservate sia per la varietà dei metodi descritti.
La competizione sui modelli passa anche dalla difesa dei dati
Il rapporto arriva mentre la concorrenza fra sviluppatori di modelli generativi è sempre più legata alla qualità delle capacità di ragionamento e di uso degli strumenti. Queste capacità non dipendono soltanto dalle dimensioni di un modello o dalla quantità di testo su cui è stato addestrato: contano il lavoro di post-addestramento, la selezione dei dati, i test e le procedure che rendono le risposte più affidabili in compiti articolati. Se tali comportamenti possono essere osservati e riutilizzati sistematicamente, chi sviluppa un modello rivale può ridurre parte del vantaggio ottenuto dal laboratorio che li ha costruiti.
Per le aziende statunitensi, il problema è quindi insieme commerciale e di sicurezza. La disponibilità via API o tramite prodotti conversazionali permette di mettere modelli potenti nelle mani di sviluppatori e imprese, ma crea anche una superficie da monitorare: milioni di richieste apparentemente separate possono rivelare uno schema solo quando vengono analizzate nel loro insieme. Nel caso riportato da Anthropic, gli indicatori includono prompt ripetuti, reti di account e concentrazione su specifiche funzioni di Claude.
La denuncia evidenzia anche un limite strutturale delle protezioni attuali. Filtrare singoli prompt malevoli può non bastare quando gli attori testano formulazioni alternative, mascherano l’obiettivo come una traduzione o distribuiscono il carico su migliaia di identità. Per contrastare queste attività servono controlli capaci di cogliere correlazioni nel tempo, senza trasformare l’accesso ordinario ai modelli in un percorso impraticabile per gli utenti legittimi. Anthropic non dettaglia, nel resoconto disponibile, quali contromisure aggiuntive abbia adottato dopo aver individuato le cinque campagne.
Non sono indicate neppure conseguenze formali immediate nei confronti delle aziende nominate. Ciò che cambia fin d’ora è il livello di esposizione pubblica del tema: Anthropic mette numeri, nomi e tecniche al centro di una disputa che fino a pochi mesi fa restava più spesso confinata alle discussioni sui prompt e sulle policy delle API. La risposta delle società chiamate in causa, così come eventuali verifiche indipendenti sulle attribuzioni, sarà essenziale per stabilire quanto il rapporto possa tradursi in nuove restrizioni di accesso, contenziosi o misure politiche sul trasferimento delle capacità dei modelli di frontiera.
