Per anni la competizione tecnologica tra Stati Uniti e Cina sull’intelligenza artificiale è stata raccontata soprattutto attraverso i semiconduttori: quali GPU possono essere esportate, chi controlla le macchine litografiche, quanta capacità di calcolo riesce ad acquistare Pechino e quanto rapidamente l’industria cinese può costruire alternative domestiche. L’8 settembre Washington ha reso esplicito un secondo fronte: le API.
NSA, FBI e CISA hanno pubblicato un advisory congiunto accusando sei aziende cinesi — DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun e Z.AI — di aver condotto, almeno dalla fine del 2024, campagne di “knowledge distillation” ad altissimo volume contro modelli di frontiera statunitensi. Secondo le agenzie, le società avrebbero estratto miliardi di token attraverso milioni di richieste, utilizzando output di modelli come Claude, GPT, Gemini e Grok per accelerare lo sviluppo delle proprie capacità.
È un’accusa del governo statunitense, non una sentenza giudiziaria. Le aziende citate non vanno quindi trattate come se una responsabilità legale fosse già stata accertata. Ma la portata tecnica dell’advisory è notevole perché descrive in dettaglio un problema che i laboratori di AI discutono da tempo: un modello accessibile via API non espone i propri pesi, ma può comunque rivelare una quantità enorme del proprio comportamento a chi lo interroga abbastanza volte e con la strategia giusta.
Che cosa significa davvero “distillare” un modello
La distillazione non nasce come tecnica malevola. È un metodo comune nel machine learning: un modello più grande e costoso, chiamato spesso teacher, produce risposte utilizzate per addestrare un modello più piccolo, lo student. L’obiettivo può essere ridurre costi, latenza e consumo energetico mantenendo una parte significativa delle capacità del sistema originario.
Il problema cambia quando il teacher appartiene a un’altra azienda, il suo utilizzo per addestrare un concorrente è vietato dai termini di servizio e le richieste vengono progettate per estrarre sistematicamente capacità proprietarie. È questa la distinzione su cui insistono le agenzie statunitensi.
Secondo l’advisory, le campagne non sarebbero consistite in qualche migliaio di prompt sperimentali, ma in un’attività organizzata e industriale. Le agenzie parlano di miliardi di token e milioni di scambi, con richieste mirate a ragionamento, programmazione, capacità agentiche, scrittura, ottimizzazione di dataset e altre funzioni specialistiche.
In pratica, se un laboratorio possiede un modello molto forte ma non può vedere i pesi di un concorrente, può comunque provare a costruire una gigantesca collezione di esempi input-output. Quella collezione diventa materiale di addestramento.
Le API diventano una superficie strategica
Per le aziende di AI le API sono state finora soprattutto un canale commerciale: il modo in cui sviluppatori e imprese pagano per usare un modello. Ma l’advisory mostra il loro secondo ruolo: sono anche un confine di sicurezza.
Ogni richiesta legittima rivela inevitabilmente qualcosa sul comportamento del modello. Se un attore riesce a moltiplicare quelle richieste e a variare sistematicamente i compiti, può costruire una mappa sempre più precisa delle capacità del sistema. Il confine tra normale utilizzo intensivo e campagna di estrazione non è sempre ovvio.
Le agenzie statunitensi sostengono inoltre che gli operatori citati abbiano usato diversi percorsi per aggirare controlli e limitazioni, incluse API native, provider cloud remoti, aggregatori di terze parti e una rete di proxy descritta nell’advisory come “transfer stations”. L’obiettivo sarebbe nascondere l’identità o l’origine delle richieste e distribuire il traffico su più account e intermediari.
Se questa tecnica diventa comune, i laboratori dovranno trattare la protezione delle capacità del modello in modo simile alla protezione contro frodi e scraping: non soltanto autenticazione, ma analisi comportamentale, correlazione tra account, rate limit dinamici e condivisione di indicatori tra provider.
La distillazione complica il significato di “frontiera”
Un modello di frontiera richiede investimenti enormi in ricerca, dati, infrastruttura e calcolo. Se una parte delle sue capacità può essere trasferita più rapidamente a sistemi concorrenti attraverso grandi quantità di output sintetico, il vantaggio temporale di chi arriva per primo può ridursi.
È questo il cuore strategico dell’accusa americana. NSA, FBI e CISA sostengono che le campagne consentano alle aziende cinesi di ridurre il divario tecnologico evitando una parte dei costi di ricerca e calcolo necessari per costruire da zero certe capacità.
Ma la questione non è bianca o nera. Tutta l’industria dell’AI utilizza dati sintetici, output di altri modelli e tecniche di teacher-student learning. Molti modelli open source vengono esplicitamente distillati. Il confine controverso nasce dalla combinazione di accesso non autorizzato, violazione dei termini contrattuali, elusione dei controlli e scala dell’attività.
Questo rende difficile applicare categorie tradizionali come “furto” in modo automatico. Reuters ha descritto l’advisory come un’accusa di copia malevola della tecnologia AI, ma il problema giuridico dipenderà dai contratti, dalle modalità di accesso e dalle leggi applicabili. La tecnica in sé non è illegale.
Perché il caso DeepSeek aveva già aperto la questione
Il dibattito sulla distillazione era esploso già quando DeepSeek aveva mostrato modelli capaci di competere con sistemi occidentali molto più costosi. Da allora i laboratori statunitensi hanno rafforzato i controlli sull’uso delle proprie API per generare dataset di training.
L’advisory del 2026 rappresenta un salto perché porta l’argomento dal confronto commerciale alla sicurezza nazionale. Non è più soltanto una società che sostiene che un concorrente abbia violato i propri termini: sono tre agenzie federali a descrivere il fenomeno come una campagna coordinata di scala industriale.
Le agenzie arrivano anche ad affermare che le attività sarebbero avvenute “likely with Chinese government awareness”. È una formulazione importante ma prudente: indica una valutazione d’intelligence, non la prova pubblica di un ordine diretto del governo cinese.
Una corsa agli armamenti nei sistemi anti-distillazione
Le contromisure potrebbero cambiare il modo in cui utilizziamo le API. Per riconoscere una campagna di distillazione, un provider deve capire se molte richieste apparentemente normali fanno parte di un unico schema. Questo spinge verso più raccolta di telemetria, fingerprinting, analisi degli account e monitoraggio dell’origine del traffico.
Qui emerge un trade-off. Più un servizio vuole impedire l’estrazione sistematica, più potrebbe diventare aggressivo nel classificare gli utenti. Ricercatori, startup o grandi clienti che fanno molte richieste legittime potrebbero essere scambiati per distillatori. La sicurezza delle capacità proprietarie può quindi entrare in tensione con apertura, privacy e facilità d’uso.
È probabile che nasceranno anche tecniche progettate per rendere meno utile il dataset estratto: variazioni controllate nelle risposte, watermark statistici, sistemi di rilevamento dei pattern di query e limiti specifici per categorie di task particolarmente informative. Ma ogni difesa avrà un costo in qualità o frizione.
La geopolitica dell’AI non passa più soltanto dall’hardware
Gli Stati Uniti hanno cercato di rallentare l’accesso cinese ai chip avanzati perché il calcolo è una risorsa fisica relativamente controllabile: GPU, interconnessioni, macchine di produzione e data center possono essere sottoposti a licenze ed export control.
La conoscenza di un modello è molto più difficile da confinare. Una volta che un sistema viene reso disponibile su internet, ogni output diventa potenzialmente un piccolo pezzo di informazione su ciò che ha imparato. Non serve trasferire fisicamente un chip per attraversare il confine: basta una chiamata API.
Questo non rende inutili i controlli sui semiconduttori. Significa che la politica industriale dell’AI dovrà considerare contemporaneamente hardware e accesso ai modelli. Limitare il compute ma lasciare completamente aperta la possibilità di estrarre capacità dai modelli più avanzati può ridurre l’efficacia del primo strumento.
Il rischio di una rete AI più chiusa
La risposta più semplice sarebbe restringere drasticamente l’accesso. Ma sarebbe anche una perdita per l’ecosistema americano, che ha costruito una parte della propria forza proprio sulla diffusione globale delle API e degli strumenti sviluppatori.
Se ogni cliente straniero viene visto come un potenziale vettore di distillazione, l’AI rischia di frammentarsi in blocchi nazionali. I modelli potrebbero essere distribuiti con capacità diverse in base alla geografia, con limiti più aggressivi e controlli d’identità più forti.
Il paradosso è evidente: gli Stati Uniti vogliono proteggere il proprio vantaggio, ma quel vantaggio dipende anche dal fatto che imprese e sviluppatori di tutto il mondo usino i loro modelli. Un sistema troppo chiuso potrebbe spingere utenti e mercati verso alternative.
La vera domanda è quanto valore si possa estrarre dall’output
Al di là dello scontro diplomatico, l’advisory solleva una questione tecnica fondamentale per tutta l’industria: quanto di un modello proprietario può essere ricostruito osservandone abbastanza risposte?
Se la risposta è “molto”, i pesi chiusi non bastano a proteggere il vantaggio competitivo. Se invece la distillazione replica soprattutto la superficie del comportamento senza trasferire capacità profonde, il rischio può essere più limitato di quanto suggerisca il linguaggio politico.
Probabilmente la realtà è nel mezzo e dipende dal tipo di competenza. Compiti ben definiti e ripetibili possono essere più facili da distillare; capacità emergenti, robustezza e generalizzazione possono richiedere molto più lavoro.
È per questo che la guerra tecnologica sulle API è appena iniziata. I modelli più avanzati devono essere abbastanza accessibili da produrre ricavi e diventare standard, ma non così interrogabili da trasformarsi involontariamente nei professori dei propri concorrenti.
