La contesa ruota attorno alla tecnica dell’attacco di distillazione, che permette di replicare un modello di intelligenza artificiale proprietario e sta ridefinendo i limiti della concorrenza e della protezione della proprietà intellettuale nel settore.
[In pillole] La sintesi per chi va di fretta:
Anthropic, azienda statunitense di IA, accusa il colosso cinese Alibaba di aver condotto una operazione su vasta scala per estrarre e replicare le capacità del suo modello Claude. L'accusa si basa su un presunto attacco di distillazione che sfrutta l'API del modello per addestrare un sistema concorrente sollevando questioni critiche sulla proprietà intellettuale e la sicurezza.
Che cos’è un “attacco di distillazione”?
Il termine “distillazione”, nel contesto dell’apprendimento automatico, descrive una tecnica consolidata e del tutto legittima. Consiste nell’addestrare un modello di intelligenza artificiale più piccolo, definito “studente”, affinché impari a imitare i risultati di un modello più grande e potente, il “maestro”. Questo processo è ampiamente utilizzato per creare versioni più efficienti e meno costose di modelli complessi, permettendo loro di funzionare su dispositivi con minori capacità di calcolo.
Un attacco di distillazione, tuttavia, capovolge questo principio utilizzandolo senza autorizzazione ai danni di un sistema proprietario. In pratica, un avversario interroga sistematicamente un modello di intelligenza artificiale attraverso la sua interfaccia pubblica (API), raccogliendo un’enorme quantità di coppie di domande e risposte. Questi dati vengono poi usati per addestrare un proprio modello “studente”, che di fatto impara a replicare il comportamento del modello “maestro”.
Poiché il nuovo modello viene addestrato sulle risposte del sistema originale anziché su dati grezzi, può ereditarne molte delle capacità distintive, come l’abilità nella programmazione, gli schemi di ragionamento e persino i meccanismi di sicurezza, senza che l’aggressore debba sostenere gli enormi costi di addestramento di un modello di frontiera.
Come descritto in diverse analisi tecniche sul tema, questi attacchi si basano su un’automazione su larga scala delle richieste, spesso distribuite su migliaia di account per eludere i limiti di utilizzo e i sistemi di rilevamento delle anomalie.
Alcuni ricercatori di sicurezza hanno paragonato questa pratica al “rubare il cervello dell’IA”: invece di tentare di decifrare direttamente il codice del modello, se ne ricostruisce il comportamento dall’esterno, un output alla volta.
È proprio questa la dinamica che, secondo Anthropic, sarebbe stata messa in atto da operatori legati ad Alibaba, in un’operazione che l’azienda definisce senza precedenti per dimensioni e sfrontatezza.
L’operazione secondo la ricostruzione di Anthropic
Nelle comunicazioni inviate ai legislatori statunitensi, Anthropic ha fornito dettagli su quella che considera una campagna “su scala industriale”. L’azienda sostiene che operatori riconducibili ad Alibaba abbiano utilizzato decine di migliaia di account fraudolenti per accedere al modello Claude attraverso la sua API. In una sintesi della lettera si legge che quasi 25.000 account falsi sarebbero stati impiegati per effettuare circa 29 milioni di interazioni con Claude tra aprile e giugno 2026.
Un volume che secondo Anthropic non è compatibile con un normale utilizzo da parte dei clienti, ma indica un tentativo deliberato e automatizzato di estrarre il comportamento del modello. La ricostruzione di Anthropic, come riportato da Reuters, parla di una campagna “sfacciata” e “illecita” per appropriarsi di capacità proprietarie.
– Leggi anche: Self-Harness: l’intelligenza artificiale che riscrive le proprie regole
Secondo l’azienda, l’operazione si sarebbe svolta seguendo uno schema preciso. In primo luogo, gli operatori avrebbero registrato migliaia di account con credenziali false o usa-e-getta, distribuendo l’attività per non attivare i sistemi di rilevamento abusi. Successivamente, questi account avrebbero inviato milioni di richieste a Claude, coprendo una vasta gamma di compiti come programmazione, analisi di testi e generazione di contenuti, con l’obiettivo di costruire un ricco set di dati degli output del modello.
Infine, questi dati sarebbero stati utilizzati per addestrare o migliorare i modelli Qwen di Alibaba, trasferendo di fatto le capacità di Claude in un sistema concorrente. Anthropic afferma che questa attività va ben oltre i normali test comparativi e rappresenta una sistematica estrazione di proprietà intellettuale a scopo commerciale. L’azienda sottolinea che la campagna viola palesemente i suoi termini di servizio, che proibiscono esplicitamente l’uso dei suoi modelli per la distillazione o per addestrare sistemi concorrenti.
Una nuova frontiera per la sicurezza e la proprietà intellettuale
Al di là della violazione dei termini di servizio, che la maggior parte dei grandi laboratori di ricerca ha ormai adottato proprio per prevenire queste pratiche, le implicazioni di un attacco di questo tipo si estendono ben oltre la singola disputa commerciale. Gli esperti di sicurezza e policy nel campo dell’intelligenza artificiale sono preoccupati per diverse ragioni.
Innanzitutto, gli attacchi di distillazione possono ridurre drasticamente i costi di sviluppo di modelli potenti. Addestrare un sistema di frontiera da zero richiede investimenti miliardari in dati e potenza di calcolo; clonare il comportamento di un modello esistente tramite API è molto più economico e scarica gran parte dei costi operativi sull’azienda che subisce l’attacco. È uno dei motivi per cui chi investe in AI su misura tende oggi a proteggere i propri modelli con architetture chiuse e termini d’uso sempre più stringenti.
Questa dinamica rischia di minare il modello di business di chi investe in ricerca e sviluppo, specialmente per quanto riguarda la sicurezza, se i concorrenti possono semplicemente copiarne i risultati.
In secondo luogo, la clonazione può vanificare il lavoro sulla sicurezza. Un aggressore potrebbe addestrare il proprio modello solo sulle capacità più performanti del sistema originale, ignorandone deliberatamente i limiti e le barriere di sicurezza.
Il risultato potrebbe essere un sistema altrettanto capace, ma privo di controlli, ottimizzato per generare disinformazione, compiere frodi o sferrare attacchi informatici.
Infine, la diffusione di questi attacchi crea un problema collettivo: se ogni azienda teme che i propri modelli vengano usati per addestrare la concorrenza, la tendenza potrebbe essere quella di limitare l’accesso alle API, indebolendo la collaborazione e la ricerca aperta che finora hanno alimentato l’innovazione nel settore.
Questo caso si inserisce in un contesto geopolitico delicato, segnato dalla competizione tecnologica tra Stati Uniti e Cina. Le accuse di Anthropic hanno acceso un forte dibattito su come proteggere la proprietà intellettuale nell’era dell’intelligenza artificiale, sollevando interrogativi sulla sufficienza delle leggi attuali.
Alcuni studiosi di diritto sostengono che un’interrogazione automatizzata e massiva finalizzata alla copia di un modello potrebbe essere interpretata come una forma di accesso non autorizzato o di furto digitale, ma altri avvertono che regole troppo vaghe potrebbero finire per penalizzare la ricerca legittima.
Lo scontro tra Anthropic e Alibaba, quindi, non riguarda solo chi costruisce i modelli più potenti, ma anche chi riesce a proteggerli dalla copia.
L’esito di questa vicenda potrebbe definire le nuove regole del gioco, spingendo verso termini contrattuali più stringenti, nuove salvaguardie tecniche e forse un riconoscimento legale del “furto di modello”, ricordando a tutti che dietro ogni interfaccia conversazionale si svolge una competizione ad altissimo rischio per il controllo di queste nuove tecnologie.
