Anthropic ha pubblicato un rapporto di threat intelligence che documenta otto mesi di abusi sistematici del suo modello Claude: tra dicembre 2025 e agosto 2026, sette laboratori di intelligenza artificiale con base in Cina hanno condotto campagne di distillazione non autorizzata su scala industriale. Il totale degli scambi rilevati supera i 190 milioni. Non si tratta di singoli episodi: è un’operazione coordinata e prolungata.
La campagna più grande è quella attribuita a operatori affiliati ad Alibaba. Tra maggio e luglio 2026, questi hanno generato oltre 151 milioni di scambi con Claude, puntando in particolare sui modelli Opus 4.6 e 4.7. Il picco ha raggiunto quasi 3 milioni di interazioni al giorno, distribuite su oltre 3.500 account che Anthropic definisce fraudolenti. L’obiettivo dichiarato nel rapporto era estrarre i ragionamenti a catena di pensiero del modello per addestrare i modelli Qwen. Alibaba ha anche utilizzato Claude per attività di ricerca più ampie, tra cui reinforcement learning e architettura dei modelli.
Moonshot AI, la società di Pechino dietro la famiglia di modelli Kimi, ha adottato un approccio diverso e per certi versi più grave: ha reindirizzato in silenzio le richieste dei propri utenti verso Claude, mostrando poi le risposte di Claude come se fossero generate da Kimi. Gli utenti non sapevano di interagire con un modello esterno. In un periodo di dieci giorni, Moonshot ha instradato quasi 300.000 richieste clienti attraverso una rete di 5.380 account falsi, la maggior parte apparentemente localizzati a Singapore e in Giappone. Tra maggio e luglio, il totale degli scambi attribuibili a Moonshot supera i 23 milioni. Una parte di queste conversazioni è stata salvata per addestrare i modelli interni dell’azienda.
DeepSeek ha seguito la stessa logica: in soli 14 giorni di luglio 2026, Anthropic ha rilevato oltre 12,1 milioni di scambi di distillazione. Zhipu, nota anche come Z.ai, ha invece costruito una pipeline dedicata all’estrazione dei ragionamenti di Claude, replicando le catene di pensiero del modello per addestrare i propri sistemi. Il rapporto copre in tutto sette campagne distinte, classificate con codici interni come GTG-16001 e GTG-16002. I modelli più colpiti sono stati Haiku, Sonnet e Opus. I modelli più recenti, Fable e Mythos, compaiono in un solo caso di distillazione.
La distillazione non autorizzata funziona così: si usa l’output di un modello più capace per addestrare un modello meno avanzato, trasferendone le capacità senza investire nelle risorse necessarie a svilupparle. Anthropic sostiene che questo processo, oltre a violare i termini di servizio, può produrre modelli privi delle misure di sicurezza originali. Alcune delle conversazioni sottratte contenevano informazioni sensibili di aziende multinazionali e attori affiliati a governi. Richieste destinate a modelli cinesi ma dirottate su Claude avrebbero esposto dati riconducibili agli apparati militari di Cina e Russia.
Come risposta, Anthropic ha annunciato che richiederà la verifica dell’identità agli utenti che sembrano operare da Cina, Russia o Iran, dove Claude non è disponibile. Non è la prima volta che l’azienda segnala questo tipo di attività: già a giugno, la responsabile della policy Sarah Heck aveva scritto ai legislatori americani citando quasi 29 milioni di scambi illeciti attribuiti ad Alibaba in poco più di sei settimane. Il rapporto di settembre è più ampio e dettagliato, ma il pattern è lo stesso. Con il dibattito sulle restrizioni all’export di chip avanzati verso la Cina ancora aperto a Washington, i dati di Anthropic entrano direttamente in una conversazione politica che riguarda competizione tecnologica e sicurezza nazionale.
