Anthropic ha pubblicato il suo Threat Intelligence Report di settembre 2026, accusando un gruppo di laboratori cinesi — Alibaba, DeepSeek e Moonshot AI, tra gli altri — di aver condotto attacchi di distillazione su larga scala contro i propri modelli Claude. In totale, l’azienda ha rilevato quasi 200 milioni di scambi collegati a queste operazioni, suddivisi in cinque campagne distinte, tra dicembre 2025 e agosto 2026.
La campagna più grande è attribuita ad Alibaba. Tra maggio e luglio 2026, Anthropic ha registrato 151 milioni di scambi riconducibili a circa 3.500 account, con picchi di quasi tre milioni di interazioni al giorno. Tutti gli account condividevano un unico prompt fisso progettato per estrarre la catena di ragionamento del modello. Anthropic ritiene che il materiale ottenuto sia servito ad addestrare la famiglia di modelli Qwen. Per DeepSeek, il rapporto documenta oltre 12 milioni di attacchi in un arco di 14 giorni nel luglio 2026, con una tecnica simile: le richieste degli utenti venivano inoltrate a Claude senza che i clienti di DeepSeek ne fossero informati. Moonshot AI, produttrice del chatbot Kimi, avrebbe invece instradato alcune richieste provenienti direttamente dall’esercito cinese, tra cui una che chiedeva a Claude di analizzare filmati di sorveglianza per determinare se un soggetto si stesse comportando in modo anomalo.
Un distillation attack sfrutta una tecnica legittima dell’apprendimento automatico chiamata knowledge distillation. L’obiettivo è estrarre la catena di pensiero di un modello complesso — il ragionamento passo dopo passo che produce le risposte — per usarla come dati di addestramento su un modello più piccolo, trasferendone le capacità a costo ridotto. Anthropic normalmente non espone questa catena agli utenti: mostra solo blocchi di “pensiero riassunto”. Le campagne descritte nel rapporto hanno individuato tecniche per aggirare questa protezione e far rivelare al modello i propri processi interni. Un attaccante, ad esempio, ha formulato la richiesta come una traduzione in giapponese usando solo katakana, per mascherare l’intenzione reale dell’estrazione.
Non è la prima volta che Anthropic denuncia pubblicamente questo tipo di attività. A febbraio aveva già nominato DeepSeek, Moonshot AI e MiniMax, accusandoli di aver creato oltre 24.000 account falsi e inviato più di 16 milioni di prompt a Claude. OpenAI ha segnalato casi analoghi, attribuendoli specificamente a DeepSeek. Il nuovo rapporto, però, descrive operazioni più estese e con tattiche più sofisticate: i laboratori cinesi hanno progressivamente affinato i metodi per eludere i sistemi di rilevamento, aumentando il volume e la frequenza degli attacchi nel tempo.
Il rapporto cita anche altri attori: Z.ai, Xiaomi, SenseTime e MiniMax compaiono tra le aziende coinvolte in operazioni di distillazione. Anthropic specifica che i modelli Claude Haiku, Sonnet e Opus sono stati i principali bersagli, mentre Fable e Mythos hanno resistito nella quasi totalità dei casi. L’azienda avverte che contrastare queste minacce richiederà un coordinamento più stretto tra i laboratori di ricerca e le agenzie governative. Se le dimensioni di queste campagne continueranno a crescere con la stessa progressione osservata negli ultimi mesi, la protezione dei modelli frontier diventerà un problema strutturale per tutta l’industria, non solo per Anthropic.
