Distillazione modelli AI: i rischi per chi li usa in azienda

Il 23 febbraio 2026 Anthropic ha pubblicato un conteggio preciso: oltre 16 milioni di scambi con Claude generati da circa 24.000 account fraudolenti, riconducibili a tre laboratori cinesi, DeepSeek, Moonshot AI e MiniMax. Non era un furto di codice né una violazione dei server: era traffico API, apparentemente normale, usato per copiare il comportamento del modello. Il 9 settembre 2026 la storia è diventata una questione di sicurezza nazionale, con un avviso congiunto di NSA, CISA e FBI che nomina sei aziende cinesi. Per chi in Italia deve scegliere quale AI mettere in produzione, la notizia non è geopolitica: è una domanda molto concreta sulla distillazione dei modelli AI e sui rischi per le aziende che li adottano senza sapere da dove vengono. Se il modello «a basso costo» su cui hai costruito il tuo assistente è la copia di un altro modello, chi ti garantisce che tra sei mesi si comporterà nello stesso modo?

In questo articolo scoprirai:

• Cosa è successo: 16 milioni di scambi con Claude e un avviso federale
• Come funziona la distillazione di un modello AI, senza tecnicismi
• Perché un modello distillato costa un decimo, e cosa perdi in cambio
• Continuità del fornitore: cosa succede quando il rubinetto si chiude
• Modello distillato in produzione: cosa rischia il tuo stack

Cosa è successo: 16 milioni di scambi con Claude e un avviso federale

La ricostruzione di Anthropic è dettagliata nella ripartizione. Nel post pubblicato sul suo blog, l’azienda attribuisce a DeepSeek oltre 150.000 scambi, a Moonshot AI più di 3,4 milioni e a MiniMax oltre 13 milioni: il grosso del volume viene da un solo attore. Il metodo di rilevamento è interessante quanto i numeri: non un allarme di sicurezza, ma un’analisi comportamentale. Anthropic parla di «volume massiccio concentrato in poche aree, strutture altamente ripetitive e contenuti che corrispondono direttamente a ciò che è più utile per addestrare un modello», incrociati con indirizzi IP, metadati delle richieste e dati di pagamento condivisi tra account.

L’advisory federale sulla distillazione dei modelli AI

A settembre il quadro si è allargato. L’advisory AA26-251A firmato da NSA, CISA e FBI descrive campagne di distillazione «aggressiva, malevola e mirata» condotte «almeno dalla fine del 2024» fino a metà 2026, e nomina sei società: DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun e Z.AI. I modelli bersaglio non sono solo di Anthropic: l’elenco comprende diverse versioni di Claude, GPT, Gemini e Grok. Le agenzie definiscono la distillazione «il nucleo critico» della strategia di sviluppo di queste aziende, non un complemento occasionale, un passaggio che The Register ha messo in prima pagina.

Due dettagli tecnici dell’avviso contano più degli altri per chi compra software. Il primo è l’estrazione della catena di ragionamento: prompt costruiti per «forzare i modelli a rivelare il loro chain-of-thought nascosto». Il secondo è l’architettura di occultamento, abbonamenti premium acquistati in blocco e condivisi, più un «mercato grigio di proxy noti come transfer stations» e aggregatori API che «offuscano automaticamente i metadati dell’utente». Come racconta Nextgov, le operazioni sono deliberatamente distribuite su più fornitori e piattaforme «per evitare il rilevamento in un singolo punto». Il senso pratico: nessun singolo fornitore vede l’intero quadro, e a maggior ragione non lo vede l’azienda che sta a valle.

Come funziona la distillazione di un modello AI, senza tecnicismi

Il meccanismo e la genesi del caso DeepSeek-Anthropic li abbiamo raccontati qui: in sintesi, IBM definisce la distillazione come il trasferimento di conoscenza da un «modello insegnante» grande a un «modello studente» più piccolo, che impara a imitare non solo le risposte finali ma i soft target, cioè la distribuzione di probabilità dell’insegnante, quanto era incerto, quali alternative aveva considerato. La differenza tra distillazione lecita e distillation attack non sta nella tecnica, che l’advisory federale definisce «una tecnica di addestramento legittima e utile per risparmiare sui costi», ma nel permesso: il confine è contrattuale, non matematico, perché i termini di servizio di Anthropic e OpenAI vietano l’uso degli output per addestrare modelli concorrenti, e chi crea 24.000 account falsi per aggirare quel divieto usa la stessa tecnologia violando un contratto. Per chi vuole il quadro tecnico a monte, aiuta avere presente come funziona davvero un modello di AI, dal testo che entra alla risposta che esce.

Vale la pena registrare che la lettura non è unanime. Matteo Flora, in un’analisi critica, riconosce la violazione dei termini ma solleva un’asimmetria: l’appropriazione di testi umani per addestrare i modelli occidentali viene chiamata «trasformativa», l’estrazione dai modelli occidentali viene chiamata furto. La sua proposta è la «simmetria delle regole». È un’obiezione seria sul piano dei principi. Per chi deve scegliere un fornitore, però, non cambia il calcolo operativo: qualunque sia il giudizio morale, un modello nato da un processo contestato porta un’incertezza in più nel tuo stack.

Perché un modello distillato costa un decimo, e cosa perdi in cambio

Il vantaggio economico è reale e va detto senza sconti. Il Sole 24 Ore stima che con la distillazione si acceda alle capacità dei modelli di frontiera «a una frazione del prezzo, forse un decimo». I numeri di Snorkel AI sono ancora più netti sul piano infrastrutturale: un Llama 3.1 da 405 miliardi di parametri richiede oltre 800 GB di memoria GPU per la sola inferenza, la variante da 8 miliardi ne chiede 16, e può costare fino al 2% della versione completa generando token quasi sei volte più in fretta. Su un customer care che risponde a migliaia di richieste al giorno, la differenza tra questi due profili di costo è la differenza tra un progetto che sta in piedi e uno che non ci sta.

Cosa perde un modello distillato: generalizzazione e bias ereditati

Il prezzo si paga altrove, e si paga in coerenza. Snorkel lo dice chiaramente: quello che si perde è la capacità di generalizzazione, perché il modello distillato «dimentica» i compiti non correlati alla specializzazione su cui è stato addestrato. Non scriverà codice decente né contenuti creativi se è stato distillato su richieste di assistenza clienti. IBM registra lo stesso limite in termini strutturali: i modelli più piccoli «mancano dell’accuratezza, della raffinatezza e della capacità di conoscenza» di un modello con molti più parametri. La compressione non è gratis, è una scommessa su quali compiti ti serviranno.

C’è poi un effetto meno visibile: l’eredità degli errori. Il Sole 24 Ore segnala che il modello studente può ereditare i bias sistematici dell’insegnante, e se l’insegnante è un modello a cui hai accesso solo indirettamente, quei bias non li puoi né misurare né correggere alla fonte. Il rovescio positivo esiste e merita la citazione: sempre secondo Il Sole, IBM ha ottenuto un modello per la diagnosi mammografica con diciotto volte meno parametri dell’originale, con risultati superiori. La distillazione fatta bene, su un dominio scelto, funziona. Il problema non è la tecnica: è non sapere quale tecnica ha prodotto il modello che stai usando, ed è per questo che il tema si intreccia con la questione più larga del ROI dell’AI generativa.

Continuità del fornitore: cosa succede quando il rubinetto si chiude

Qui c’è il passaggio dell’advisory federale che nessuno sta leggendo dal punto di vista di chi compra. Tra le tre azioni raccomandate ai laboratori americani, NSA, CISA e FBI suggeriscono di «alterare in modo sottile le risposte» quando si sospetta un tentativo di distillazione malevola, «per attenuare i vantaggi» dell’attaccante, e di farlo senza informare l’utente sospetto. È una raccomandazione difensiva sensata. Ma se sei un’azienda europea che ha costruito un flusso di lavoro su un modello economico di provenienza incerta, la conseguenza logica è scomoda: parte dei dati con cui quel modello è stato addestrato potrebbe essere stata volutamente degradata, e nessuno te lo dirà mai.

Distillazione dei modelli AI e rischio di fornitura

Il secondo problema di continuità è la roadmap. Un modello che dipende dagli output di un insegnante a cui non ha accesso legittimo dipende da un canale che può chiudersi. Anthropic ha già risposto con classificatori di rilevamento, fingerprinting comportamentale, controlli di accesso più stretti sugli account education e ricerca, e condivisione di intelligence con altri laboratori. Le agenzie federali raccomandano esattamente quella correlazione incrociata tra fornitori, piattaforme cloud e aggregatori API. Ogni giro di vite rende più difficile la prossima generazione del modello che tu stai usando in produzione: non è un rischio di sicurezza, è un rischio di fornitura.

Il terzo è il più banale e il più frequente: la deriva silenziosa. Un modello aggiornato senza versionamento chiaro cambia comportamento su prompt che ieri funzionavano. Se hai messo in piedi un agente con guardrail tarati su un comportamento specifico, un aggiornamento non annunciato ti rompe il collaudo. È la stessa logica che abbiamo descritto parlando di configurazione sicura di un agente AI: la stabilità del comportamento è un requisito, non un dettaglio, e va scritta nel contratto prima che nel codice. Chi valuta anche l’alternativa opposta, pagare il modello di frontiera direttamente, trova i conti nel nostro pezzo sui costi delle API di Claude rispetto all’abbonamento.

Modello distillato in produzione: cosa rischia il tuo stack

Il punto più duro lo mette Anthropic con una frase che vale la pena leggere due volte: i modelli costruiti tramite distillazione illecita «difficilmente conservano le salvaguardie» del modello originale, «il che significa che capacità pericolose possono proliferare con molte protezioni rimosse del tutto». Tradotto per un’azienda: l’allineamento e i filtri su cui il laboratorio di frontiera ha investito anni non passano automaticamente nella copia. Il modello economico può sembrare identico sui benchmark e comportarsi in modo molto diverso sui casi limite, proprio quelli che in produzione fanno danno, da una risposta inappropriata a un cliente fino a un prompt injection andato a buon fine.

Zylon organizza il problema su cinque livelli, ed è una griglia utile da portare in riunione: sicurezza (le protezioni contro abusi e prompt injection sono più deboli del previsto), compliance (non sai spiegare dove gira il modello e come tratta i dati), legale e reputazionale (il processo di addestramento può essere contestato più avanti), operativo (manca affidabilità enterprise, trasparenza sulle versioni, comportamento prevedibile), e politico (lo scrutinio pubblico su accesso ai modelli ed export cresce). La raccomandazione che ne trae è una formula onesta: model-aware adoption, scegliere il modello giusto per il flusso di lavoro specifico, evitando sia il lock-in sia la scelta fatta solo sul prezzo.

Rischio legale e AI Act: cosa devi poter dimostrare

Sul piano giuridico conviene essere precisi, perché circola molta approssimazione. Lawfare argomenta che le cause per segreto commerciale contro i distillatori sono improbabili con il diritto attuale, perché gli output dei modelli sono «disponibili a chiunque abbia un account», e avverte che «se ogni violazione dei termini di servizio conta come furto, il concetto non ha alcun principio limitante». Fenwick aggiunge che gli output privi di sufficiente paternità umana in genere non sono coperti da copyright, e che la sentenza Van Buren v. United States ha ridotto il raggio del Computer Fraud and Abuse Act.

Il rischio per chi usa il modello, quindi, è meno la causa e più la indimostrabilità della propria filiera. Su InformationWeek, John Bruggeman di CBTS è netto: «le organizzazioni che utilizzano modelli LLM piratati affrontano rischi legali». E quando devi documentare a un cliente enterprise, a un revisore o a un’autorità perché hai scelto quel modello e come tratta i dati, «costava meno» non è una risposta sufficiente, tanto più con gli obblighi di trasparenza sulla catena di fornitura che l’AI Act introduce progressivamente.

Come verificare la provenienza di un modello prima di firmare

La domanda su quale sia la migliore intelligenza artificiale per le aziende è mal posta, e il caso distillazione lo dimostra. Non esiste il modello migliore in assoluto: esiste il modello con il miglior rapporto rischio-costo per un compito, un settore e un profilo di dati. Un riassuntore di documenti interni e un agente che parla con i clienti tollerano rischi diversissimi. La scelta è un esercizio di governance, non un confronto di benchmark, e presuppone che tu sappia cosa distingue un large language model da un altro oltre al prezzo per milione di token.

Le domande da fare al fornitore prima di metterlo in produzione

Da InformationWeek e Zylon si ricava una lista breve e verificabile. Chi produce esattamente il modello, e con quale processo di addestramento dichiarato. Dove viene ospitata l’inferenza e in quale giurisdizione. Se il fornitore documenta le versioni e comunica in anticipo i cambiamenti di comportamento. Se i tuoi input vengono usati per riaddestrare. Quali garanzie contrattuali esistono sulla provenienza dei pesi. E, dal lato tuo, se i dati sensibili vengono anonimizzati prima di entrare nel modello e se esistono rate limiting e audit sulle chiamate.

Nessuna di queste domande richiede competenze da ricercatore: richiede che qualcuno le ponga per iscritto e archivi le risposte. Il caso Claude è utile proprio come esercizio, perché di quel modello sappiamo molto, l’abbiamo descritto nella guida a Claude AI per l’azienda. Un modello di cui non si può rispondere a metà di quelle domande non è necessariamente cattivo: è un modello su cui stai assumendo un rischio che non hai quantificato.

Perché il partner conta più del modello: il servizio oltre al prodotto

C’è una ragione strutturale per cui questa storia finisce sulla scrivania di chi decide, e non su quella di chi programma. La pressione sui prezzi è brutale: Fenwick documenta un crollo da 0,02 dollari per mille token nel 2023 a 0,00014 nel 2025. Con margini così, la tentazione di scegliere il fornitore più economico è quasi irresistibile, ed è esattamente lì che il rischio di provenienza entra in azienda senza che nessuno lo abbia deciso. Il modello si cambia in un pomeriggio, la fiducia dei tuoi clienti no.

La scelta del modello AI come parte dell’onboarding

È il motivo per cui in MIMIR trattiamo la scelta del modello come parte dell’onboarding, non come un dettaglio implementativo da sbrigare dopo la firma. Quando accompagniamo un’azienda su un agente AI, la prima cosa che facciamo è mettere per iscritto quale modello useremo per quale compito e perché: dove serve un modello di frontiera perché il costo di un errore è alto, dove un modello piccolo e specializzato è la scelta corretta anche in termini di latenza e spesa, quali dati non escono dal perimetro e cosa accade se il fornitore cambia comportamento. Non è burocrazia: è la documentazione che ti serve il giorno in cui un cliente o un revisore ti chiede conto della filiera.

La differenza tra un prodotto e un servizio, in questo mestiere, è chi si assume l’onere di quella verifica. Un abbonamento ti dà accesso a un modello; un partner ci mette la faccia sulla scelta, la rivede quando il panorama si muove, dal post di Anthropic del 23 febbraio 2026 all’advisory federale del 9 settembre 2026, e resta responsabile del comportamento del sistema quando qualcosa cambia a monte. È la tesi che sosteniamo da tempo parlando di agenti AI enterprise e del perché il servizio conta più del modello, e che vale in modo speculare per le PMI che valutano il Claude Agent SDK.

Se stai valutando quale modello mettere alla base di un progetto AI e non hai gli elementi per stimarne il rischio-costo, è il momento giusto per parlarne con qualcuno che quelle domande le fa di mestiere. In MIMIR affianchiamo le aziende dalla scelta del modello alla messa in produzione di agenti AI su misura, con un onboarding dedicato: scrivici e ragioniamo insieme sul tuo caso concreto, prima che la decisione la prenda il prezzo di listino.

Fonti:

• Anthropic, Detecting and preventing distillation attacks
• CISA/NSA/FBI, Advisory AA26-251A
• The Register, US claims distillation is the core AI strategy of Chinese labs
• Nextgov, Intelligence agencies warn on large-scale model distillation
• IBM, Knowledge distillation
• Snorkel AI, Why enterprises should embrace LLM distillation
• Zylon, AI model distillation: the hidden security risk in enterprise AI
• Lawfare, Responding to AI distillation without panic
• Fenwick, DeepSeek, model distillation and the future of AI IP protection
• InformationWeek, Distillation attacks expose hidden risk in the enterprise AI supply chain