Distillazione AI: che cos’è e il caso DeepSeek-Anthropic

La distillazione AI, una tecnica nata per rendere i modelli di intelligenza artificiale più leggeri e accessibili, è diventata anche uno strumento per estrarre proprietà intellettuale su scala industriale. Anthropic ha accusato pubblicamente tre aziende cinesi — DeepSeek, Moonshot e MiniMax — di aver estratto le capacità di Claude attraverso oltre 16 milioni di scambi generati da circa 24.000 account fraudolenti.

Aggiornato ad agosto 2026 con il watermark invisibile sui testi di Claude, il ritorno di Meta ai pesi aperti, le capacità di biologia che Anthropic tiene fuori dall’accesso generale e i limiti dichiarati di queste contromisure.

In questo articolo scoprirai:

• Cos’è la distillazione nell’intelligenza artificiale e come funziona
• Quando e perché questa tecnica diventa un attacco
• I dettagli del caso Anthropic contro DeepSeek, Moonshot e MiniMax
• Come vengono rilevati questi attacchi e cosa significa per il settore
• Cosa protegge davvero il watermark introdotto da Anthropic ad agosto 2026
• Perché i pesi aperti di Meta e le capacità che Anthropic non rilascia cambiano la convenienza di distillare

Cos’è la distillazione nell’Intelligenza Artificiale

La knowledge distillation, o distillazione della conoscenza, è una tecnica di machine learning introdotta nel 2015 dal ricercatore Geoffrey Hinton (premio Nobel per la Fisica 2024) che permette di trasferire le capacità di un modello grande e complesso, chiamato teacher, a un modello più piccolo ed efficiente, chiamato student.

L’idea di fondo è semplice: un large language model con miliardi di parametri produce risultati eccellenti, ma richiede hardware costoso e tempi di inferenza elevati. La distillazione consente di creare una versione “compressa” che mantiene gran parte delle prestazioni originali, ma gira su dispositivi meno potenti e costa molto meno da operare.

Nel framework teacher-student il modello grande viene interrogato su migliaia di esempi. Il modello piccolo non impara solo le risposte corrette, ma anche le soft probabilities, ovvero le distribuzioni di probabilità con cui un modello sceglie la parola successiva. Queste distribuzioni contengono informazioni implicite, come le relazioni tra concetti e i pattern di ragionamento, che il modello studente assorbe durante il training.

Perché le aziende la usano

La distillazione è una pratica diffusa e del tutto legittima. I principali laboratori AI la utilizzano regolarmente per creare versioni più leggere dei propri modelli: OpenAI distilla GPT-4 per ottenere modelli come GPT-4o mini, Google produce versioni Nano dei suoi modelli Gemini, e Anthropic stessa offre Claude Haiku come alternativa più rapida e accessibile rispetto a Claude Opus. I vantaggi sono concreti: costi operativi ridotti, latenza inferiore, possibilità di deployment su dispositivi edge e mobile, minore consumo energetico.

Quando la distillazione diventa un attacco

Il problema nasce quando la distillazione viene applicata al modello di un concorrente. In questo scenario un’azienda non addestra il modello studente sui propri dati, ma sottopone sistematicamente il modello di un competitor a migliaia di prompt mirati per estrarne le capacità di ragionamento, coding, analisi e generazione di testo.

I dati raccolti, le risposte del modello vittima, diventano materiale di training per costruire un modello proprio che replica quelle capacità. Il risultato è un trasferimento di proprietà intellettuale che aggira anni di ricerca e miliardi di dollari in investimenti, il tutto attraverso semplici chiamate API.

Come spiega The Register, le tecniche di distillazione illecita si sono evolute significativamente: non si limitano più alla semplice estrazione chain-of-thought, ma includono generazione di dati sintetici, pulizia automatica dei dataset e operazioni multi-stadio progettate per eludere i sistemi di rilevamento.

Il caso Anthropic: DeepSeek, Moonshot e MiniMax

Il 23 febbraio 2026, Anthropic ha pubblicato un report dettagliato in cui accusa tre laboratori AI cinesi di campagne di distillazione su scala industriale ai danni di Claude.

I numeri riportati nel report sono significativi:

• DeepSeek: oltre 150.000 scambi focalizzati su capacità di ragionamento, valutazione tramite rubric e alternative a query politicamente sensibili per la censura cinese
• Moonshot AI: oltre 3,4 milioni di scambi mirati a ragionamento agentico, tool use, coding, analisi dati, sviluppo di agenti computer-use e computer vision
• MiniMax: oltre 13 milioni di scambi concentrati su coding agentico e orchestrazione di strumenti

Le tre aziende hanno utilizzato servizi proxy commerciali con architetture definite da Anthropic “hydra cluster”, reti distribuite di account fraudolenti che bilanciavano il traffico attraverso i sistemi API per aumentare il throughput, migliorare l’affidabilità ed evitare il rilevamento. Una singola rete proxy gestiva simultaneamente oltre 20.000 account falsi.

Secondo Anthropic, “pattern identici, metodi di pagamento condivisi e tempistiche coordinate suggerivano un bilanciamento del carico progettato per massimizzare l’estrazione di dati“.

Come Anthropic ha scoperto gli attacchi

Il rilevamento è avvenuto attraverso una combinazione di tecniche, tra cui correlazione degli indirizzi IP, analisi dei metadati delle richieste, indicatori infrastrutturali e collaborazione con partner del settore.

I segnali d’allarme erano riconoscibili: volumi massicci concentrati in poche aree tematiche, strutture altamente ripetitive nei prompt e contenuti che mappavano direttamente ciò che ha più valore per l’addestramento di un modello AI.

In risposta, Anthropic ha implementato quattro categorie di difesa:

• Rilevamento: sistemi di behavioral fingerprinting che identificano pattern di distillazione e tentativi di elicitazione del chain-of-thought
• Intelligence sharing: distribuzione di indicatori tecnici ad altri laboratori AI, cloud provider e autorità
• Controlli di accesso: verifiche rafforzate per account educational e programmi di ricerca
• Contromisure: salvaguardie a livello di prodotto, API e modello che riducono l’efficacia degli output per la distillazione illecita

Anche Google ha segnalato attacchi simili contro Gemini, mentre OpenAI ha confermato che DeepSeek ha continuato attività “coerenti con la distillazione avversaria” anche contro i suoi modelli.

Il watermark sui testi di Claude: cosa marca davvero

L’11 agosto 2026 Anthropic ha annunciato l’introduzione di un watermark invisibile nei testi generati dai modelli Claude, attivo ovunque Claude sia disponibile e non solo in Europa, come ha riportato TechCrunch. È la novità più rilevante emersa dopo il report di febbraio, ed è utile capire con precisione cosa marca e cosa no.

Il meccanismo non aggiunge nulla al testo: interviene sulla sorgente di casualità con cui il modello sceglie tra parole semanticamente equivalenti. La selezione, invece di dipendere da numeri casuali arbitrari, viene determinata da una chiave segreta combinata con le parole immediatamente precedenti. Il risultato è una distorsione statistica nelle scelte lessicali, invisibile alla lettura e senza effetti su significato o qualità, che resta nel testo anche quando viene copiato e incollato altrove. La tecnica si basa su SynthID-Text, pubblicata da Google DeepMind su Nature nel 2024 e ispirata a una proposta di Scott Aaronson del 2022.

La motivazione dichiarata è normativa, non di sicurezza: Anthropic ha firmato a luglio 2026 il codice di condotta europeo sulla trasparenza dei contenuti generati dall’AI, in vigore dal 2 agosto 2026, che impone di marcare i contenuti prodotti o modificati da un’AI in modo leggibile da altri sistemi. È lo stesso impianto di obblighi che l’AI Act sta portando a regime per chi opera in Europa. Per i modelli usciti prima del 2 agosto è previsto un periodo di transizione, con un rollout distribuito sui mesi successivi. Anthropic ha inoltre annunciato una API di rilevamento del watermark, i cui dettagli implementativi non sono ancora definiti.

Perché il watermark non ferma la distillazione

La sovrapposizione tra i due temi è facile e sbagliata: la documentazione tecnica di Anthropic sul watermark non menziona mai la distillazione, l’estrazione di modelli o l’uso degli output come dati di training. È una misura di trasparenza, non una contromisura anti-estrazione.

Anche a volerla valutare come traccia di provenienza, i limiti che Anthropic stessa elenca cadono proprio dove le campagne di febbraio si erano concentrate:

• il rilevamento non funziona bene su campioni brevi, e una pipeline di distillazione lavora per frammenti, non per documenti lunghi
• la marcatura è più rada sui passaggi fattuali, dove le alternative lessicali sono poche
• il codice riceve in genere meno watermarking di altre forme di testo: ed era il coding agentico l’obiettivo dichiarato dei 13 milioni di scambi MiniMax e di buona parte dei 3,4 milioni di Moonshot
• una riscrittura integrale, in cui ogni parola viene sostituita, rimuove il watermark: ed è esattamente ciò che fanno la generazione di dati sintetici e la pulizia automatica dei dataset descritte come stato dell’arte della distillazione illecita

Il watermark risolve dunque un problema diverso — sapere se un testo è stato scritto da un’AI — e il suo contributo contro l’estrazione di capacità, allo stato, non è misurato né rivendicato.

Pesi aperti e modelli mai rilasciati: come cambia la convenienza di distillare

Distillare via API è, in fondo, il modo di procurarsi ciò che non si possiede: i pesi del modello. Due notizie di agosto 2026 spostano questo calcolo dalle due estremità opposte.

Pesi aperti: distillare senza passare dall’API

Il 10 agosto 2026 Meta è tornata ai modelli aperti: ha rilasciato Muse Glimmer, un modello da 30 miliardi di parametri con licenza Apache 2.0, pensato per far girare agenti in locale su una singola GPU consumer, e ha annunciato l’apertura dei pesi di Muse Spark 1.2, il suo modello più avanzato. L’annuncio è accompagnato da un saggio di Mark Zuckerberg che rivendica un’AI open source americana contro quella cinese, e da un modello commerciale in cui la capacità di calcolo viene venduta tramite un meccanismo d’asta dinamico.

Il dettaglio che riguarda da vicino questo articolo è però nel modo in cui Glimmer è stato costruito: Meta dichiara di averlo addestrato per distillazione da Muse Spark, il proprio modello chiuso. È la distillazione nella sua forma pienamente legittima — teacher e student appartengono a chi li addestra — e mostra dove passa esattamente il confine con le campagne descritte da Anthropic. Il punto più generale è che dove i pesi sono pubblici la distillazione non ha bisogno di account falsi e servizi proxy: si fa alla luce del sole. Non è un dettaglio che due dei tre laboratori accusati da Anthropic, DeepSeek e Moonshot, pubblichino a loro volta modelli open-weight.

Capacità non rilasciate: ciò che non passa dall’API

All’estremità opposta, sempre ad agosto 2026 Anthropic ha pubblicato un risultato di matematica ottenuto con una versione di ricerca non rilasciata di Claude: il modello ha alzato da 41,6% a 67,2% il limite inferiore noto sulla frazione di zeri della funzione zeta di Riemann che soddisfano l’ipotesi omonima, lavorando in due sessioni di Claude Code, con una sessantina di subagent e circa 31 milioni di token in output.

L’ipotesi di Riemann resta aperta: il progresso riguarda un tassello tecnico, e l’idea vincente è nata dall’accostamento di due lavori già presenti in letteratura, dopo centinaia di tentativi andati a vuoto. Anthropic non ha collegato la scelta di non rilasciare quella versione alla protezione dalla distillazione, e non lo facciamo neanche noi; resta però il fatto operativo che una capacità che non passa dall’API non è estraibile dall’API.

Distillazione AI e biologia dual-use: le capacità che restano fuori dall’API

Il 18 agosto 2026 lo stesso schema è tornato in forma molto più esplicita, con un lavoro sulla progettazione di proteine e sulla chimica analitica. La parte più avanzata è stata svolta da due modelli interni mai rilasciati, Mythos Preview e Opus 4.8: hanno progettato leganti proteici contro 14 bersagli su 15, con tassi di successo tra il 22,6% e il 35,1% a fronte di un riferimento tipico del 10-15%, per un totale di 354 leganti validi su 1.320 progettati, verificati in laboratorio umido da Adaptyv Bio e Twist Bioscience. I compiti di chimica analitica, invece, sono stati affidati a un modello di listino: Claude Opus 5 ha elaborato uno spettro NMR in 23 minuti e un’analisi LC-MS in 19, misurando una purezza del 96,4% contro il 96,33% ottenuto a mano dal laboratorio.

La differenza rispetto al caso Riemann è che qui la separazione è dichiarata: la progettazione di proteine e le altre capacità di biologia a duplice uso, scrive Anthropic, «restano non disponibili per l’accesso generale», in attesa di un programma di accesso riservato agli scienziati che l’azienda dice di voler lanciare presto. La motivazione è la biosicurezza, non la protezione della proprietà intellettuale, e va detto che Anthropic non presenta questa scelta come una difesa dalla distillazione. L’effetto sul perimetro estraibile però è quello descritto sopra, e stavolta è una policy e non un caso: la capacità più preziosa non è esposta a nessuna API, quindi non esiste una finestra da cui interrogarla — né con sedici milioni di scambi né con uno.

Implicazioni per la sicurezza e l’industria AI

La questione va ben oltre la semplice violazione dei termini di servizio. Anthropic sottolinea che i modelli distillati illecitamente “mancano delle necessarie salvaguardie, creando rischi significativi per la sicurezza nazionale“. Capacità avanzate senza i filtri di sicurezza originali potrebbero essere utilizzate per operazioni cyber, campagne di disinformazione e sorveglianza di massa. Il caso della biologia dual-use mostra il medesimo timore applicato in anticipo: si tiene chiusa una capacità proprio perché, una volta uscita senza salvaguardie, non si richiude.

Sul piano commerciale, questi attacchi minano i controlli sulle esportazioni statunitensi progettati per preservare il vantaggio competitivo dell’America nell’AI. Come nota CNBC, i rapidi progressi apparenti di alcuni laboratori stranieri dipendono in parte da capacità estratte dai modelli americani, il che rafforza la logica delle restrizioni sull’accesso ai chip avanzati — ed è la stessa posta in gioco dei due scenari sulla leadership globale nell’AI al 2028 descritti da Anthropic.

Per le aziende che costruiscono applicazioni basate su intelligenza artificiale generativa, il messaggio è chiaro: la proprietà intellettuale incorporata nei modelli AI è vulnerabile, e proteggerla richiede investimenti crescenti in sistemi di monitoraggio e rilevamento. Non si tratta più solo di prompt injection o jailbreaking, ma di operazioni strutturate che puntano a replicare interi modelli.

Cosa aspettarsi

Anthropic ha dichiarato che “nessuna azienda può risolvere questo problema da sola”, invocando un’azione coordinata tra laboratori AI, cloud provider e legislatori. Il problema è strutturale: i modelli AI accessibili via API sono per definizione interrogabili, e distinguere un uso legittimo da un’operazione di distillazione richiede analisi comportamentali sempre più sofisticate.

I sei mesi successivi al report hanno mostrato che la risposta si sta articolando su piani diversi e non del tutto allineati: la trasparenza obbligatoria spinta dal regolatore europeo, la scelta commerciale sull’aprire o chiudere i pesi, e la segmentazione delle capacità tra ciò che si espone via API e ciò che resta interno — quest’ultima, dopo agosto, non più un accidente ma una politica dichiarata almeno sulla biologia. Nessuno dei tre piani nasce come difesa dalla distillazione, ma tutti e tre ne modificano le condizioni.

Il caso sollevato da Anthropic accelererà probabilmente il dibattito normativo internazionale sulla protezione della proprietà intellettuale nell’AI, un tema destinato a diventare centrale quanto la sicurezza dei modelli AI nei prossimi anni. Per chi lavora nel settore, comprendere la distillazione, sia come tecnica legittima che come vettore di attacco, è ormai una competenza fondamentale.

Dalla protezione del modello alla protezione del valore aziendale

Se la distillazione può trasformarsi in un vettore di estrazione di valore, allora la protezione dell’AI diventa un punto strategico. Le organizzazioni che costruiscono vantaggio competitivo attraverso modelli e workflow intelligenti devono poter contare su architetture che garantiscano isolamento, monitoraggio e controllo degli accessi.

Governance dei modelli AI contro la distillazione

Con Mimír AI Agent abbiamo progettato una piattaforma multi-agente che consente di mantenere una governance su dati, flussi e logiche decisionali. Mimír AI Agent, infatti, permette di integrare modelli come OpenAI all’interno di infrastrutture Microsoft Azure, assicurando un ambiente controllato, tracciabile e conforme agli standard enterprise. In questo modo l’innovazione rimane scalabile, ma senza rinunciare alla protezione del know-how e alla sicurezza operativa.

Vuoi scoprire come Mimír AI Agent può aumentare il tuo ROI rendendo scalabile il tuo business?

Fonti:

• Anthropic — Detecting and preventing distillation attacks
• Anthropic — Watermarking text generated by Claude
• Anthropic Research — Claude e la funzione zeta di Riemann
• Anthropic Research — Claude accelerates protein design
• Meta AI Research — Introducing Muse Glimmer
• CNBC — Meta torna ai pesi aperti con Muse Glimmer
• CNBC — Anthropic, OpenAI e la distillazione dei laboratori cinesi
• TechCrunch — Anthropic accusa i laboratori cinesi di estrarre Claude
• TechCrunch — Anthropic introduce il watermark sui testi
• The Register — L’evoluzione delle tecniche di distillazione illecita
• Hinton, Vinyals, Dean — Distilling the Knowledge in a Neural Network (2015)