Partiamo dall’inizio di questa storia. Il 23 febbraio 2026 Anthropic ha pubblicato un documento che ha sollevato un sacco di chiacchiere ben oltre la comunità tecnica. L’azienda ha dichiarato di aver scovato campagne su scala industriale condotte da tre laboratori cinesi, DeepSeek, Moonshot e MiniMax, per “estrarre le capacità di Claude” e trasferirle nei propri modelli.

I numeri raccontano la dimensione dell’operazione: oltre sedici milioni di scambi generati attraverso circa ventiquattromila account fraudolenti, in violazione dei termini di servizio e delle restrizioni geografiche di accesso.

Passiamo ora ai dettagli. Visto che Claude non è commercializzato in Cina, il traffico passava da servizi proxy che rivendono accesso ai modelli di frontiera attraverso architetture che Anthropic ha battezzato hydra cluster: reti diffuse di account falsi che distribuiscono le richieste su più canali, senza un singolo punto di rottura da colpire. DeepSeek avrebbe puntato soprattutto sul ragionamento e sul reward modeling. Moonshot avrebbe tentato di ricostruire le tracce di ragionamento del modello. MiniMax, alla pubblicazione di un nuovo modello Anthropic, avrebbe spostato quasi metà del proprio traffico sul sistema appena uscito nel giro di ventiquattr’ore. L’attribuzione, secondo il documento, è arrivata incrociando i metadati delle richieste con i profili pubblici di ricercatori dei laboratori coinvolti.
Se vi domandate perché ogni tanto Claude rallenta, ecco, questo è un motivo.

La parola al centro di tutta questa storia è diventata famosa, e vale la pena capirla bene prima di prendere posizione: distillazione.

Perché la distillazione non è un exploit, non è un attacco informatico e non è una scoperta recente. È una tecnica, accademica, documentata dal 2015, insegnata nei corsi universitari e usata quotidianamente dagli stessi laboratori che oggi denunciano di esserne vittime. La questione, come oramai avrete capito capitare sempre nella tecnologia, non riguarda lo strumento ma il contesto in cui viene impugnato.

Cosa è la distillazione

La distillazione della conoscenza, o knowledge distillation, è un metodo per trasferire le capacità di un modello grande e costoso verso un modello piccolo ed economico. In pratica è il passaggio di conoscenze precise e decise a priori da un modello con decine di miliardi di parametri, che permettono di creare un modello addestrato con solo quei parametri, quindi centinaia di volte più piccolo e quindi utilizzabile anche su hardware poco potente.

Il modello di partenza prende il nome di insegnante, il teacher. Ovviamente quello di arrivo è lo studente, lo student. L’obiettivo non è copiare i parametri, che sarebbero comunque inutilizzabili in un’architettura diversa, ma far sì che il modello piccolo impari a comportarsi come quello grande.

La formalizzazione arriva da un articolo del 2015 firmato da Geoffrey Hinton, Oriol Vinyals e Jeff Dean, intitolato Distilling the Knowledge in a Neural Network. Hinton, che nel 2024 ha ricevuto il Nobel per la Fisica, aveva osservato una cosa apparentemente banale: quando una rete neurale addestrata risponde, non produce una certezza secca ma una distribuzione di probabilità. E in quella distribuzione, nelle risposte scartate, c’è più informazione di quanta ce ne sia nell’etichetta corretta.

L’analogia che funziona meglio è quella scolastica. Addestrare un modello da zero equivale a costringere uno studente a leggere l’enciclopedia intera, pagina per pagina, ricavando da solo i collegamenti fra le voci. Distillare significa mettere in aula un insegnante che ha già fatto quel percorso e che trasmette i concetti chiave insieme al modo in cui li ha collegati. Lo studente non rifà lo sforzo originario: eredita il risultato di quello sforzo. Il costo del sapere, in questa metafora, l’ha già pagato qualcun altro.

E questo è il punto da cui nasce la controversia commerciale.

Come funziona la distillazione

Il meccanismo tecnico è più elegante di quanto la cronaca lasci intuire. Nell’addestramento tradizionale un modello impara da etichette rigide: questa immagine è un cane, punto. Nella distillazione lo studente impara invece dai cosiddetti soft target, le probabilità sfumate che l’insegnante assegna a tutte le alternative possibili.

Se l’insegnante guarda la foto di un cane, non dice soltanto “cane”. Dice, per esempio, cane al novantadue per cento, lupo al quattro, gatto all’uno, automobile allo zero virgola zero uno.

Quei numeri apparentemente marginali sono in realtà la parte più preziosa: raccontano che un cane assomiglia più a un lupo che a un gatto, e infinitamente più a un gatto che a un’automobile.

Hinton chiama questa informazione dark knowledge, conoscenza oscura, perché non compare mai nel dataset originale eppure il modello grande l’ha ricavata da solo. Ogni singolo esempio, invece di trasmettere un bit di verità, trasmette l’intera geometria mentale dell’insegnante.

Per rendere visibile quella geometria si usa un parametro chiamato temperatura, che appiattisce la distribuzione e fa emergere le differenze fra le probabilità piccole.

Se masticate un po’ di Python, con qualche riga di NumPy, potete vedere questo concetto in maniera semplice.

import numpy as np

def softmax_con_temperatura(logits, T=1.0):
    # I logits sono i punteggi grezzi 
    # la rete li assegna a ogni classe,
    # prima di essere trasformati in probabilità.
    # Dividerli per T si dice in gergo che 
    # "raffredda" o "riscalda" la distribuzione.
    z = np.array(logits) / T

    # ora togliamo il massimo calcolato 
    # per avere dati più stabili
    e = np.exp(z - np.max(z))   
    return e / e.sum()

# riprendiamo l'esempio della foto del cane
logits = [8.0, 4.5, 2.0, -3.0]   
# 8.0 è "cane", 4.5 è "lupo", 2.0 è "gatto", -3.0 è "automobile"

# Applichiamo la funzione definita all'inizio:

print(softmax_con_temperatura(logits, T=1))
# e con T=1 avremo [0.968 0.029 0.002 0.000]
# in pratica è come se l'insegnante dice solo "cane"

# alziamo la temperatura:

print(softmax_con_temperatura(logits, T=4))
# con T=4 avremo [0.587 0.245 0.131 0.038]
# ora si vede meglio il rapporto fra le classi di valori

Per chi non legge il Python spieghiamo con parole semplici.
A temperatura uguale a 1 la risposta è quasi indistinguibile da un’etichetta rigida, vuol dire che lo studente impara che “cane” è “cane”, che è un po’ poco no?

Alzando la temperatura a 4 la stessa identica rete rivela la sua struttura interna: il lupo pesa sei volte e mezzo l’automobile, il gatto sta in mezzo. Lo studente viene addestrato a riprodurre quella distribuzione, in questo modo assorbe non la risposta ma il ragionamento che la produce.

È il motivo per cui un modello distillato fa molti meno passi per addestrarsi su questi dati, in gergo si dice che “converge più rapidamente”, rispetto a uno addestrato da zero sugli stessi dati.

Da qui nasce la distinzione che spiega il caso Anthropic. Quando si possiede il modello insegnante, si dice che si lavora in modalità white-box. Ossia si accede ai logit interni, si legge tutto, si replica con precisione chirurgica.

Quando invece l’insegnante sta dietro un’API, resta la modalità black-box: i parametri non si vedono, ma le risposte sì.
Ma basta interrogare il modello milioni di volte, magari facendo la stessa domanda ma cambiando la temperatura, per raccogliere gli output e usarli come dataset sintetico di addestramento.
Chiariamo: non si copia il modello, si copia il suo comportamento.
Ma il comportamento, per un sistema statistico, è quasi tutto.

La parte più efficace di questo approccio consiste nel chiedere all’insegnante di esplicitare il percorso logico passo dopo passo, si chiama in gergo chain-of-thought, prima di dare la risposta finale.

Lo studente non impara più soltanto la soluzione, ma la strada per arrivarci. È esattamente la capacità che, secondo il documento di Anthropic, Moonshot avrebbe cercato di ricostruire, e non è un caso: il ragionamento è la parte più costosa da sviluppare e la più redditizia da imitare.

Il risultato finale è un modello che difficilmente supera il proprio maestro, ma che batte regolarmente modelli di pari dimensioni addestrati con metodi convenzionali. Piccolo, veloce, economico. E, in circostanze normali, perfettamente legittimo.

Quali sono i vantaggi della distillazione

C’è una cosa che è importante da dire, che tra una accusa e l’altra rischia di perdersi: la distillazione è una delle cose migliori che siano capitate all’intelligenza artificiale accessibile.

Su questa tecnica si regge buona parte dell’AI che le aziende possono davvero permettersi, come Rivista AI aveva già raccontato analizzando la rivoluzione economica innescata dalla distillazione.

Il vantaggio più immediato è il costo. Addestrare un modello di frontiera da zero richiede centinaia di milioni di dollari, anni di iterazioni fallite e competenze che sul mercato scarseggiano.

Distillarne uno costa una frazione, e soprattutto abbatte la spesa ricorrente dell’inferenza, che è la voce che le aziende pagano davvero tutti i giorni.
Un modello dieci volte più piccolo consuma dieci volte meno per ogni risposta generata, e su volumi industriali la differenza si vede in bilancio.

Per non parlare della latenza. Un modello compatto risponde in millisecondi anziché in secondi, e questo abilita casi d’uso che un modello di frontiera semplicemente non copre: completamento del codice mentre si digita, classificazione di richieste in tempo reale, assistenti conversazionali che non fanno attendere l’utente.
Pensate a quanti scenari produttivi la velocità vale più dell’intelligenza marginale.

C’è poi la questione dell’hardware, che è il vero atto di democratizzazione. Un modello distillato gira su uno smartphone, su un laptop, su un dispositivo edge, senza connessione e senza fatturazione a token.

Chiunque abbia provato a far girare un modello quantizzato sul portatile di casa sa che cinque anni fa sarebbe stata fantascienza.
E da qui discende un beneficio spesso trascurato: la privacy. Se il modello sta sul dispositivo, i dati non lo lasciano mai.
Per uno studio medico, uno studio legale o un’azienda che tratta informazioni sensibili, questo non è un dettaglio ma il presupposto per adottare l’AI.
Chi segue le mie newsletter sa che è un argomento che tratto da tempo.

L’impronta ambientale segue la stessa logica. Meno parametri significano meno GPU accese, meno energia, meno acqua per il raffreddamento dei data center. Non risolve il problema strutturale dei consumi dell’AI, ma sposta la curva nella direzione giusta.

Infine, la ragione per cui i laboratori di sviluppo di IA la usano per primi: intere famiglie di modelli piccoli ed economici nascono da un unico sistema di punta, distillato in versioni progressivamente più leggere.

È una pratica che gli stessi laboratori di frontiera dichiarano apertamente, ed è il motivo per cui accanto a ogni modello di punta esiste oggi una controparte rapida e a basso costo.

Distillare i propri modelli non è controverso: è normale amministrazione.

Quali sono i rischi della distillazione

Il primo rischio è quello che ha portato la parola sui giornali, ed è economico prima che tecnico. Se un concorrente può acquisire capacità avanzate interrogando un’API invece di svilupparle, l’investimento in ricerca originale smette di essere un vantaggio competitivo e diventa un regalo involontario al mercato.

Anthropic ha usato il termine free-riding, che negli usa è uno slang per indicare viaggiare gratis sul biglietto pagato da altri.
Chi pratica la distillazione di modelli altrui invece ribatte che si tratta di democratizzazione. Entrambe le letture contengono qualcosa di vero, ed è precisamente questo che rende questa tecnologia difficile da liquidare con uno slogan.

Il secondo rischio è di sicurezza, ed è quello che merita più attenzione tecnica e meno indignazione.
I modelli di frontiera incorporano strati di allineamento e di filtro costruiti con red teaming, auditing e team dedicati: costano tempo, denaro e latenza.
Quegli strati però non viaggiano insieme agli output. Un modello studente addestrato sulle risposte dell’insegnante eredita le capacità ma non è detto che erediti anche le protezioni, perché le protezioni non stanno nelle risposte: stanno nel processo che le ha generate.
Il risultato è un sistema altrettanto capace e sensibilmente più permissivo, che in ambito cybersecurity significa strumenti efficaci disponibili a chi ha meno scrupoli nell’usarli.
Chi sviluppa sicurezza sostiene un costo; chi clona le capacità e scarta la compliance ottiene un vantaggio che il mercato, da solo, tende a premiare.

Il terzo rischio, che è quello che alla lunga può portare problemi seri a chi riceve i risultati dei modelli distillati, è qualitativo e riguarda chiunque distilli, non solo i casi di cronaca.
Lo studente eredita l’insegnante per intero, difetti compresi.
Bias, errori sistematici, allucinazioni ricorrenti e lacune del modello di partenza si trasferiscono in blocco. Ma il problema è che in un modello più piccolo tendono ad amplificarsi perché c’è meno capacità residua per compensarli.
Vale anche il limite strutturale: un modello compresso raramente regge la stessa complessità di compiti dell’originale, e il degrado non si distribuisce in modo uniforme.
Emerge dove meno lo si aspetta, spesso proprio nei casi limite che in produzione contano di più.

Infine resta l’ambiguità legale.
La distillazione non autorizzata viola quasi certamente i termini di servizio di un’API, il che è un problema contrattuale con rimedi contrattuali. Se costituisca anche furto di proprietà intellettuale davanti a un giudice è un’altro paio di maniche, e la risposta oggi semplicemente non c’é.
Il dibattito è complicato da un’obiezione ricorrente: gli stessi laboratori che denunciano l’estrazione di conoscenza dai propri modelli affrontano da anni cause per aver addestrato quei modelli su materiale protetto da copyright.
Io me la immagino come una cagnara dove tutti i membri del branco si mordono tra loro.

Impatti geopolitici e commerciali

Naturalmente su una tecnologia così versatile questa faccenda della distillazione in poco tempo è uscita dal recinto del mercato ed è arrivata nella politica.
In pochi mesi la distillazione è passata da tema per addetti ai lavori a materia di sicurezza nazionale.

La linea di ragionamento di Washington è lineare: i controlli sull’export dei chip avanzati servono a mantenere un divario tecnologico, ma se quel divario può essere colmato interrogando modelli americani via API questi controlli fisici sull’export perdono efficacia.
Non serve il computer per addestrare da zero se qualcun altro ha già addestrato al posto tuo e vende l’accesso a consumo.

Ne avevamo parlato tempo fa proprio qua su Rivista AI con l’analisi del National Security Technology Memorandum 4, che tratta la protezione dei modelli di frontiera non più come questione commerciale privata ma come responsabilità condivisa con lo Stato, istituendo meccanismi di condivisione di intelligence e promuovendo standard per rilevare i tentativi di estrazione in tempo reale.

Ma come pensano di proteggere questi modelli dalla distillazione?
Scendo un pochino sul tecnico, perché così come quando cambi la porta di casa, sapere come è fatta la serratura e la blindatura è importante.
Al momento le contromisure ricalcano il vocabolario della cybersecurity classica applicato a un oggetto nuovo.
Classificatori di traffico che individuano pattern incompatibili con l’uso umano: alta ripetitività, volumi anomali, ossessione per una capacità sola, controllo dell’origine del traffico e compagna cantante.
Poi c’è il behavioral fingerprinting che collega account apparentemente indipendenti attraverso metodi di pagamento condivisi, intervalli di IP e sincronizzazioni sospette dei tempi di richiesta.
Verifiche rafforzate sugli account educational e di ricerca, che sono storicamente il canale più facile da abusare.
Salvaguardie a livello di prodotto e di modello che riducono l’efficacia dell’estrazione senza degradare l’esperienza di chi usa il servizio in buona fede.

La formulazione di Anthropic è abbastanza logica: un prompt che chiede un’analisi dati da esperto è innocuo; decine di migliaia di sue varianti distribuite su centinaia di account coordinati e puntate tutte sulla stessa capacità disegnano un’altra figura.

Questo atteggiamento da parte di Anthropic è molto più impattante di quanto pensiamo.
Per anni un endpoint API è stato trattato come un canale commerciale: prezzo a token, documentazione ordinata, dashboard elegante.
Oggi un’API è anche una porta d’attaccare, perché ogni risposta generata porta con sé informazione sul modello che l’ha prodotta e ogni cliente può essere, contemporaneamente, un concorrente metodico.
Chi come me ha vissuto la stagione dei motori di ricerca conosce bene questa dinamica: anche allora il valore stava nel comportamento dei “clienti”, non nel codice, e anche allora si scoprì che ciò che si espone al pubblico è, per definizione, ciò che il pubblico può analizzare, misurare, smontare e riutilizzare senza permesso.

Ed in Europa che succede?
Se gli Stati Uniti blindano i modelli e la Cina accelera sull’autonomia strategica, il rischio è quello di specializzarsi nella regolamentazione di tecnologie prodotte altrove.
Per le aziende, la lezione operativa è più concreta: il vantaggio competitivo non coincide più con il modello, ma con il sistema che lo circonda, cioè infrastruttura, telemetria, controllo degli accessi, monitoraggio delle query e capacità di risposta agli incidenti.
Così come è l’infrastruttura di NVida che crea il monopolio, anche nelle aziende di AI è l’habitat in cui vivono i modelli ad essere il vero punto di forza del business.
La verità è quindi che la proprietà intellettuale, nel 2026, ha smesso di essere un documento depositato ed è diventata un flusso di segnali prodotti dai tantissimi sistemi, segnali da presidiare in continuo.

Una nota per chi progetta sistemi, che è poi il motivo per cui vale la pena capire questa tecnica invece di limitarsi a seguire la polemica.
La distillazione, usata sui propri modelli o su modelli aperti con licenze che la consentono, resta uno degli strumenti più efficaci a disposizione di un’azienda che voglia portare l’AI in produzione a costi sostenibili.
Il confine fra pratica virtuosa ed estrazione predatoria non passa per il metodo, che è identico nei due casi, ma passa per il consenso di chi ha costruito l’insegnante. Ed è una distinzione che nessun algoritmo può stabilire al posto nostro.