Anthropic ha portato lo scontro sull’intelligenza artificiale cinese dentro una nuova zona grigia, dove il confine tra competizione tecnologica, reverse engineering e appropriazione industriale diventa sempre più difficile da tracciare. Nel Threat Intelligence Report pubblicato il 10 settembre 2026, la società californiana sostiene di avere individuato e interrotto una serie di campagne di distillazione condotte da laboratori di AI con base nella Repubblica Popolare Cinese. Secondo Anthropic, cinque campagne avrebbero generato complessivamente quasi 200 milioni di scambi con Claude, con l’obiettivo di acquisire capacità del modello e utilizzarle per migliorare sistemi concorrenti. L’azienda parla di attività attribuite con elevata confidenza a specifici operatori cinesi e indica tra i soggetti coinvolti Alibaba, Moonshot AI, DeepSeek, Xiaomi e altri laboratori. Il rapporto complessivo cita sette realtà cinesi impegnate, secondo Anthropic, in differenti forme di abuso o distillazione.

Il dato che cambia la scala della vicenda è quello relativo ad Alibaba. Anthropic afferma di avere osservato oltre 151 milioni di exchange tra maggio e luglio 2026 in una campagna attribuita a operatori affiliati ad Alibaba e al laboratorio Qwen. Il traffico avrebbe raggiunto un picco di quasi tre milioni di scambi al giorno e sarebbe stato distribuito attraverso più di 3.500 account fraudolenti. L’azienda sostiene che gli operatori utilizzassero un prompt fisso per costringere Claude a produrre transcript espliciti del proprio ragionamento, successivamente trasformati in materiale utilizzabile per il supervised fine-tuning. Anthropic collega esplicitamente questi dati all’evoluzione dei modelli Qwen 3.5, 3.6 e 3.7. È una contestazione estremamente pesante, ma resta una contestazione: il rapporto documenta l’attribuzione effettuata da Anthropic, non una verifica indipendente del processo di addestramento interno di Alibaba.

La questione tecnica merita maggiore precisione rispetto alla formula ormai abusata di “furto della chain of thought”. La distillazione, in sé, è una tecnica perfettamente legittima e utilizzata dalla stessa industria dell’AI per trasferire capacità da modelli più grandi a modelli più piccoli, riducendo costi computazionali e tempi di sviluppo. Diventa problematica quando un laboratorio utilizza sistematicamente un modello concorrente, senza autorizzazione e in violazione delle condizioni di accesso, per produrre dataset destinati all’addestramento di un proprio sistema. Anthropic aveva già denunciato nel febbraio 2026 campagne di questo tipo attribuite a DeepSeek, Moonshot AI e MiniMax, parlando allora di oltre 16 milioni di exchange generati attraverso circa 24.000 account fraudolenti. Il salto quantitativo rispetto a quei numeri è notevole.

Nel caso Alibaba, Anthropic sostiene di avere individuato un meccanismo particolarmente aggressivo. Le richieste erano costruite per far scrivere a Claude il proprio ragionamento in formato testuale, aggirando le modalità con cui il modello normalmente presenta agli utenti soltanto una versione sintetizzata del processo di thinking. Secondo il rapporto, gli operatori inserivano istruzioni specifiche all’interno dei prompt per ottenere le tracce di ragionamento prima della risposta finale. È significativo perché il valore economico di un frontier model non risiede soltanto nelle risposte corrette, ma nella capacità di affrontare problemi complessi, pianificare sequenze di azioni, utilizzare strumenti, scrivere software e mantenere coerenza durante attività lunghe. Se queste capacità possono essere convertite in milioni di esempi di training, il modello concorrente diventa, almeno in parte, un gigantesco generatore di dati sintetici.

Una delle tecniche descritte da Anthropic mostra quanto sia diventata sofisticata la corsa all’estrazione dei comportamenti dei modelli. In un caso, il sistema sarebbe stato indotto a trattare una richiesta di estrazione del ragionamento come una semplice operazione di traduzione, con l’istruzione di trasformare la “working memory” precedente in giapponese scritto esclusivamente in katakana. Non è un dettaglio folcloristico da laboratorio di prompt engineering. È la dimostrazione di un problema strutturale: quando un modello viene trattato come un servizio remoto, ogni interazione costituisce potenzialmente una sorgente di dati per studiarne comportamenti, capacità e vulnerabilità. La sicurezza dell’API diventa quindi parte integrante della proprietà intellettuale del modello.

Il caso Moonshot introduce una seconda dimensione, ancora più delicata perché riguarda direttamente i dati degli utenti. Anthropic sostiene che Moonshot, sviluppatore dei modelli Kimi, abbia instradato verso Claude milioni di richieste originariamente destinate ai propri sistemi, utilizzando le risposte ottenute come materiale per l’addestramento. Nel rapporto, Anthropic parla di circa 23 milioni di richieste riconducibili a Moonshot nel periodo esaminato. Separatamente, descrive una campagna nella quale quasi 300.000 richieste sarebbero state indirizzate a Claude nell’arco di dieci giorni attraverso una rete di circa 5.000 account; alcune richieste avrebbero riguardato attività di sorveglianza e una di esse sarebbe stata collegata, secondo la valutazione di Anthropic, a un soggetto riconducibile all’apparato militare cinese. La distinzione tra questi due numeri è importante: non sono due stime alternative dello stesso fenomeno, ma campagne e categorie di traffico differenti descritte nel rapporto.

Il problema più serio, tuttavia, non riguarda soltanto la clonazione delle capacità. Anthropic sostiene che DeepSeek, Xiaomi e Moonshot abbiano trasferito a Claude conversazioni originariamente intercorse tra i loro modelli e i rispettivi utenti, alcune delle quali avrebbero contenuto dati aziendali, credenziali, nomi, indirizzi email e altre informazioni sensibili. In almeno alcuni casi, secondo Anthropic, le richieste sarebbero passate attraverso servizi di model routing utilizzati da clienti negli Stati Uniti e in Europa. Significa che un utente potrebbe avere creduto di utilizzare un modello cinese mentre una parte della sua richiesta veniva elaborata da Claude, trasformando inconsapevolmente dati aziendali e informazioni riservate in materiale di training per un sistema esterno. Anthropic ritiene che pratiche di questo tipo possano essere incompatibili con normative sulla privacy e con i termini di servizio dei laboratori coinvolti.

La dimensione geopolitica arriva in un momento particolarmente sensibile. Il 8 settembre le autorità statunitensi avevano già accusato sei società cinesi di condurre attività di distillazione “aggressive, malicious and targeted” su scala industriale, sostenendo che fossero state utilizzate per accelerare lo sviluppo di modelli cinesi e potenziare capacità militari e cyber. Pechino ha respinto le accuse, definendo la distillazione una tecnica tecnologica neutrale e accusando Washington di utilizzare la proprietà intellettuale come strumento per contenere la competizione cinese. La pubblicazione del rapporto Anthropic, quindi, non arriva nel vuoto: si inserisce in una crescente securitizzazione dell’AI, nella quale il modello non viene più considerato soltanto un prodotto software ma una capacità strategica paragonabile, per valore geopolitico, a infrastrutture cloud, semiconduttori e sistemi di calcolo avanzato.

La cosa interessante è che questa guerra non richiede necessariamente di rubare un modello. Basta poterlo interrogare milioni di volte. Un frontier model esposto via API può diventare contemporaneamente prodotto, infrastruttura e dataset. Se un concorrente dispone di denaro sufficiente, account sufficienti e un sistema automatico capace di generare richieste, può trasformare milioni di chiamate apparentemente banali in una procedura industriale di reverse engineering. Il costo marginale di ogni singola interrogazione può essere minimo; moltiplicato per centinaia di milioni di interazioni, diventa comunque enormemente inferiore al costo di costruire autonomamente una capacità equivalente.

Per questo la vicenda Alibaba assume un significato che va oltre la rivalità tra Claude e Qwen. Il problema economico dell’AI frontier è che una parte significativa del valore è incorporata nei dati generati durante l’inferenza. L’azienda che spende miliardi per addestrare un modello potrebbe quindi scoprire che una frazione del proprio vantaggio competitivo viene trasformata in dati osservabili ogni volta che il modello risponde a una richiesta. La vecchia distinzione tra training e inference perde così parte della sua utilità strategica: l’inference diventa una fase di produzione del capitale intellettuale, e proteggerla diventa importante quasi quanto proteggere il training cluster.

Anthropic afferma di avere reagito bloccando gli account coinvolti, rafforzando i sistemi di rilevamento e introducendo ulteriori controlli sull’accesso. La società ha già dimostrato a febbraio di considerare la distillazione un problema industriale e non un semplice abuso individuale. La nuova scala, tuttavia, suggerisce che la difesa non può essere affidata soltanto a filtri sui prompt. Se un laboratorio dispone di migliaia di account, proxy residenziali, pagamenti virtuali e infrastrutture distribuite, la sicurezza diventa una questione di intelligence operativa, analisi comportamentale e attribuzione degli attori. È, in sostanza, cybersecurity applicata ai modelli.

Il caso Anthropic suggerisce una realtà meno elegante: una parte della battaglia potrebbe essere combattuta nelle API, nei log, negli account falsi e nei sistemi di routing. Il modello più costoso del mondo può diventare un insegnante involontario per il suo concorrente più aggressivo. La frontiera dell’AI, a questo punto, non è soltanto chi costruisce il modello migliore, ma chi riesce a impedire che il proprio modello diventi il miglior professore gratuito disponibile sul mercato.

Le cifre, le attribuzioni e le ricostruzioni pubblicate nel rapporto provengono da Anthropic, che ha un evidente interesse commerciale e strategico nel dimostrare l’esistenza di campagne illegittime contro Claude. Il rapporto contiene elementi tecnici dettagliati e dati quantitativi considerevoli, ma non equivale a una sentenza né a un’indagine indipendente. Le aziende cinesi citate dovrebbero quindi essere considerate, allo stato attuale, destinatarie di accuse documentate da Anthropic, non soggetti la cui responsabilità sia stata definitivamente accertata. È una distinzione poco spettacolare, ma nell’intelligence tecnologica la differenza tra “abbiamo rilevato e attribuito” e “è stato provato” vale spesso più di cento milioni di token.