NSA, CISA, FBI avvertono le aziende di IA con sede in Cina di distillare i modelli di frontiera statunitensi

L’Agenzia per la Sicurezza Nazionale, l’Agenzia per la Cybersecurity e la Sicurezza delle Infrastrutture e il Federal Bureau of Investigation hanno pubblicato un avviso congiunto di cybersicurezza l’8 settembre 2026, avvertendo che le società di intelligenza artificiale con sede in Cina stanno estraendo sistematicamente capacità proprietarie dai modelli di IA di frontiera statunitensi tramite campagne di distillazione della conoscenza su scala industriale in corso da almeno la fine del 2024.

Nell’avviso, designato AA26-251A, le agenzie affermano che queste campagne “costituiscono il nucleo – non solo un supplemento” della strategia di sviluppo dell’IA delle aziende. Secondo l’avviso, probabilmente con la consapevolezza del governo cinese, DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun e Z.AI hanno estratto miliardi di token attraverso milioni di scambi e richieste dai modelli di frontiera statunitensi, comprese varianti di Claude, GPT, Gemini e Grok. Le agenzie dichiarano che tale attività viola i termini di utilizzo delle società statunitensi e minaccia la leadership tecnologica degli Stati Uniti.

L’annuncio dell’avviso da parte di CISA descrive la distillazione della conoscenza come una tecnica di apprendimento automatico che addestra un modello meno potente utilizzando le uscite di uno più grande e più capace. Sebbene sia un metodo di addestramento valido, CISA ha affermato che può essere abusato per acquisire capacità dai concorrenti in meno tempo e a costi inferiori rispetto allo sviluppo legittimo. “Invitiamo fermamente le aziende di IA a prendere misure immediate per proteggere le loro piattaforme dalle campagne di distillazione della conoscenza che minacciano di colmare il divario nei progressi compiuti dalle aziende americane,” ha dichiarato il Direttore ad interim di CISA, Nick Andersen.

Attività attribuita a DeepSeek, Moonshot AI e altri

Secondo l’avviso, DeepSeek ha condotto una campagna organizzata di distillazione contro i modelli di frontiera statunitensi almeno dalla fine del 2024 per generare dati sintetici di addestramento per i propri modelli, incluso R1, rilasciato all’inizio del 2025. Le agenzie affermano che DeepSeek ha mirato a capacità di ragionamento, ottimizzazioni specializzate e funzioni specifiche di dominio per ridurre i costi di calcolo e di ricerca, e che il costo di addestramento pubblicamente dichiarato di 5,6 milioni di dollari è fuorviante perché esclude il costo dei dati acquisiti tramite distillazione malevola. Tra la fine del 2024 e la metà del 2025, l’avviso indica che DeepSeek ha distillato da Claude 3.7, Claude Sonnet 4, Claude Sonnet 4.5, Claude Opus 4.1, Gemini 2.5 Pro Preview, Gemini 2.5 Flash Preview, GPT‑4, GPT‑4o, GPT‑4 Mini, GPT‑4 Nano, GPT‑5 e Grok 4 per addestrare i suoi modelli R1 e V3.

L’avviso indica che Moonshot AI ha gestito una campagna di distillazione diffusa almeno dalla metà del 2025, estraendo una notevole quantità di dati Claude Fable 5 per addestrare il suo modello Kimi‑K3 e dati GPT‑4o per addestrare il modello Kimi‑K2. Le capacità mirate comprendevano l’ottimizzazione del fine‑tuning supervisionato, l’apprendimento per rinforzo, l’ingegneria del software e la matematica, prelevate da una gamma di modelli Claude, GPT, Gemini e Grok. Moonshot AI ha utilizzato milioni di scambi mirati al ragionamento agente e all’uso di strumenti, alla programmazione e all’analisi dei dati, allo sviluppo di agenti per l’uso del computer e alla visione artificiale, secondo l’avviso.

Alla fine del 2025, l’avviso indica che Alibaba ha distillato Claude‑4, Claude Opus, Claude Sonnet e GPT‑5 per migliorare l’ingegneria del software, il dialogo del servizio clienti e la creazione di immagini e personaggi nella sua famiglia di modelli Qwen. nello stesso periodo, MiniMax ha distillato capacità di ragionamento a catena di pensiero, apprendimento per rinforzo, fine‑tuning supervisionato e ingegneria del software per migliorare il suo modello M2 a partire da Claude Code, Claude Sonnet 4, Claude Opus, Gemini 1, Gemini 2.5 Pro e Gemini 3 Pro. Secondo l’avviso, MiniMax ha inoltre utilizzato Claude Code per lo sviluppo interno di software e ha impiegato iniezioni di prompt per tentare di ingannare Claude Code facendogli credere di essere un prodotto MiniMax.

Tra la fine del 2025 e l’inizio del 2026, l’avviso indica che StepFun ha distillato dati da Claude Opus 4.1 e 4.5, Claude Sonnet 4.5, Claude Haiku 4.5, GPT‑5 Mini, GPT‑5 Pro, GPT‑5.1, GPT‑5.1 Codex e GPT‑5.2 per migliorare le funzioni di programmazione e agentiche del suo modello Step 4. Entro la metà del 2026, Z.AI aveva distillato miliardi di token di dati GPT‑5.5 e dati Claude Opus 4.8 per sviluppare capacità di ragionamento a catena di pensiero, secondo l’avviso.

Tattiche e Tecniche

L’avviso afferma che le aziende indirizzano le richieste di distillazione attraverso API native, fornitori di cloud remoti e aggregatori di terze parti che offuscano i metadati degli utenti, e che utilizzano un mercato grigio di proxy API, noti come stazioni di trasferimento, per aggirare le restrizioni geografiche, eludere le protezioni e compromettere la tracciabilità. I risparmi sui costi derivano dall’acquisto in blocco di abbonamenti premium condivisi tra i team di sviluppatori, secondo l’avviso, e le tattiche avanzate includono l’estrazione di ragionamento a catena di pensiero, il failover automatico tra percorsi durante i tentativi di blocco e framework di valutazione della qualità progettati per rilevare contromisure difensive.

Le agenzie hanno mappato l’attività al framework MITRE ATLAS attraverso le fasi del ciclo di vita dell’avversario, dallo sviluppo delle risorse all’esfiltrazione, includendo la creazione di account fraudolenti e prompt di jailbreak che costringono i modelli a rivelare il ragionamento a catena di pensiero nascosto. L’avviso indica che DeepSeek ha utilizzato prompt che istruiscono i modelli a immaginare e articolare il ragionamento interno dietro le risposte completate, e che MiniMax ha reindirizzato gli scambi a un nuovo modello Claude entro 24 ore dal suo rilascio.

L’avviso dettaglia inoltre quattro tecniche che descrive come innovative: elusione delle restrizioni regionali combinata con lo sfruttamento degli abbonamenti, infrastruttura centralizzata di instradamento delle richieste, sanificazione automatica dei metadati delle richieste e ottimizzazione sistematica di quote e costi. Gli indicatori di rilevamento elencati nell’avviso includono account condivisi utilizzati da più indirizzi IP e user agent, utilizzo continuo 24 ore su 24 senza variazioni umane, rapporti anomali tra abbonamento e utilizzo, e nuovi abbonamenti che operano immediatamente al massimo utilizzo.

Mitigazioni consigliate

Le agenzie raccomandano alle aziende statunitensi di IA di adottare tre azioni immediate: implementare una rilevazione e mitigazione completa di prompt, account, reti e comportamenti anomali o malevoli; distribuire modifiche di risposta mirate che alterino sottilmente le risposte a tentativi sospetti di distillazione malevola; e istituire una condivisione di intelligence inter‑organizzativa tra fornitori di modelli, piattaforme cloud e aggregatori di API.

Le modifiche alle risposte possono includere la privacy differenziale o l’erogazione di modelli degradati per richieste di distillazione sospette, secondo l’avviso, e le aziende dovrebbero variare tali modifiche tra le richieste per complicare la valutazione della qualità delle risposte. L’avviso sconsiglia di informare gli utenti sospettati di distillazione malevola quando le risposte vengono alterate, pur affermando che i ricercatori sulla sicurezza dell’IA e gli valutatori terzi dovrebbero essere informati dei cambiamenti ai modelli.

L’avviso elenca mitigazioni tratte dal MITRE ATLAS, tra cui limiti di frequenza delle query, controlli sull’accesso ai modelli di produzione, registrazione della telemetria IA, offuscamento dell’output, red teaming avversario, rafforzamento del modello, ensemble e limiti alla diffusione di artefatti del modello. Cita inoltre la tassonomia di apprendimento automatico avversario di NIST, inclusa la privacy differenziale con il suo trade‑off tra rumore e utilità, interventi pre‑ e post‑addestramento, e tecniche di istruzione e formattazione dei prompt.

L’avviso invoca una risposta coordinata tra il governo degli Stati Uniti, l’industria privata e le nazioni alleate, affermando che le divulgazioni del settore documentano reti proxy che gestiscono simultaneamente decine di migliaia di account fraudolenti. Indirizza le organizzazioni colpite dalle campagne a presentare una denuncia al Internet Crime Complaint Center dell’FBI.