Gli USA accusano la Cina di rubare l’AI. Ma scusate, internet chi lo ha copiato per primo?

OpenAI ha sospeso una campagna di distillazione avversaria legata a Moonshot AI, iniziata con 16.000 richieste in due giorni da 4.000 utenti. Gli attaccanti hanno interagito con i modelli per estrarre ragionamenti interni, senza violare crittografia o database. La campagna è stata fermata il 28 luglio.

Premesso che è meglio un modello a open weight che se vuoi puoi pagare a token, che uno solo a token che non ti dà una scelta.

Questa volta (e non è la prima), i rappresentanti di OpenAI, hanno comunicato di aver bloccato una campagna su larga scala di distillazione, in cui i partecipanti tentavano di estrarre i ragionamenti protetti dai modelli di intelligenza artificiale. Il principale cluster di questa attività all’interno dell’azienda è associato a campagne legate allo sviluppatore Kimi, e l’azienda cinese Moonshot AI.

Secondo i dati di OpenAI, la campagna è iniziata il 1 luglio 2026 con un numero limitato di richieste, ma già dal 24 al 25 luglio l’attività è aumentata significativamente. In quei due giorni, i sistemi dell’azienda hanno registrato oltre 16.000 richieste con un pattern caratteristico di estrazione di dati, provenienti da più di 4.000 utenti. Ulteriori indagini hanno rivelato un’attività simile proveniente da account di 15.000 utenti.

La campagna è stata completamente fermata il 28 luglio.

Nel rapporto si sottolinea che gli attaccanti non hanno violato la crittografia, le basi di dati e non hanno ottenuto accesso alle cronologie delle conversazioni degli utenti. Invece, hanno interagito con le modelli in modo particolare, costringendole a riprodurre i loro ragionamenti interni in una forma accessibile agli utenti.

In OpenAI definiscono quanto accaduto come «adversarial distillation», ovvero «distillazione avversaria». Tali attacchi vengono utilizzati per raccogliere su larga scala le risposte e i ragionamenti delle potenti modelli, e i dati raccolti vengono poi utilizzati per addestrare o migliorare altri modelli linguistici di grandi dimensioni (LLM). Non è stato specificato quali modelli di OpenAI siano stati presi di mira dagli attacchi. Inoltre, in OpenAI riconoscono che non tutti gli operatori di questa campagna potevano essere collegati a Moonshot AI.

Si segnala che, dopo l’indagine, gli ingegneri di OpenAI hanno bloccato gli account utilizzati nella campagna, hanno rafforzato le procedure di registrazione e i controlli infrastrutturali, e hanno ampliato il monitoraggio. Inoltre, gli esperti sottolineano di aver chiuso la possibilità di ritrasmettere ai modelli blocchi crittografati con ragionamenti interni ottenuti da conversazioni elaborate dai modelli, il che in precedenza permetteva di ricostruirne il contenuto.

Va notato che il problema descritto si collega a un studio pubblicato ad agosto 2026. Allora, i ricercatori di MATS Research, dell’Istituto ELLIS di Tubinga (ELLIS Institute Tübingen) e di Snyk hanno scoperto che i blocchi crittografati con i ragionamenti interni dei modelli possono essere riutilizzati in altre sessioni, con altri account e persino con altre modelli dello stesso fornitore. In altre parole, se si trasmette un tale blocco a un modello più debole e meno protetta dello stesso fornitore, si può costringerlo a decrittare il contenuto e a riprodurlo in un testo aperto.

I ricercatori hanno avvertito che tale tecnica permette di scalare il jailbreak, aggirare le protezioni contro la distillazione, estrarre dati privati e persino nascondere prompt injection all’interno dei blocchi crittografati.

Inoltre, in OpenAI ritengono che la distillazione su larga scala crei non solo rischi commerciali, ma anche rischi per la sicurezza informatica e la sicurezza nazionale: i ragionamenti rubati permettono di addestrare altre modelli, ma i meccanismi di protezione dell’originale non vengono conservati, e il trasferimento di capacità avanzate avviene senza costi di sicurezza comparabili.

Ricordiamo che non sono le prime accuse di questo tipo rivolte a Moonshot AI: a settembre 2026, i rappresentanti di Anthropic hanno dichiarato che il modello Kimi inviava segretamente parte delle richieste dei clienti a Claude, e mostrava agli utenti le risposte ottenute, facendole passare per proprie. Di conseguenza, gli utenti credevano di interagire con Kimi, mentre in realtà stavano interagendo con Claude. Secondo la versione di Anthropic, parte di queste conversazioni in Moonshot AI venivano salvate e utilizzate per addestrare il proprio modello.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response