La Cina usa i modelli di IA statunitensi per sviluppare sistemi militari: come funziona la distillazione

Che cos'è la distillazione dei modelli

La distillazione è, in origine, una tecnica legittima di compressione dell'IA. Un modello potente, il “docente”, risponde a una grande quantità di domande attraverso la propria API pubblica. Le coppie domanda-risposta vengono poi usate per addestrare un modello più piccolo, lo “studente”, che impara a riprodurre parte delle capacità e dei comportamenti del sistema originale .

Quando viene applicata a un modello proprietario senza autorizzazione, la stessa procedura può trasformarsi in un'attività di estrazione delle capacità. Non si copia direttamente il modello né il suo codice: si raccolgono sistematicamente i suoi output per costruire un sistema alternativo.

Per applicazioni militari, il vantaggio è significativo. Un modello più piccolo può essere eseguito su infrastrutture locali e su dispositivi con risorse limitate, senza dover disporre della potenza di calcolo necessaria per sviluppare da zero un modello di frontiera .

Dalla sorveglianza ai droni

I documenti esaminati da Reuters indicano applicazioni in diversi ambiti della difesa :

• Sorveglianza e ricognizione, con strumenti per l'analisi dell'intelligence ;
• Guerra cibernetica, attraverso sistemi automatizzati di attacco e difesa ;
• Droni e operazioni tattiche, comprese le flotte autonome e il supporto alle decisioni sul campo ;
• Veicoli militari, come un mezzo di Norinco, azienda statale cinese della difesa, alimentato da DeepSeek e progettato per compiti autonomi di supporto al combattimento, con una velocità dichiarata fino a 50 chilometri orari .

Un documento della struttura dell'Esercito popolare di liberazione identificata come Unità 96904 descrive esplicitamente la distillazione di modelli statunitensi per ottenere versioni “più piccole e più sicure” adatte all'impiego nella difesa .

Un altro articolo, attribuito all'Unità 96941 di Pechino, associata all'intelligence militare e alla guerra cibernetica, descrive l'uso di GPT-3.5 di OpenAI per elaborare codice sorgente militare sensibile. Inoltre, un lavoro del 2024 della National University of Defense Technology dell'Esercito popolare di liberazione illustra come ridurre un modello di elaborazione delle immagini per utilizzarlo su hardware militare con capacità limitate .

Il vantaggio: saltare anni di sviluppo

Addestrare un modello di frontiera da zero richiede enormi quantità di dati, anni di ricerca, infrastrutture costose e accesso a semiconduttori avanzati. La distillazione permette di trasferire alcune di quelle capacità a un costo marginale molto più basso .

Le aziende statunitensi sostengono che alcuni operatori cinesi abbiano sfruttato account fraudolenti e reti proxy per aggirare i limiti delle API. In un'indagine resa pubblica da Anthropic sono state individuate oltre 16 milioni di interazioni generate tramite circa 24.000 account fraudolenti, rivolte alle capacità di ragionamento, all'uso di strumenti e alla programmazione di Claude. Secondo Anthropic, la società cinese MiniMax sarebbe stata responsabile da sola di oltre 13 milioni di quelle interazioni .

Queste cifre riguardano accuse di estrazione da parte di aziende cinesi e non dimostrano, da sole, che ogni documento militare esaminato da Reuters derivi direttamente da quelle campagne. Mostrano però la scala potenziale del metodo e spiegano perché Washington lo consideri una questione di proprietà intellettuale e sicurezza nazionale.

Le accuse e la risposta degli Stati Uniti

Il confronto si è intensificato nel corso del 2026:

• Febbraio 2026: OpenAI, Anthropic e Google hanno pubblicato elementi su campagne coordinate attribuite a DeepSeek, Moonshot AI e MiniMax. Anthropic le ha definite operazioni deliberate di “distillation attack” .
• Aprile 2026: una commissione della Camera dei rappresentanti statunitense ha esaminato un memorandum di OpenAI, secondo cui le campagne avrebbero utilizzato pipeline sofisticate e articolate in più fasi, con numerosi account API, reti proxy e tecniche per imitare il comportamento degli utenti e sfuggire ai controlli .
• Giugno 2026: Anthropic ha accusato Alibaba di avere condotto quella che ha definito la più grande violazione nota ai danni del modello Claude. La campagna, secondo l'azienda, si sarebbe svolta tra il 22 aprile e il 5 giugno .
• Luglio 2026: il segretario al Tesoro statunitense Scott Bessent ha prospettato possibili sanzioni dopo avere accusato il laboratorio cinese Moonshot di aver distillato il modello Kimi K3 a partire dal modello Fable 5 di Anthropic. Il Bureau of Industry and Security del Dipartimento del Commercio sta inoltre verificando se aziende cinesi abbiano ottenuto illegalmente l'accesso a chip avanzati statunitensi .

Le accuse provengono principalmente dalle aziende coinvolte e dalle autorità statunitensi; non equivalgono automaticamente a una violazione accertata in sede giudiziaria.

I limiti tecnici della distillazione

La tecnica è potente, ma non è una scorciatoia priva di costi o difetti.

• Un limite alle conoscenze: il modello studente, in genere, non supera il modello docente da cui apprende. Ne eredita capacità, lacune e schemi di errore .
• Perdita di precisione: a ogni ciclo di distillazione possono degradarsi il ragionamento più dettagliato, le conoscenze rare e alcune forme di allineamento alla sicurezza .
• Protezione più debole: una ricerca accademica indica che la distillazione con etichette morbide può compromettere la sicurezza del modello studente fino a 50 punti percentuali in più rispetto al fine-tuning, pur mantenendo le prestazioni nei compiti ordinari . I modelli distillati possono quindi non conservare i comportamenti di rifiuto e le protezioni del sistema originale . Anthropic avverte che i modelli ottenuti illecitamente possono non avere le salvaguardie necessarie, creando rischi rilevanti per la sicurezza nazionale .
• Difese ancora incomplete: perturbare gli output, avvelenare i dati o imporre limiti alle richieste può non bastare contro campagne distribuite e condotte in più fasi. Alcuni studi hanno rilevato che queste contromisure incidono poco sulla qualità delle capacità specifiche che un attaccante vuole estrarre .

Perché la perdita delle salvaguardie è il rischio maggiore

Il problema non è soltanto che un concorrente possa ottenere un modello più economico. Un sistema distillato può conservare capacità operative, di programmazione o di analisi, ma perdere parte dei vincoli che impediscono di usarle per attività dannose.

Questo crea almeno quattro rischi:

• Proliferazione di sistemi meno sicuri: modelli privi di alcune protezioni possono essere adattati a sorveglianza, operazioni militari o attività cibernetiche vietate dai termini di servizio delle aziende statunitensi .
• Erosione del vantaggio tecnologico americano: la distillazione può ridurre il tempo e il capitale necessari per avvicinarsi alle prestazioni di sistemi sviluppati dopo anni di ricerca proprietaria .
• Attribuzione difficile: un modello accessibile tramite API è una “scatola nera”. Un uso intenso può assomigliare a quello di un cliente legittimo, rendendo complessi il rilevamento e l'attribuzione dell'attacco .
• Escalation delle contromisure: nel marzo 2026 Anthropic ha inserito codice di tracciamento in Claude Code per identificare utenti cinesi, secondo quanto riferito dal Washington Post . Misure di questo tipo possono alimentare una spirale in cui le attività di ciascuna parte vengono interpretate come ostili .

La nuova frontiera del disaccoppiamento tecnologico

La disputa sulla distillazione sta aggiungendo un ulteriore fronte al disaccoppiamento tecnologico tra Stati Uniti e Cina. Oltre ai controlli sull'esportazione dei chip avanzati, sono in discussione restrizioni sull'accesso alle API, procedure di verifica dell'identità degli sviluppatori e possibili sanzioni finanziarie .

La questione strategica è quindi duplice. Da un lato, la distillazione consente di sfruttare investimenti e capacità sviluppati da altri laboratori a una frazione del costo. Dall'altro, il trasferimento può produrre sistemi più piccoli e meno vincolati, con applicazioni in ambito militare e di sicurezza.

Per Washington, impedire l'estrazione delle capacità senza rendere inutilizzabili i propri servizi sarà una sfida tecnica e politica. Per Pechino, la possibilità di trasformare l'accesso a modelli stranieri in sistemi locali specializzati offre un modo per attenuare, almeno in parte, gli effetti dei limiti su chip e infrastrutture. È questo equilibrio instabile — tra innovazione, protezione della proprietà intellettuale e sicurezza — a rendere la distillazione uno dei punti più delicati della rivalità tra le due potenze nell'intelligenza artificiale.