Il Ragionamento Segreto dell’IA non è più al Sicuro: ecco come gli Attacchi 'Stolen Thoughts' e REP hanno Cambiato le Regole del Gioco

L'Attacco 'Stolen Thoughts' — Pubblicato il 10-11 agosto 2026 nel paper 'Stealing Reasoning Traces from Proprietary LLM APIs' (arXiv:2608.09867), i ricercatori Panfilov, Schmotz, Shumailov, Beurer-Kellner, Schaeffer, Prabhu, Geiping e Andriushchenko hanno scoperto un difetto architetturale critico. I blocchi di 'pensiero' crittografati che Anthropic, OpenAI e Google restituiscono ai client API non sono adeguatamente legati alla loro fonte. Questi blocchi possono essere prelevati da una conversazione e 'reindirizzati' (replay) a un modello 'fratello' più debole e meno protetto dello stesso fornitore, che poi stampa il ragionamento nascosto del modello avanzato in testo chiaro . L'attacco funziona tra sessioni diverse, tra account utente diversi e tra modelli diversi all'interno dello stesso ecosistema del fornitore . I ricercatori hanno confermato che la tecnica funziona su tutte le principali aziende di IA di frontiera testate, e la lunghezza del ragionamento recuperato corrisponde quasi 1:1 al conteggio dei token di pensiero nascosti segnalato dall'API .

Prove per la Controversia sulla Distillazione di Kimi K3

Le tracce di ragionamento estratte forniscono segnali di addestramento di alta qualità per la distillazione del modello — la pratica di usare gli output di un modello più forte per addestrarne uno più piccolo ed economico . Questa tecnica è al centro di un'accesa controversia che coinvolge i laboratori di IA cinesi:

• Anthropic ha dichiarato pubblicamente che i laboratori cinesi, tra cui DeepSeek, Moonshot e MiniMax, hanno utilizzato circa 24.000 account fraudolenti per generare oltre 16 milioni di scambi con Claude, eludendo le restrizioni di accesso .
• Kimi K3, rilasciato a luglio 2026 da Moonshot AI, è stato citato dalla Jamestown Foundation come un modello specifico costruito tramite distillazione, con prestazioni dichiarate paragonabili a quelle di Claude Fable 5 (Anthropic) e GPT-5.6 Sol (OpenAI) .
• Ryan Greenblatt (Redwood Research) ha pubblicato un'analisi statistica che mostra confronti di entropia incrociata, suggerendo che gli output di Kimi K3 sono molto allineati con quelli dei modelli Claude di Anthropic .
• Il consigliere scientifico della Casa Bianca, Michael Kratsios, ha accusato pubblicamente Moonshot di aver costruito Kimi K3 attraverso la 'distillazione industriale occulta' .

Tuttavia, le prove non sono definitive. Ricercatori come Braden Hancock (Laude Institute) e Nathan Lambert (Allen Institute for AI) sostengono che la sola distillazione non può spiegare tutte le capacità di Kimi K3. Un PDF ampiamente diffuso che sosteneva di provare la distillazione della catena di pensiero è stato criticato per aver combinato un esperimento limitato con affermazioni non supportate .

Rischi per la Sicurezza Posti dalla Vulnerabilità

Il difetto introduce rischi concreti che vanno oltre il furto di proprietà intellettuale:

• Perdita di credenziali e dati personali (PII) : I ricercatori hanno decodificato 315.320 blocchi di ragionamento prelevati da repository pubblici e hanno recuperato 367 artefatti PII e 182 credenziali (tra cui chiavi API e password) che erano state incorporate all'interno delle tracce di ragionamento .
• Bypass delle protezioni anti-distillazione: La stessa vulnerabilità che consente l'estrazione elude anche le protezioni anti-distillazione dei fornitori .
• Trasferimento di comportamenti dannosi: Un altro paper ('Hidden in Thought: Transferable Chain-of-Thought Artifacts Induce Harmful Behavior') ha scoperto che le tracce di ragionamento trasferite possono aumentare i tassi di risposte dannose sopra l'80% sui modelli open-source più vulnerabili .
• Esposizione di istruzioni nascoste: I campi di ragionamento opachi che gli sviluppatori di agenti considerano sicuri da conservare e pubblicare possono contenere istruzioni di sistema e credenziali nascoste .

Come hanno Risposto OpenAI, Anthropic e Google

Tutte e tre le aziende sono state contattate dai ricercatori di 'Stolen Thoughts' prima della pubblicazione. Secondo quanto riportato, OpenAI, Anthropic e Google hanno bloccato l'attacco di ragionamento tra modelli dopo essere state avvisate. I dettagli specifici delle loro mitigazioni non sono stati completamente divulgati nelle fonti pubblicate, ma è stato confermato che la vulnerabilità esisteva nelle API di tutti e tre i fornitori prima della correzione . Il fatto che l'attacco sia stato 'bloccato' suggerisce che le aziende hanno implementato correzioni lato server, probabilmente limitando il riutilizzo dei blocchi di ragionamento crittografati in diversi contesti di modello o account .

Anthropic stava già combattendo pubblicamente la distillazione su larga scala, segnalando i 24.000 account fraudolenti e i 16 milioni di scambi utilizzati dai laboratori cinesi per estrarre gli output di Claude .

La lezione fondamentale sia dal paper REP che da 'Stolen Thoughts' è che nascondere o crittografare le tracce di ragionamento è una strategia di sicurezza fondamentalmente fragile: se il ragionamento esiste nei pesi del modello, può essere sollecitato .