L’allerta di NSA, CISA e FBI: presunta distillazione su scala industriale contro i modelli IA USA

L’avviso congiunto di NSA, CISA e FBI accusa DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun e Z.AI di aver condotto campagne di distillazione della conoscenza su scala industriale per estrarre funzionalità e capacità proprietarie dai modelli IA statunitensi più avanzati. Le agenzie presentano queste conclusioni come accuse di sicurezza informatica, non come fatti già accertati in sede giudiziaria. 12

La distillazione è una tecnica legittima di machine learning: in generale, un modello meno capace viene addestrato usando gli output di un modello più potente. Secondo l’avviso, però, le attività descritte avrebbero superato questo uso ordinario, trasformandosi in un’estrazione mirata e sistematica di capacità riservate.

Cosa sostengono le agenzie USA

Secondo NSA, CISA e FBI, almeno dalla fine del 2024 le sei aziende avrebbero ottenuto miliardi di token tramite milioni di interazioni con varianti di Claude, GPT, Gemini e Grok, in un’attività che le agenzie ritengono probabilmente nota al governo cinese. 1

Le presunte campagne avrebbero sfruttato più canali contemporaneamente:

• API ufficiali dei fornitori di modelli;
• servizi cloud remoti;
• aggregatori terzi in grado di rendere meno visibili i metadati del cliente;
• servizi proxy definiti dall’avviso “transfer stations”, impiegati per eludere restrizioni geografiche, misure di sicurezza, condizioni d’uso e tracciabilità. 1

L’avviso cita inoltre acquisti e condivisione su larga scala di abbonamenti premium, passaggio automatico a canali alternativi quando un accesso veniva bloccato, estrazione di ragionamenti intermedi (chain of thought) e sistemi di valutazione pensati per rilevare eventuali modifiche difensive nelle risposte dei modelli. 1

Le fonti fornite confermano il riferimento a queste “transfer stations” del mercato grigio, ma non documentano in modo indipendente il coinvolgimento degli specifici marketplace Taobao e Xianyu menzionati nella domanda. Informazioni insufficienti.

Le attribuzioni a DeepSeek, Moonshot AI e MiniMax

DeepSeek: dati sintetici per R1 e V3

Per DeepSeek, le agenzie descrivono una campagna organizzata avviata alla fine del 2024 per creare dati sintetici di addestramento destinati ai modelli R1 e V3. L’obiettivo dichiarato dall’avviso sarebbe stato migliorare ragionamento, conoscenze specialistiche e funzioni avanzate, riducendo costi di ricerca e di calcolo. 1

Fra gli ambiti specificamente elencati compaiono ottimizzazione per competenze legali, attività API guidate da regole, redazione di bozze con chain of thought, funzioni agentiche, ottimizzazione di domande e risposte, capacità di coaching e assistenza, creazione di funzioni, ottimizzazione del fine-tuning supervisionato e scrittura creativa o professionale. 1

L’avviso afferma che DeepSeek avrebbe usato output di varianti Claude, Gemini, GPT e Grok. Aggiunge inoltre che la cifra pubblica di 5,6 milioni di dollari attribuita da DeepSeek al costo di addestramento non includerebbe il costo o il valore dei dati ottenuti con la presunta distillazione. 1

Moonshot AI: Kimi-K3 e Kimi-K2

Per Moonshot AI, l’avviso segnala una campagna estesa dalla metà del 2025. In particolare, sostiene che per Kimi-K3 siano stati usati dati in quantità significativa di Claude Fable 5 e che per Kimi-K2 siano stati usati dati di GPT-4o. 1

Le capacità ricercate avrebbero incluso fine-tuning supervisionato, reinforcement learning, ingegneria del software e matematica. 1

Alibaba, MiniMax, StepFun e Z.AI

Le agenzie accusano Alibaba di distillazione su scala industriale per potenziare la famiglia Qwen. 1

MiniMax, StepFun e Z.AI sono a loro volta incluse nell’accusa generale di distillazione malevola di modelli statunitensi. 1 Tuttavia, nelle evidenze fornite non sono presenti dettagli su una campagna, un modello o specifiche capacità attribuite esclusivamente a MiniMax. Informazioni insufficienti.

Le contromisure raccomandate ai fornitori IA

L’avviso non si limita alle accuse: indica tre azioni immediate per le aziende che sviluppano o distribuiscono modelli IA. 1

1. Individuare e limitare le anomalie. Le organizzazioni dovrebbero identificare prompt, account, reti e comportamenti sospetti. Fra gli indicatori: un rapporto insolitamente alto fra abbonamenti e utilizzo, consumo massimo immediato da parte di account nuovi e volumi di richieste da scala aziendale. 1

2. Modificare selettivamente le risposte. Per i tentativi sospetti, le agenzie suggeriscono di alterare in modo discreto gli output del modello. Lo scopo è ridurre il valore dei dati per una campagna di distillazione senza necessariamente rivelare come sia stato rilevato l’attacco. 1

3. Condividere informazioni nell’intero ecosistema. Provider di modelli, piattaforme cloud e aggregatori API dovrebbero correlare gli eventi per identificare campagne distribuite deliberatamente fra più servizi e percorsi di accesso. 1

Il playbook di collaborazione di CISA sostiene inoltre la condivisione volontaria di informazioni sulla cybersecurity dell’IA con CISA, altre istituzioni e partner industriali, anche attraverso il Joint Cyber Defense Collaborative. 4

Le fonti disponibili non consentono invece di verificare in modo indipendente la citata segnalazione di Google su campagne superiori a 100 milioni di prompt, né una risposta ufficiale cinese o dichiarazioni della portavoce del ministero degli Esteri Mao Ning. Non documentano neppure il collegamento con i previsti colloqui USA-Cina sulla sicurezza dell’IA di metà settembre o il presunto restringimento del divario prestazionale fra modelli cinesi e statunitensi. Informazioni insufficienti.