Cina sottrae miliardi di token dai modelli AI statunitensi: la corsa segreta alla “distillazione” minaccia il dominio tecnologico USA

Un avviso congiunto di NSA, CISA e FBI ha lanciato un campanello d’allarme: le più avanzate piattaforme di intelligenza artificiale statunitensi sono oggetto di una campagna di “distillazione” orchestrata da società cinesi. Utilizzando modelli più semplici per interrogare, in modo massivo e quasi invisibile, i sistemi di punta di OpenAI, Anthropic, Google e SpaceX AI, queste imprese hanno estratto “miliardi di token” – l’equivalente di centinaia di petabyte di dati proprietari – dal 2024 in poi.

1. Come funziona la “distillazione” e perché è così pericolosa

La distillazione è una tecnica di machine‑learning che consente di trasferire le conoscenze di un modello grande (spesso definito “foundation model”) a uno più piccolo, riducendo drasticamente i requisiti di calcolo e di dati. In pratica, un modello “student” invia richieste a un modello “teacher”, raccoglie le risposte e le usa per addestrare la propria versione. Se il teacher è un modello di frontiera come GPT‑4, Claude 2 o Gemini 1.5, le risposte contengono informazioni su architetture, pesi, prompt ottimizzati e, soprattutto, sui “capabilities” proprietari che le aziende statunitensi custodiscono come segreto commerciale.

Secondo l’avviso, le società cinesi hanno impiegato tre canali per mascherare le loro attività:

• API native: accessi diretti alle interfacce pubbliche di OpenAI e Google, con script che frammentano le richieste per rimanere sotto i limiti di monitoraggio.
• Cloud di terze parti: utilizzo di provider cloud non statunitensi (ad es. Alibaba Cloud, Tencent Cloud) per “rimbalzare” le chiamate, facendo credere che provengano da utenti legittimi.
• Aggregatori di servizi: piattaforme che combinano più API in un unico endpoint, offuscando i metadati dell’utente e rendendo difficile il tracciamento da parte dei fornitori di AI.

Questa “catena di offuscamento” rende quasi impossibile per le aziende statunitensi rilevare il pattern di estrazione, soprattutto perché le richieste sono distribuite su più account, regioni e persino su più modelli contemporaneamente. Il risultato: un flusso continuo di dati che, se aggregati, può ricostruire gran parte delle capacità di un modello da centinaia di milioni di dollari di investimento.

2. Dimensioni economiche e geopolitiche della minaccia

Il costo medio per addestrare un modello di grande scala è compreso tra 50 e 200 milioni di dollari, a seconda della complessità e della quantità di dati. La distillazione, riducendo il fabbisogno di calcolo fino al 70 %, può far scendere il costo a 15‑30 milioni di dollari. Con i “2 miliardi di token” già estratti, le società cinesi potrebbero risparmiare più di 100 milioni di dollari in un solo ciclo di sviluppo, accelerando di anni il loro percorso verso l’autonomia AI.

Dal punto di vista del mercato, il settore AI statunitense vale oltre 150 miliardi di dollari e rappresenta il 55 % della quota globale di brevetti AI. La perdita di segreti tecnici non solo erode il vantaggio competitivo, ma alimenta direttamente le capacità di intelligenza artificiale militare di Pechino – dalla sorveglianza avanzata alla guerra elettronica. Il Dipartimento della Difesa ha già classificato la “sottrazione di know‑how AI” come una minaccia “di livello critico” per la sicurezza nazionale.

Le autorità di Washington hanno reagito con una serie di misure: il CHIPS and Science Act del 2022 è stato rafforzato per includere restrizioni sui “export di capacità di calcolo”, mentre l’Export Control Reform Act (ECRA) è stato aggiornato per includere “modelli AI di frontiera” nella lista delle tecnologie controllate. Tuttavia, la natura “software‑as‑a‑service” delle API rende difficile applicare i tradizionali controlli di esportazione.

3. Risposte operative e prospettive di policy

L’avviso congiunto propone tre linee d’azione per le imprese statunitensi:

1. Rilevamento avanzato: implementare sistemi di monitoraggio basati su analisi comportamentale (es. anomalie di token rate, pattern di query) e su “fingerprinting” delle chiamate API.
2. Mitigazione e risposta: introdurre limiti dinamici di utilizzo, richiedere “proof‑of‑origin” per le richieste provenienti da regioni ad alto rischio e attivare “kill‑switch” automatici in caso di attività sospette.
3. Condivisione di intelligence: creare un hub inter‑agenzia (NSA‑CISA‑FBI) per scambiare indicatori di compromissione (IoC) e best practice, con un canale dedicato alle aziende del settore AI.

Il White House Office of Science and Technology, guidato da Michael Kratsios, ha già segnalato che Moonshot AI ha tentato di rubare funzioni proprietarie dal modello Fable di Anthropic, un caso che ha portato Anthropic a denunciare pubblicamente il furto a febbraio. Organizzazioni di advocacy tecnologica hanno chiesto al governo di vietare l’importazione di chip avanzati (ad es. GPU H100) da parte di società cinesi, sostenendo che questi componenti sono il “coltellino svizzero” della distillazione.

Nel frattempo, le aziende statunitensi stanno valutando l’adozione di “sandbox AI” private, dove i modelli sono eseguiti su hardware controllato internamente, eliminando la dipendenza da API pubbliche. Tuttavia, questa soluzione comporta costi elevati e richiede un rapido scaling dell’infrastruttura cloud nazionale.

Prospettive e Scenari

Se le pratiche di distillazione cinesi continueranno a crescere al ritmo attuale – stime interne suggeriscono un aumento del 30 % al trimestre – gli Stati Uniti dovranno affrontare tre scenari possibili:

• Scenario di contenimento: un mix di regole più stringenti, monitoraggio AI‑wide e investimenti in infrastrutture domestiche riduce il flusso di token a meno del 10 % del volume attuale, preservando la leadership tecnologica ma a costi di bilancio elevati.
• Scenario di escalation: Pechino intensifica le operazioni, sfruttando reti di “proxy” in paesi terzi (es. Russia, Iran). Gli USA rispondono con sanzioni mirate a fornitori di cloud e con una revisione delle politiche di export AI, ma il rischio di una “corsa agli armamenti AI” aumenta.
• Scenario di convergenza: le due potenze accettano una sorta di “regime di non proliferazione AI”, con standard internazionali per la condivisione di modelli e audit di sicurezza. Questo richiederebbe una diplomazia senza precedenti e la creazione di organismi di verifica simili all’Agenzia Internazionale dell’Energia.

Per le imprese, la priorità immediata è rafforzare la “cyber‑hygiene” delle proprie API e partecipare attivamente ai canali di intelligence condivisa. Per i policy‑maker, la sfida è bilanciare la protezione dei segreti industriali con la necessità di mantenere un ecosistema di innovazione aperto e competitivo.

Il punto fermo: la distillazione non è più una minaccia teorica, ma una realtà operativa che sta già erodendo il valore economico e strategico dei modelli AI statunitensi. Ignorarla equivale a cedere terreno decisivo nella corsa globale per il dominio dell’intelligenza artificiale.