Anthropic e la distillazione: le nuove difese per proteggere Claude dalle copie
Anthropic dichiara di aver ridotto del 90-99% i dati di ragionamento estratti da Claude dai distillatori e accusa Zhipu e Moonshot.
Anthropic ha pubblicato il 12 ottobre 2026 un lungo documento tecnico sulle contromisure che ha messo in campo contro la distillazione, cioè la pratica di copiare di nascosto le capacità di un modello usandone le risposte per addestrarne un altro. Secondo l’azienda, le nuove difese hanno ridotto di circa il 90-99% i dati di ragionamento che i distillatori riescono a estrarre da Claude. Nello stesso testo Anthropic accusa apertamente Zhipu e Moonshot, il laboratorio dietro Kimi.
Vale la pena leggere la notizia con attenzione, perché dietro i numeri c’è una questione che riguarda l’intero settore: chi paga per costruire un modello di frontiera può vedersi copiare il lavoro da chi non ha sostenuto gli stessi costi.
Che cos’è la distillazione e perché Anthropic la considera un attacco
La distillazione, in sé, è una tecnica legittima e diffusissima: un modello grande fa da insegnante e un modello più piccolo impara a imitarne le risposte. Le aziende la usano sui propri modelli per renderli più veloci ed economici. Il problema nasce quando a farlo è un terzo, senza autorizzazione, tramite l’API di un concorrente. Se vuoi un’idea del principio di base, puoi leggere la nostra guida all’apprendimento per imitazione, che spiega come un sistema impari osservando il comportamento di un altro.
Nella pagina ufficiale Anthropic parla di attacchi di distillazione quando l’attività è nascosta, su larga scala e spesso basata su reti di account falsi. Il vantaggio per chi copia è evidente: raggiungere capacità vicine a quelle di frontiera in una frazione del tempo e del costo.
Le ragioni di preoccupazione, secondo l’azienda, sono due.
Il rischio per la sicurezza
Un modello distillato può avvicinarsi al livello dei migliori sistemi senza ereditarne le protezioni. Anthropic cita in particolare i campi della biologia e della cybersicurezza, dove capacità avanzate e assenza di salvaguardie sono una combinazione delicata.
Il fronte della sicurezza nazionale
Il documento sostiene inoltre che i laboratori che distillano integrino queste capacità in sistemi militari, di intelligence e di sorveglianza stranieri. È un’accusa pesante, che l’azienda collega a esempi specifici.
Le accuse a Zhipu e Moonshot
Il caso più dettagliato riguarda Zhipu. Anthropic afferma che il laboratorio ha distillato le capacità informatiche dei principali modelli statunitensi mentre sviluppava GLM-5.3. Avrebbe provato a farlo con Claude Fable 5, ma avendo notato che le salvaguardie di Anthropic degradavano i suoi tentativi, sarebbe passato a un modello Claude più vecchio e a quello di un altro laboratorio.
Il testo ricorda che una valutazione del governo statunitense, attraverso CAISSI, ha definito GLM-5.3 il modello a pesi aperti più capace in ambito cyber rilasciato finora. Se vuoi il contesto di quella vicenda, ne avevamo parlato nell’articolo sul report di Anthropic su GLM-5.3 e gli exploit.
Per Moonshot l’accusa è diversa: secondo Anthropic, alcune richieste ai modelli Kimi sarebbero state inoltrate di nascosto a Claude. In un caso, una richiesta proveniente da un utente che l’azienda ritiene legato all’esercito cinese chiedeva di analizzare le riprese di videosorveglianza di una persona specifica.
Sono accuse di una parte in causa, formulate da Anthropic nel proprio documento. Le trovi in quella forma e vanno lette come tali.
Come funzionano gli attacchi: quattro tecniche
La parte più interessante per chi segue la tecnica è la descrizione dei metodi usati dai distillatori. Anthropic ne distingue quattro.
Distillazione passiva
Sono richieste ordinarie, le cui risposte vengono poi usate come dati di addestramento. La prima contromisura dell’azienda è stata riassumere il ragionamento di Claude invece di mostrarlo per intero. In un test interno, un modello addestrato su trascrizioni complete ha raggiunto l’80,4% su SWE-bench Verified, contro il 71,8% con trascrizioni riassunte. Quella distanza spiega perché il ragionamento completo sia così ambito.
Estrazione attiva
Qui gli attaccanti cercano di convincere Claude a rivelare il proprio ragionamento integrale, per esempio chiedendogli di ripetere alla lettera quello precedente. Un laboratorio avrebbe provato 12.000 richieste con trucchi diversi.
Evasione su larga scala
Reti di intermediari gestiscono centinaia di migliaia di account fraudolenti, rivendono l’accesso in regioni non supportate e usano identità false e metodi di pagamento rubati. Secondo il rapporto di febbraio citato dall’azienda, una singola rete arrivava a gestire più di 20.000 account contemporaneamente.
Trasferimenti tra contesti
I blocchi di ragionamento vengono spostati da una conversazione all’altra, da un modello a un altro con salvaguardie più deboli, o da un account bannato a uno nuovo.
Il quadro generale somiglia molto a quello descritto nel rapporto di Anthropic sulle minacce di settembre, dove gli abusi di Claude erano già al centro dell’analisi.
Le tre difese messe in campo
La risposta di Anthropic si articola in tre livelli, che lavorano insieme.
Controllare dove può andare il ragionamento
Con Claude Fable 5.1 e Claude Opus 5.5, la funzione di preserved thinking impedisce ai nuovi account API, creati dal 31 agosto 2026 in poi, di modificare il contesto precedente. Il ragionamento non può più essere letto da modelli meno recenti, che hanno protezioni anti-distillazione più deboli. Con Claude Sonnet 5.5, le trascrizioni del ragionamento sono visibili solo all’organizzazione la cui richiesta le ha prodotte.
Bloccare e correggere
L’azienda usa un classificatore a due stadi, derivato dalla ricerca sui constitutional classifiers, che individua i tentativi di estrazione. È stato sottoposto a test interni ed esterni e, stando al documento, la sua robustezza è paragonabile a quella delle salvaguardie contro l’aiuto alla creazione di armi biologiche, con un tasso di falsi positivi inferiore allo 0,1%. Funziona su Claude Sonnet 5.5, Claude Opus 5 e 5.5, Claude Fable 5 e 5.1. Anthropic ha anche corretto evasioni più recenti, come chiedere a Claude di tradurre il ragionamento in un’altra lingua o di restituirlo dentro dei tag.
Rendere costoso riprovarci
Gli account che mostrano tentativi ripetuti di estrazione ricevono limiti d’uso più severi e possono essere sospesi. Dal 24 settembre, inoltre, Anthropic addebita le richieste che le sue salvaguardie bloccano prima ancora che Claude risponda, anche nell’area della distillazione.
I risultati dichiarati e i limiti ammessi
Sui modelli generalmente disponibili più capaci, il classificatore intercetta tutte le tecniche descritte nel rapporto di settembre. I token di ragionamento estratti dai distillatori sulla piattaforma di Anthropic risultano costantemente da 10 a 100 volte inferiori rispetto a prima, e in alcuni giorni la quantità era troppo piccola per essere misurata. Decine di migliaia di account legati alla distillazione sono stati bannati, spesso entro due ore dall’inizio di una campagna.
Anthropic è però prudente. Non sa per quanto tempo i risultati reggeranno, si aspetta un continuo gioco del gatto e del topo e dichiara di non aver ancora visto un attacco molto sofisticato e persistente contro queste difese.
Ci sono anche dei costi. L’azienda dice di aver rinunciato a ricavi significativi e a migliaia di miliardi di token di traffico pagante. Alcuni sviluppatori dovranno aggiornare le proprie integrazioni per il preserved thinking. In meno dello 0,1% dei casi il classificatore può bloccare richieste legittime, e anche queste vengono ora fatturate. Infine, la riduzione di 10-100 volte riguarda soltanto la piattaforma di Anthropic.
Perché la notizia conta anche per te
Il punto più rilevante è forse quello strategico. Anthropic osserva che i distillatori distribuiscono il traffico tra la propria API, i cloud di terze parti e altri fornitori di inferenza, quindi nessun laboratorio può difendersi da solo. Servono piattaforme e sviluppatori disposti a individuare gli abusi e a chiudere gli account fraudolenti.
L’azienda ammette anche che gli incentivi del mercato non aiutano: le difese costano, e i distillatori illeciti sono clienti paganti. Pubblicare i metodi serve, nelle sue parole, a mostrare che un’alternativa è praticabile.
Per chi sviluppa con le API di Claude, le conseguenze pratiche sono due: controlla se la tua integrazione dipende dalla modifica del contesto di ragionamento precedente, e tieni presente che una richiesta bloccata dai classificatori può comunque essere addebitata. Per chi usa semplicemente un assistente AI, la lezione è un’altra: la competizione tra i laboratori si gioca anche su come proteggere ciò che i modelli hanno imparato.
Conclusioni
La distillazione è diventata uno dei fronti più concreti della sfida tra i grandi laboratori AI, con implicazioni di sicurezza, economiche e geopolitiche. I numeri di Anthropic sono incoraggianti, ma provengono dall’azienda stessa e riguardano la sua sola piattaforma, quindi la loro tenuta nel tempo resta da verificare.
Se lavori con modelli AI, leggi il documento originale di Anthropic, verifica le tue integrazioni e continua a seguirci: qui racconteremo le prossime mosse del settore, appena arrivano.
Tutta l'AI della settimana, in 5 minuti, nella tua email
- Le guide e le notizie della settimana, divise per rubrica
- Solo ciò che conta, verificato e spiegato in italiano
- Niente spam, ti cancelli con un clic
Daniele Della Corte
Fondatore di IntelligenzaArtificiale.net · Consulente SEO e AI dal 2008
Prima della pubblicazione controlla fonti, numeri e nomi, e risponde personalmente di quello che leggi. Lavora con l'intelligenza artificiale da oltre 7 anni: ha fondato BeProud.ai e ha progettato la redazione di questo sito.