Astra di OpenAI diventa bersaglio principale delle destillazioni cinesi dopo le nuove misure di Anthropic

Il contesto: da Claude ad Astra

Fino a pochi mesi fa, il modello Claude di Anthropic era il principale obiettivo delle operazioni di “destillazione” condotte da laboratori cinesi come DeepSeek e Moonshot AI. Anthropic, tuttavia, ha introdotto una serie di misure di protezione che hanno ridotto drasticamente la quantità di dati esposti, con una diminuzione stimata tra il 90 % e il 99 %.

Questa evoluzione ha spinto gli attori cinesi a rivolgere la loro attenzione verso Astra, la versione più avanzata del modello GPT‑6 di OpenAI, noto per la sua capacità di generare testo altamente coerente e di gestire ragionamenti complessi.

Secondo The Information, DeepSeek e Moonshot hanno basato gran parte del training dei loro nuovi modelli sugli output di Astra, sfruttando le capacità di “prompt engineering” per ottenere risposte dettagliate da cui estrarre informazioni sensibili.

Le tecniche di destillazione: come funzionano

Obiettivo della destillazione

La destillazione di un modello di IA consiste nel far “parlare” il modello riguardo ai propri processi interni, cioè ai passaggi logici e alle rappresentazioni intermedie che normalmente rimangono opachi per l’utente.

Le fasi tipiche includono:

• Prompt inversion: formulare domande che costringono il modello a spiegare la sequenza di ragionamento.
• Chain‑of‑thought extraction: chiedere al modello di elencare passo per passo le considerazioni che lo hanno portato a una risposta.
• Fine‑tuning mirato: utilizzare le risposte estratte per addestrare un modello più piccolo che imita le capacità del modello originale.

Queste pratiche sono vietate dalle policy di OpenAI e Anthropic, che proibiscono espressamente la “rivelazione di pensieri nascosti” e l’uso non autorizzato dei loro modelli per addestrare altri sistemi.

Esempi concreti di destillazione

Un caso documentato riguarda il modello Kimi K3.1 Pro, che è stato addestrato su dataset derivati da Astra. Gli ingegneri di DeepSeek hanno utilizzato una serie di prompt come “Spiega passo dopo passo il ragionamento che ti ha condotto a questa risposta” per raccogliere sequenze di pensiero che poi hanno incorporato in un nuovo modello di linguaggio.

Un altro esempio è il modello V4.1‑Flash 1017, sviluppato da Moonshot AI, che ha impiegato una combinazione di prompt inversion e adversarial probing per ottenere più del 70 % delle informazioni di “corte” rispetto a un modello di riferimento non protetto.

Le risposte di OpenAI e Anthropic

OpenAI ha segnalato a fine settembre una “campagna coordinata di destillazione” che ha coinvolto individui con legami a Moonshot AI. Un portavoce di OpenAI ha dichiarato che l’azienda sta “prendendo molto seriamente” la questione, ma ha anche riconosciuto che gli aggressori stanno rapidamente adattando le loro tattiche.

Anthropic, dal canto suo, ha pubblicato un aggiornamento tecnico che descrive le nuove difese implementate, tra cui:

• Limitazione del numero di token restituiti in risposte dettagliate.
• Introduzione di “noise” controllato nei log di ragionamento per rendere più difficile la ricostruzione dei passaggi interni.
• Monitoraggio in tempo reale delle richieste sospette basate su pattern di prompt inversion.

Queste misure hanno ridotto l’efficacia delle tecniche di estrazione, ma non hanno eliminato del tutto il rischio, soprattutto quando gli aggressori impiegano strategie di “prompt chaining” più sofisticate.

Implicazioni per la sicurezza globale dell'IA

Il furto di capacità avanzate di IA attraverso la destillazione solleva preoccupazioni su più livelli:

• Competizione geopolitica: la Cina sta accelerando il proprio programma di IA, cercando di colmare il divario con gli Stati Uniti e l’Europa.
• Rischio di proliferazione: modelli più potenti potrebbero finire in mani sbagliate, aumentando la possibilità di generare disinformazione o di automatizzare attacchi cyber.
• Regolamentazione: le autorità internazionali stanno valutando nuove normative per limitare l’export di modelli di IA di alto livello e per imporre standard di “robustness” contro la destillazione.

In risposta, OpenAI sta collaborando con governi e organismi di standardizzazione per definire linee guida più rigide sulla condivisione dei modelli e sulla trasparenza delle API.

Strategie difensive consigliate per le imprese

Le organizzazioni che utilizzano modelli di IA avanzati dovrebbero adottare una serie di contromisure pratiche:

• Rate limiting su richieste di ragionamento dettagliato.
• Audit dei log di accesso per identificare pattern di utilizzo anomalo.
• Implementazione di watermark digitali nei output per tracciare eventuali riutilizzi non autorizzati.
• Formazione del personale su tecniche di “prompt injection” e su come riconoscere tentativi di estrazione.

Inoltre, è consigliabile mantenere un dialogo costante con i fornitori di modelli (come OpenAI o Anthropic) per ricevere aggiornamenti sulle vulnerabilità emergenti e sulle patch di sicurezza.

Prospettive future

Il panorama della destillazione di IA è destinato a evolversi rapidamente. Man mano che le difese diventano più sofisticate, anche le tecniche di attacco si adatteranno, spostandosi verso approcci più sottili come il “few‑shot prompting” o l’uso di modelli “shadow” per simulare il comportamento del bersaglio.

Per i ricercatori, questo scenario rappresenta un’opportunità per approfondire la comprensione dei meccanismi interni dei modelli di linguaggio, ma allo stesso tempo impone una responsabilità etica nella condivisione dei risultati. La cooperazione internazionale, una regolamentazione mirata e investimenti continui nella sicurezza dell’IA saranno fondamentali per evitare una corsa incontrollata verso la proliferazione di capacità avanzate.