Anthropic afferma che il laboratorio Qwen di Alibaba ha gestito 25.000 account falsi per rubare le capacità di Claude

Anthropic ha accusato il laboratorio di IA Qwen di Alibaba di aver orchestrato quello che definisce il più grande attacco di distillazione (distillation) noto contro i suoi modelli Claude, utilizzando quasi 25.000 account fraudolenti per raccogliere 28,8 milioni di conversazioni nell'arco di una finestra di 45 giorni che si è estesa dal 22 aprile al 5 giugno 2026.

L'azienda ha rivelato la presunta operazione in una lettera ai membri della Commissione Bancaria del Senato degli Stati Uniti, descrivendola come un tentativo di "trasformare centinaia di miliardi di dollari di investimenti americani nell'IA in un sussidio per un concorrente geopolitico". Alibaba non ha affrontato pubblicamente le accuse specifiche.

Che cos'è la distillazione e perché è importante?

La distillazione è una tecnica di addestramento legittima: si fa girare un modello più grande e capace su migliaia di problemi, quindi si addestra un modello più piccolo su quelle risposte. Il risultato è un modello compatto che rende oltre il proprio peso perché ha imparato da un insegnante più intelligente.

Quando però viene applicata senza permesso al modello di produzione di un concorrente, diventa qualcosa di più vicino allo spionaggio industriale. Un laboratorio che distilla con successo un modello di frontiera aggira anni di ricerca e miliardi di dollari di calcolo — e, soprattutto, il meticoloso lavoro sulla sicurezza che ha accompagnato quello sviluppo. Come ha affermato Anthropic nella sua divulgazione di febbraio relativa ad attacchi precedenti, "le capacità pericolose si trasferiscono attraverso gli output. I mesi spesi a far sì che il modello rifiuti le richieste dannose, no".

Uno schema, non un caso isolato

L'accusa ad Alibaba è la più rilevante di una serie in crescita. Nel febbraio 2026, Anthropic ha rivelato che tre startup cinesi di IA — DeepSeek, Moonshot AI e MiniMax — avevano gestito collettivamente circa 24.000 account fraudolenti responsabili di oltre 16 milioni di scambi con Claude, prendendo di mira le capacità di codifica, ragionamento e agentiche del modello.

L'operazione Qwen fa impallidire quegli incidenti precedenti per portata: 28,8 milioni di conversazioni in meno di sette settimane, con gli account che prendevano di mira specificamente l'ingegneria del software avanzata e il ragionamento agentico a più fasi di Claude — esattamente le capacità più preziose nell'attuale ondata di strumenti di sviluppo basati sull'IA.

Cosa chiede Anthropic

Oltre a divulgare l'incidente, Anthropic invita i responsabili politici statunitensi a trattare gli attacchi di distillazione su larga scala come una questione di sicurezza nazionale. L'azienda sostiene che nessun singolo laboratorio può rilevare e bloccare in modo affidabile queste campagne da solo, e che è necessaria un'"azione rapida e coordinata tra gli attori del settore, i responsabili politici e la comunità globale dell'IA".

Sul piano tecnico, Anthropic afferma di aver implementato sistemi di rilevamento migliorati in grado di identificare gli schemi comportamentali che distinguono gli account di raccolta per distillazione dagli utenti legittimi — interrogazioni di massa, sistematiche e ripetitive attraverso diversi domini di capacità, anziché la varietà organica delle vere sessioni degli sviluppatori.

Cosa significa per gli sviluppatori

Per la maggioranza pratica degli sviluppatori che costruiscono con Claude Code o con l'API di Anthropic, nulla cambia nel quotidiano. Anthropic ha dichiarato che l'uso legittimo non è interessato e che l'applicazione dei termini di servizio prende di mira gli account falsi anziché i normali clienti dell'API.

Ma l'episodio è un utile promemoria della posta economica in gioco. Le capacità che rendono Claude prezioso per le attività di codifica agentica — ragionamento profondo, uso di strumenti a più fasi, rifiuti robusti — rappresentano un enorme investimento cumulativo. Quando queste capacità vengono estratte e replicate senza vincoli di sicurezza, i modelli a valle che emergono sono al contempo più economici e potenzialmente meno sicuri, rimodellando il mercato in modi che riguardano ogni sviluppatore che sceglie uno stack tecnologico.

Segnala inoltre che la scelta del modello nel 2026 non è più puramente una questione di punteggi di benchmark e prezzo. La provenienza — chi lo ha costruito, come e sotto quale regime di sicurezza — sta diventando anch'essa un fattore che vale la pena comprendere.