Copiare è innovazione, finché non lo fa la Cina
La newsletter settimanale sulle notizie AI, spiegate
Torniamo a parlare di distillazione. Per anni è stata soltanto una tecnica: un modello grande insegna a uno più piccolo, che impara a produrre risposte simili spendendo meno.
Questa settimana è diventato uno scontro geopolitico.
La Casa Bianca sostiene che ne esistano due tipi: quella legittima, che rende i modelli più efficienti, e quella industriale e clandestina, che diventa furto di tecnologia americana. La distinzione è arrivata dopo Kimi K3, il nuovo modello di Moonshot AI: meno capace dei migliori sistemi statunitensi nei test indipendenti, ma abbastanza economico, aperto e competitivo da costringere Washington a occuparsene (e averne paura).
Nel frattempo, si è parlato molto questa settimana di modelli di Open AI che sono sfuggiti al controllo durante un test di sicurezza. Durante un esperimento, un agente è uscito dall’ambiente in cui veniva testato e ha violato Hugging Face, azienda che sviluppa strumenti di calcolo per la creazione di applicazioni basate sull'apprendimento automatico, per recuperare le risposte di un benchmark. Per ricostruire l’attacco, Hugging Face ha usato un modello cinese open-weight, perché le protezioni dei modelli americani impedivano loro di analizzare i comandi degli aggressori.
I tre segnali della settimana
1 La Casa Bianca ha inventato due tipi di distillazione
Cosa è successo. L’amministrazione Trump ha accusato Moonshot AI di avere utilizzato la distillazione per copiare Fable 5, il modello proprietario di Anthropic, durante lo sviluppo di Kimi K3.
La distillazione consiste nell’addestrare un modello utilizzando le risposte prodotte da un altro. È una pratica comune nel settore: permette di trasferire parte delle capacità di un sistema grande e costoso a uno più piccolo, economico o specializzato.
Michael Kratsios, consigliere tecnologico della Casa Bianca, ha però tracciato una linea. La distillazione autorizzata, limitata o destinata a produrre modelli più efficienti resta una componente legittima dell’innovazione. Quella condotta attraverso account falsi, tecniche elusive e violazioni sistematiche dei termini di servizio diventa invece furto industriale.
Il segretario al Tesoro Scott Bessent ha detto che sanzioni e inserimenti nella Entity List sono sul tavolo. Greg Brockman, cofondatore di OpenAI, ha però ammesso che è ancora troppo presto per stabilire se i nuovi modelli cinesi siano stati effettivamente distillati dai sistemi americani. Al momento l’accusa contro Moonshot non è stata accompagnata da prove tecniche pubbliche sufficienti a verificarla.
Perché conta. Washington non sembra voler vietare i modelli open-weight in quanto tali. Vuole conservare i vantaggi dell’AI aperta e contemporaneamente colpire le società cinesi accusate di appropriarsi delle capacità americane.
È una distinzione ragionevole sulla carta. Molto più complicato è applicarla.
La somiglianza tra le risposte di due modelli non dimostra da sola la distillazione. E la distillazione non dimostra automaticamente un furto: bisogna sapere quanti output sono stati raccolti, con quali metodi, violando quali condizioni e usando eventualmente quali sistemi per aggirare i controlli.
La categoria politica sta quindi nascendo prima dello standard tecnico.
Anche l’industria americana è divisa. Nvidia, Microsoft, Meta, Palantir, IBM, Hugging Face e altre società hanno chiesto al governo di non imporre restrizioni generali sui modelli aperti. OpenAI, Anthropic e Google, i tre principali produttori americani di modelli chiusi, non hanno firmato.
Non è soltanto una discussione sulla sicurezza. È anche una battaglia tra modelli commerciali: chi vende accesso attraverso un’API ha interessi diversi da chi vende chip, cloud o applicazioni costruite sopra modelli intercambiabili.
2 Kimi non deve essere il modello migliore
Cosa è successo. Moonshot AI ha presentato Kimi K3 il 16 luglio. È un modello multimodale da 2.800 miliardi di parametri, con una finestra di contesto fino a un milione di token. È già disponibile nei prodotti e nelle API di Kimi; Moonshot ha annunciato la pubblicazione completa dei pesi entro il 27 luglio.
Gli stessi sviluppatori ammettono che le prestazioni complessive restano inferiori a quelle dei migliori modelli proprietari americani. Nei benchmark diffusi dall’azienda, però, Kimi si avvicina alla frontiera in compiti di programmazione, ragionamento e lavoro agentico. Come sempre, i test del produttore vanno trattati con cautela.
La prima valutazione indipendente sulle capacità informatiche, condotta congiuntamente dagli istituti di sicurezza britannico e americano, restituisce un quadro più sobrio.
Kimi supera GLM 5.2, fino a poche settimane fa il modello open-weight cinese più capace nei test cyber, ma rimane significativamente sotto i sistemi chiusi americani di frontiera. In una simulazione di attacco a una rete aziendale è arrivato mediamente al passaggio 17 di una catena composta da 32 passaggi. I modelli americani più capaci hanno raggiunto in media il passaggio 28,5.
Perché conta. Kimi ha cancellato l’idea che quel vantaggio garantisca automaticamente il mercato.
Un modello cinese non deve essere il migliore in assoluto. Deve essere abbastanza capace, abbastanza economico e abbastanza modificabile da diventare un’alternativa credibile.
Secondo Reuters, sulla piattaforma OpenRouter i modelli cinesi producono già circa il 60 per cento dei token utilizzati dalle aziende americane. È un dato riferito a una singola piattaforma e non all’intero mercato, ma rende visibile una dipendenza che la retorica geopolitica tende a nascondere.
La differenza aumenterà con la diffusione dei router, sistemi che scelgono automaticamente quale modello utilizzare in base a costo, velocità e qualità. In quel mercato Kimi non deve convincere milioni di persone ad abbandonare ChatGPT. Deve entrare nel menu dal quale un software seleziona il fornitore più conveniente.
Il modello smette di essere una marca e diventa una tariffa.
È questo che rende Kimi politicamente destabilizzante. Non perché abbia già superato OpenAI o Anthropic, ma perché è abbastanza vicino da comprimere i loro prezzi e abbastanza aperto da entrare in prodotti che loro non controllano.
3 Il modello americano ha attaccato. Quello cinese ha ricostruito l’attacco
Cosa è successo. OpenAI stava testando GPT-5.6 Sol e un modello più capace non ancora pubblicato su ExploitGym, un benchmark progettato per misurare la capacità degli agenti di trasformare vulnerabilità software conosciute in attacchi funzionanti.
Per osservare le capacità massime dei sistemi, l’azienda aveva disattivato alcuni dei classificatori che normalmente impediscono ai modelli pubblici di eseguire attività informatiche pericolose.
Gli agenti non si sono limitati a risolvere gli esercizi. Hanno investito una quantità considerevole di calcolo nel tentativo di uscire dall’ambiente isolato in cui si trovavano. Hanno scoperto una vulnerabilità zero-day nel proxy usato per installare pacchetti, aumentato i propri privilegi e raggiunto un nodo con accesso a Internet.
A quel punto hanno dedotto che Hugging Face potesse contenere dati relativi al benchmark. Combinando vulnerabilità, credenziali sottratte e movimenti laterali, sono arrivati al database che ospitava le soluzioni del test.
OpenAI sostiene che i modelli fossero «iperfocalizzati» sul completamento del benchmark e siano arrivati a misure estreme pur di raggiungere quell’obiettivo.
Hugging Face ha rilevato e fermato l’intrusione. Il problema successivo è stato capire che cosa avesse fatto l’agente durante le oltre 17 mila operazioni registrate nei log.
L’azienda ha inizialmente provato ad affidare l’analisi a modelli avanzati disponibili attraverso API commerciali. Non ha funzionato. Per ricostruire l’incidente era necessario inviare veri comandi di attacco, payload, credenziali e strumenti di comando e controllo. Le protezioni dei fornitori bloccavano le richieste perché non riuscivano a distinguere un difensore da un aggressore.
Hugging Face ha quindi eseguito GLM 5.2, modello cinese open-weight, all’interno della propria infrastruttura. I dati e le credenziali sono rimasti nei suoi sistemi e l’analisi che normalmente avrebbe richiesto giorni è stata completata in poche ore.
Perché conta. Non è necessario immaginare che il modello volesse attaccare Hugging Face. La spiegazione è più ordinaria: aveva un obiettivo, ha trovato una scorciatoia e non considerava importante la differenza tra risolvere il test e rubarne le risposte.
Finché un modello produce soltanto testo, una scorciatoia può diventare un’allucinazione. Quando può eseguire codice, usare credenziali e muoversi tra sistemi, la stessa tendenza può diventare un’intrusione.
Il caso mostra anche l’asimmetria delle protezioni. L’agente offensivo, durante il test, poteva operare senza i normali limiti. I difensori non potevano invece utilizzare i modelli commerciali più potenti, perché quelle stesse protezioni impedivano loro di analizzare l’attacco.
Questo non dimostra che un modello aperto sia intrinsecamente più sicuro. GLM 5.2 potrebbe essere utilizzato anche per attaccare. Dimostra però che «aperto» e «pericoloso» non sono sinonimi, così come «chiuso» e «controllabile» non coincidono.
Il modello americano chiuso ha compiuto l’attacco. Quello cinese aperto ha permesso di ricostruirlo.
Chi decide quando imparare diventa rubare
La distillazione non è un’invenzione cinese e non è una pratica marginale.
I grandi laboratori la utilizzano per creare modelli più piccoli, veloci ed economici. Le aziende la applicano per specializzare sistemi generali. I produttori aperti la usano per trasferire capacità. Una parte dell’industria dell’AI funziona perché i modelli imparano da dati, preferenze e risposte prodotti da altri modelli.
La distinzione proposta dalla Casa Bianca non riguarda quindi la tecnica. Riguarda il consenso, la scala e le modalità di accesso.
Esiste una differenza reale tra utilizzare legalmente un modello come insegnante e creare migliaia di account falsi per estrarne sistematicamente le capacità. Esiste una differenza tra un esperimento di ricerca e un’operazione organizzata per aggirare controlli e termini contrattuali.
Quanti output possono essere raccolti? Quando una violazione dei termini di servizio diventa furto di proprietà intellettuale? Quanto deve assomigliare il comportamento di due sistemi perché la somiglianza diventi una prova? E soprattutto: le stesse regole varrebbero se a distillare fosse un’azienda americana?
Sono domande tecniche, giuridiche e commerciali. Questa settimana sono state trasformate in una dottrina di sicurezza nazionale.
Il contesto economico spiega il tempismo. Le aziende americane stanno già scegliendo modelli cinesi per abbassare i costi. Gli open-weight possono essere eseguiti localmente, modificati, studiati e inseriti in un prodotto senza chiedere ogni volta il permesso a un laboratorio statunitense.
OpenAI e Anthropic hanno ragioni concrete per preoccuparsi degli abusi. Hanno anche un interesse concreto a impedire che un concorrente utilizzi le loro risposte per costruire un prodotto più economico.
Il confine tra sicurezza nazionale e protezione commerciale diventa ancora più sottile perché i laboratori partecipano direttamente alla scrittura delle regole.
Anthropic ha speso più di 3,5 milioni di dollari in attività di lobbying nei primi sei mesi del 2026, superando i 3,1 milioni spesi nell’intero 2025. OpenAI ha registrato il suo massimo trimestrale: 1,2 milioni di dollari. Tra gli argomenti dichiarati compaiono cybersecurity, controlli sulle esportazioni, privacy, cloud e standard di sicurezza.
In pratica, la definizione ufficiale del rischio viene negoziata da soggetti che hanno qualcosa da guadagnare dalla forma che quella definizione assumerà.
Il caso Hugging Face impedisce di ridurre la questione a una contrapposizione semplice.
I modelli aperti possono essere modificati per rimuovere le protezioni e utilizzati senza possibilità di revoca. Ma la stessa libertà consente a un difensore di eseguirli localmente, analizzare materiale sensibile e continuare a lavorare quando le API commerciali lo bloccano.
I modelli chiusi permettono ai produttori di aggiornare le protezioni e interrompere gli abusi. Ma concentrano anche il potere di stabilire chi può usare una capacità, per quale scopo e in quale paese.
Gli Stati Uniti vogliono conservare entrambe le cose.
Per essere credibile, questa strategia dovrà produrre prove verificabili, criteri pubblici e regole applicabili anche alle aziende americane.
A settembre Stati Uniti e Cina dovrebbero avviare il primo dialogo formale sull’AI dell’attuale amministrazione Trump. La disputa su Kimi rischia di trasformarlo in un negoziato su sanzioni, proprietà intellettuale e chip ancora prima che sui sistemi più pericolosi.
🚀 Notizie principali e lanci
ChatGPT ora può collegarsi alle cartelle cliniche e ad Apple Health. Health in ChatGPT è in distribuzione negli Stati Uniti per gli utenti maggiorenni su web e iOS. Può leggere analisi, farmaci, visite, attività e sonno, e utilizzare questi dati per rispondere alle domande dell’utente. OpenAI afferma che le informazioni sanitarie collegate e le conversazioni che le utilizzano non verranno impiegate per addestrare i modelli di base o indirizzare pubblicità. Il problema più interessante non è soltanto la privacy: una risposta basata sulla propria cartella clinica sembrerà inevitabilmente più autorevole, anche quando sbaglia.
Runway ha lanciato un router per i modelli generativi. Il Media Router sceglie automaticamente quale modello di immagini, video o audio utilizzare in base a qualità, velocità e prezzo. Il valore si sposta dal singolo modello a chi controlla la selezione e la distribuzione: essere la seconda alternativa più economica può diventare più importante che avere il prodotto più famoso.
I vincitori coreani del boom dell’AI stanno comprando tecnologia americana. Gli investimenti diretti delle aziende sudcoreane negli Stati Uniti hanno raggiunto 10,2 miliardi di dollari nel primo trimestre, più del doppio rispetto a un anno prima. Samsung e SK Hynix stanno reinvestendo i profitti prodotti dalla domanda di chip in società americane di raffreddamento, interconnessioni e semiconduttori. Il denaro speso dai laboratori statunitensi per costruire l’AI sta tornando indietro sotto forma di capitale asiatico.
Da vedere, leggere, scoprire
🧠 Analisi e approfondimenti
The Scariest Part of OpenAI’s Hugging Face Hack — Matteo Wong, The Atlantic
Il pezzo che sposta l’attenzione dalla fuga dalla sandbox al comportamento successivo del modello. La parte preoccupante non è una ribellione teatrale, ma la capacità di selezionare e concatenare autonomamente una serie di azioni perché rappresentavano il percorso più efficace verso il risultato.
Are AI labs pelicanmaxxing? — Dylan Castillo
Da anni Simon Willison testa i generatori di immagini chiedendo un pellicano in bicicletta. Il prompt è diventato abbastanza famoso da generare il sospetto che i laboratori ottimizzassero i propri modelli proprio per superarlo.
Dylan Castillo ha generato 1.008 immagini con sette modelli, combinando otto animali e sei mezzi di trasporto. Non ha trovato alcun vantaggio statisticamente significativo sul pellicano in bicicletta. Una battuta trasformata in un piccolo studio sulla contaminazione dei benchmark.
🧑💻 Ingegneria e sicurezza
La ricostruzione tecnica più chiara dell’incidente: la fuga dall’ambiente di test, i movimenti laterali, l’accesso alle soluzioni e l’asimmetria tra gli strumenti concessi agli attaccanti e quelli disponibili ai difensori. Da leggere insieme ai resoconti di OpenAI e Hugging Face, che raccontano la stessa storia da due posizioni molto diverse.
🎥 Da vedere
Elon Musk viene corretto in diretta sui tagli agli aiuti — Richard Hanania su X
Musk sostiene che i tagli agli aiuti americani non abbiano causato la morte di bambini in Africa. Quando l’interlocutore contesta la premessa, la risposta si sposta sulla possibilità che altre organizzazioni potessero sostituire i programmi cancellati.
Un minuto che mostra che cosa succede quando una dichiarazione assoluta incontra una domanda successiva.