A marzo scorso Anthropic ha inserito segretamente un codice di tracciamento nella sua chatbot per programmatori Claude Code.
L’obiettivo era quello di individuare i clienti che avessero utilizzato fusi orari cinesi o domini web legati ad aziende IA della Cina, in quanto vi era il forte sospetto che i rivali cinesi stessero “sottraendo” la costosa tecnologia IA per potenziare i propri sistemi.
A seguito della diffusione della notizia da parte di uno sviluppatore (che ha scatenato aspre critiche in tema di tutela della privacy), il monitoraggio è stato recentemente disabilitato dall’azienda californiana che ha liquidato la vicenda come un “esperimento” e ha annunciato la prossima implementazione di più sofisticati meccanismi di difesa.
Indice degli argomenti
Model distillation di Anthropic e concorrenza tecnologica
Ma come è possibile “sottrarre” la tecnologia alla base dei sistemi IA e per quali scopi?
In realtà, i piccoli sviluppatori -non potendosi permettere investimenti importanti in infrastrutture IA- sfruttano la c.d. “distillazione dei modelli” (model distillation) ovvero una tecnica (di base lecita), che consiste nell’utilizzare un modello sofisticato e costoso (come Claude o GPT) nella qualità di “tutor” per addestrarne uno più piccolo ed economico, tempestandolo di centinaia di migliaia di domande mediante chatbot.
Di fatto, non viene sottratto alcun codice o dato sensibile, ma le massive richieste di elaborazione dati mettono a dura prova i server, oltre a consumare ingenti risorse energetiche, creando un problema anzitutto in termini di ricavi.
Tuttavia, il problema principale riguarderebbe l’eventuale assottigliamento del gap tecnologico USA – CINA (a cagione del divieto di esportazione di microchip) grazie a questa tecnica di addestramento.
L’ipotesi è stata confermata da una comunicazione di Anthropic -rivolta ai senatori degli Stati Uniti- che ha riferito di aver identificato una campagna nella quale una nota azienda cinese avrebbe impiegato circa 25.000 account falsi per generare oltre 28,8 milioni di interazioni con Claude, con l’obiettivo di perfezionare le proprie tecnologie.
Claude, model distillation e violazione delle condizioni d’uso
Il confine fra utilizzo fraudolento e violazione dei termini e condizioni di servizio non è facilmente definibile e le contromisure adottate da Anthropic sono state puntualmente aggirate tramite complessi sistemi di firewall e account fake.
In ogni caso, dando un’occhiata ai TOS di Anthropic destinati agli utenti professionali si può scorgere la seguente clausola:
«D.4. Restrizioni d’uso. Il Cliente non può, e non deve tentare di: (a) accedere ai Servizi per realizzare un prodotto o servizio concorrente, incluso l’addestramento di modelli di intelligenza artificiale (AI) concorrenti o la rivendita dei Servizi, ad eccezione di quanto espressamente approvato da Anthropic; (b) decodificare (effettuare il reverse engineering) o duplicare i Servizi; oppure (c) supportare i tentativi di terze parti di mettere in atto una qualsiasi delle condotte limitate in questa frase.»
La clausola è chiara: non si può utilizzare Claude Code per addestrare (o tentare di farlo) prodotti o sistemi concorrenziali e la violazione dà il pieno diritto all’azienda di interrompere il servizio e di cancellare l’account “pirata”.
Infatti il successivo paragrafo -3.a.- stabilisce che «Anthropic può sospendere l’accesso del Cliente a una qualsiasi parte o alla totalità dei Servizi qualora: (a) Anthropic ritenga o determini ragionevolmente che (i) vi sia un rischio per uno qualsiasi dei Servizi o un attacco agli stessi; (ii) il Cliente o qualsiasi Utente stia utilizzando i Servizi in violazione delle Sezioni <…> D.4 (Restrizioni d’uso); oppure (iii) la fornitura dei Servizi al Cliente da parte di Anthropic sia vietata dalla legge applicabile o comporterebbe un aumento sostanziale del costo di fornitura dei Servizi; <…> »
Tuttavia, il problema sollevato dalle big tech riguarda il fatto che la pratica della distillazione configurerebbe un vero e proprio “furto” di know how tecnologico e per tale motivo sarebbe opportuno prevedere una normativa ad hoc al fine di perseguire tale forma di illecito.
A tal proposito, bisogna comprendere il perché si tratta di una sottrazione fraudolenta di dati, seppur complessa.
Le tre fasi della distillazione dei modelli
Il processo è concettualmente semplice, tuttavia richiede una particolare organizzazione tecnologica per la sua realizzazione e si articola in tre fasi principali:
– Fase di interrogazione (Querying Phase)
La società “pirata” utilizza uno script automatizzato per inviare una quantità massiccia di domande (query) alle API dell’IA. Tali interrogazioni non sono casuali, ma sono organizzate ad hoc al fine di mappare l’intero database di conoscenze del modello.
– Fase di raccolta (Harvesting Phase)
Per ogni singola query inviata, l’hacker memorizza sia il prompt esatto sia la risposta generata dal modello LLM con il risultato che la raccolta di coppie input-output va a comporre un dataset personalizzato e di altissima qualità che rappresenta una vera e propria “copia carbone” del sistema attaccato.
– Fase di distillazione (Distillation Phase)
Una volta entrato in possesso del dataset clone, l’hacker lo utilizza per addestrare un nuovo modello open-source già molto performante, eseguendone il fine-tuning (affinamento) con i dati sottratti.
In questo modo, sia le conoscenze, le funzionalità e lo stile semantico del modello copiato vengono trasferiti in quello clonato, consentendo all’hacker di ottenere una copia funzionale di un sistema IA costoso spendendo solo il costo delle chiamate API e del tempo di calcolo.
La tutela giuridica contro la model distillation
Lasciando impregiudicate le questioni geopolitiche relative al vantaggio tecnologico, le società che investono miliardi di dollari in infrastrutture e software stanno insistentemente chiedendo al legislatore USA di adottare una normativa che tuteli effettivamente gli investimenti effettuati.
In ogni caso, potrebbe essere difficile distinguere fra una pratica effettivamente illecita (rectius reato) dalla mera violazione dei TOS, anche se va detto che alcuni ricercatori cinesi hanno documentato alcuni indizi di distillazione in diversi modelli di aziende del paese del dragone; in ogni caso, se il diritto impone prove certe, inconfutabili e documentate qui siamo ben lontani dalla “smoking gun” richiesta per affermare le singole responsabilità.
Ma, rebus sic stantibus, quali potrebbero essere i mezzi di tutela con gli strumenti attuali?
IA Act e diritto d’autore europeo
Tenendo conto del panorama europeo ed italiano, la società che ha subito una “distillazione” non autorizzata può invocare, in primis, l’IA Act europeo (Regolamento (UE) 2024/1689) a mente dei considerando 106, 107 e 108 e dell’art. 53 che stabilisce che i fornitori di modelli IA per finalità generali «attuano una politica volta ad adempiere al diritto dell’Unione in materia di diritto d’autore e diritti ad esso collegati e, in particolare, a individuare e rispettare, anche attraverso tecnologie all’avanguardia, una riserva di diritti espressa a norma dell’articolo 4, paragrafo 3, della direttiva (UE) 2019/790; »
Sul panorama italiano, la legge 132/2025 ha introdotto l’art. 70 septies alla Legge sul diritto d’autore che così recita: «Fermo restando quanto previsto dalla Convenzione di Berna per la protezione delle opere letterarie ed artistiche, ratificata e resa esecutiva ai sensi della legge 20 giugno 1978, n. 399, le riproduzioni e le estrazioni da opere o da altri materiali contenuti in rete o in banche di dati a cui si ha legittimamente accesso, ai fini dell’estrazione di testo e di dati attraverso modelli e sistemi di intelligenza artificiale, anche generativa, sono consentite in conformità alle disposizioni di cui agli articoli 70 ter e 70 quater. »
La norma potrebbe essere posta alla base di una richiesta al giudice di un provvedimento inibitorio e/o eventuale risarcimento danni, in quanto introduce il principio secondo cui si può estrarre e riprodurre solo ciò a cui si ha legittimamente accesso, rispettando comunque le limitazioni dei titolari dei diritti.
Inoltre, l’art. 102 bis LDA tutela il data set come diritto “sui generis” in relazione all’investimento finanziario e di tempo per la raccolta, verifica e presentazione dei dati.
Brevetti e concorrenza sleale
Un altro fronte di tutela potrebbe essere, in astratto, quello dei brevetti; tuttavia, il problema riguarda la brevettabilità in sé dell’algoritmo sotteso (non brevettabile) a meno che il sistema di IA non riguardi un’applicazione tecnica sia hardware che software e fermi restando i criteri di novità e non ovvietà previsti per la richiesta di brevetto.
Infine, la rivendita a costi irrisori di servizi basati su sistemi IA clonati, potrebbe dar luogo ad atti di concorrenza sleale, tenendo sempre conto dell’analisi della disciplina nazionale sottesa.
Model distillation, limiti delle norme e accordi internazionali
La tematica, pur non rappresentando un’assoluta novità nel campo tecnico, pone alcune questioni giuridiche non di poco conto, atteso che le società sviluppatrici di sistemi di IA hanno di fatto le armi spuntate contro la “model distillation”.
Il legislatore, dal canto suo, dovrebbe prevedere nuove forme che tutelino gli investimenti delle società vittime, ma anche di limitare gli atti di concorrenza sleale, tenendo conto dei costi di “rivendita” irrisori dei servizi basati su sistemi IA clonati.
In ogni caso tali fenomeni, attesa la vastità e l’impossibilità di evitare il drenaggio di dati incontrollato, possono essere limitati solo attraverso accordi internazionali ad hoc e protocolli di investigazione comuni come, d’altro canto, lo si fa già per il contrasto al cybercrime.
Partecipa alla community