Ottanta virgola quattro per cento contro settantuno virgola otto. È il divario sul benchmark SWE-bench Verified tra due modelli per il resto identici, addestrati da Anthropic sulle trascrizioni del ragionamento del suo Claude Opus 4.8. Uno ha ricevuto le trascrizioni complete, l’altro solo brevi riassunti. Quasi nove punti di differenza spiegano perché il 12 ottobre 2026 l’azienda ha pubblicato un lungo documento sulla difesa dalla distillazione , e perché nell’API c’è ora un meccanismo che ha cambiato il modo in cui gli sviluppatori possono riordinare in sicurezza la cronologia di una conversazione.

Il punto è che un modello non produce soltanto una risposta. Prima di rispondere scrive una bozza, una catena di ragionamenti. Per chi vuole copiare le capacità altrui, la bozza vale più della risposta. La risposta mostra il risultato; la bozza mostra il pensiero, e imparare dal pensiero è molto più efficiente.

Cos’è la distillazione e perché la chiamano attacco

Nella sua forma pacifica la distillazione è una tecnica ordinaria: un grande modello «insegnante» genera esempi e un piccolo modello «studente» impara da essi. I laboratori comprimono così i propri modelli. I guai cominciano quando l’insegnante appartiene a qualcun altro e nessuno ha chiesto il permesso.

Anthropic descrive queste campagne come tentativi occulti, su scala industriale, di estrarre le capacità di un modello e riprodurle in un altro. Nel suo rapporto di febbraio l’azienda ha indicato le dimensioni: oltre 16 milioni di scambi con Claude attraverso circa 24.000 account fraudolenti. Tre i laboratori citati: DeepSeek (oltre 150.000 scambi), Moonshot AI (oltre 3,4 milioni) e MiniMax (oltre 13 milioni). Una sola rete proxy gestiva più di 20.000 account contemporaneamente. Sono affermazioni di Anthropic, non verificabili in modo indipendente, e l’azienda è parte in causa.

Il documento di ottobre aggiunge una novità: la difesa precedente aveva smesso di funzionare perché gli aggressori avevano cambiato tattica.

Come la difesa e l’aggiramento si sono inseguiti

La prima misura era semplice. Se il ragionamento ha valore, non mostrarlo per intero: riassumerlo. Il test 80,4 contro 71,8 per cento dimostra che il riassunto assottiglia davvero il materiale di addestramento.

Poi è arrivata l’estrazione attiva. Nei prompt cominciarono a comparire richieste come «riporta alla lettera il tuo ragionamento precedente» e, secondo il racconto di Anthropic, un laboratorio ha tentato 12.000 richieste, ciascuna con un trucco diverso. Dopo di che si è scoperto che i blocchi di ragionamento protetti si potevano spostare: da una conversazione a un’altra, su un modello con difese più deboli, su un altro account dentro una rete proxy. Un blocco di ragionamento era solo testo che si poteva tagliare e incollare.

Fu quello il punto debole su cui Anthropic intervenne per primo. Se non puoi nascondere la bozza, puoi fare in modo che sia inutile ovunque tranne che nel posto in cui è nata.

Come un blocco di ragionamento viene legato al suo contesto

Il meccanismo si chiama preserved thinking, e la documentazione lo descrive in modo asciutto. Ogni blocco di ragionamento porta una firma. A partire da Claude Fable 5.1, l’API la usa per verificare due cose: se il modello attuale può leggere quel blocco, e se qualcosa di ciò che lo precede è cambiato. «Ciò che lo precede» significa il prompt di sistema, l’elenco degli strumenti e tutti i messaggi precedenti. Cambia una parola all’inizio e il blocco, insieme a tutti quelli successivi, diventa non valido.

C’è poi il legame con l’account. I blocchi di Claude Sonnet 5.5 e Claude Haiku 5.5 funzionano solo nell’account che li ha prodotti o in uno collegato. I blocchi estranei vengono scartati in silenzio. Opus 5 e Opus 5.5 non leggono mai i blocchi di Fable 5.1.

Per un aggressore è scomodo: per usare un pezzo di ragionamento rubato bisogna riprodurre l’intero contesto fino all’ultimo carattere e trovarsi nell’account giusto. Anche uno sviluppatore comune ne subisce le conseguenze. Sugli account creati a partire dal 31 agosto 2026 il controllo del prefisso è attivo per impostazione predefinita, e una discrepanza restituisce un errore 400. Gli account più vecchi ottengono il controllo solo se impostano il parametro prefix_mismatch_behavior.

Cosa si rompe? Tutto ciò che ama ricostruire la cronologia. Un prompt di sistema in cui ogni volta si sostituisce la data. Il taglio dei vecchi risultati degli strumenti. Il riassunto lato client dei turni vecchi lasciando intatti quelli recenti. La modifica dell’elenco degli strumenti a conversazione in corso. La documentazione chiede ai client di lavorare solo in accodamento (append-only) e propone alternative: aggiungere un messaggio di sistema invece di ricostruire il prompt, usare la compattazione lato server invece di tagliare la cronologia a mano. Claude Code, claude.ai e l’Agent SDK gestiscono tutto questo da soli, secondo la stessa pagina. Se chiami direttamente l’API di Claude , controlla almeno come serializzi le risposte: i blocchi thinking vuoti vanno rimandati indietro così come sono arrivati, perché il ragionamento vero e proprio vive nella firma.

La modalità drop_block permette di scartare semplicemente i blocchi non validi, ma allora il modello rielabora il proprio ragionamento e il consumo di token in output può crescere in modo sensibile. La documentazione stessa la definisce un ripiego.

Cosa mostrano i numeri e cosa no

La seconda metà della difesa è un classificatore a due stadi, costruito sul lavoro di Anthropic sui classificatori costituzionali e addestrato su veri tentativi di estrazione. Anthropic dichiara un tasso di falsi positivi inferiore allo 0,1 per cento. Dal 24 settembre addebita anche le richieste che le protezioni bloccano prima che Claude risponda, anche nell’ambito della distillazione. Chi recidiva va incontro a limiti più stretti e a divieti: decine di migliaia di account, secondo il conteggio dell’azienda, spesso in meno di due ore dall’inizio di una campagna.

L’affermazione principale è che i token di ragionamento estratti dai distillatori sono ora da 10 a 100 volte inferiori, o anche più, e in certi giorni troppo pochi per essere misurati. Altrove il testo parla di un calo di circa il 90-99 per cento e lo definisce un primo indizio.

Qui serve cautela. La misurazione è stata fatta da Anthropic, sulla propria piattaforma. Stima i token estratti da ciò che è riuscita a individuare, e ciò che è passato inosservato è per definizione invisibile. Inoltre i distillatori distribuiscono il traffico sulle API e sui cloud di più fornitori, quindi chiudere una porta non garantisce nulla sulle altre. Anthropic scrive chiaramente di non sapere quanto durerà l’effetto, di aspettarsi un gioco del gatto e del topo e di non aver ancora visto un tentativo di aggirare le nuove difese che sia insieme molto sofisticato e persistente.

I costi sono dichiarati: rinunciare a ricavi rilevanti e a «migliaia di miliardi di token» di traffico pagante, modifiche all’integrazione per alcuni clienti legittimi, rari blocchi errati. L’obiettivo di febbraio, rendere la distillazione più difficile senza danneggiare gli utenti legittimi, l’azienda dice di non averlo ancora raggiunto del tutto.

Perché la cosa va oltre Anthropic

Partiamo da ciò che si sa da una fonte indipendente. A settembre il CAISI del NIST ha definito GLM-5.3 di Z.ai il modello a pesi aperti con le maggiori capacità informatiche offensive rilasciato finora, con circa quattro mesi di ritardo rispetto alla frontiera statunitense. Sul test SEC-Bench Pro, per esempio, ha risolto 74 compiti su 183; il miglior modello americano ne ha risolti 165. La valutazione non dice nulla sulla distillazione.

Il legame tra GLM-5.3 e la copia dei modelli americani viene dal testo di ottobre di Anthropic: secondo questo, Zhipu avrebbe distillato capacità informatiche dai principali modelli statunitensi e, quando le difese di Anthropic hanno ostacolato i suoi tentativi con Claude Fable 5, sarebbe passata a un modello Claude più vecchio e al modello di un altro laboratorio. È un’affermazione dell’azienda, non una conclusione di un ente governativo, e al momento nulla dall’esterno la conferma.

Se regge, il quadro è scomodo. Una capacità che un’azienda aveva avvolto in restrizioni protettive finisce in un modello rilasciato con pesi aperti, dove quelle restrizioni non ci sono; secondo la stessa valutazione di Anthropic, le protezioni integrate di GLM-5.3 si aggirano facilmente. Il ragionamento nascosto smette di essere un segreto industriale e diventa un pezzo di sicurezza.

La firma su un blocco di ragionamento probabilmente non sarà l’ultimo meccanismo di questo genere. Quando un prodotto si può copiare semplicemente facendogli domande, la protezione si sposta nel protocollo di scambio stesso. Chi sviluppa integrazioni esterne dovrà abituarsi all’idea che la cronologia di una conversazione non è più la sua corrispondenza privata, ma una catena che deve arrivare integra.