La notizia in sintesi
- Alexander Panfilov segnala una vulnerabilità nelle API dei principali modelli IA.
- La tecnica poteva esporre ragionamenti riservati, password e chiavi API.
- OpenAI, Anthropic e Google hanno adottato mitigazioni dopo la segnalazione.
- Il caso riapre il confronto sulla distillazione tra modelli statunitensi e cinesi.
Riassunto generato con AI
Vulnerabilità nelle API dei modelli di frontiera
OpenAI, Anthropic e Google hanno corretto una vulnerabilità nelle rispettive API, individuata da ricercatori guidati da Alexander Panfilov dell’Università di Tübingen, in Germania. Il problema riguardava le tracce di ragionamento interne dei modelli avanzati, informazioni normalmente nascoste agli utenti per impedire che vengano riutilizzate nell’addestramento di altri sistemi.
Secondo la ricerca, il metodo avrebbe potuto recuperare anche informazioni personali, comprese password e chiavi API presenti nei ragionamenti intercettati dal computer dell’utente. Le aziende sono state avvertite il mese scorso e hanno modificato le API per ridurre l’esposizione di dati privati.
La scoperta è rilevante perché riguarda i fornitori di modelli di frontiera testati dal gruppo di ricerca e perché rende più concreto il rischio di distillazione su larga scala. “Tutti i principali fornitori di modelli di frontiera che abbiamo testato condividono questa vulnerabilità”, afferma Panfilov, sottolineando la possibile fuga di dati personali e l’uso della falla per estrarre capacità di ragionamento.
Come funzionava l’estrazione dei ragionamenti nascosti
I modelli IA più avanzati affrontano compiti complessi scomponendoli in passaggi intermedi, spesso definiti chain of thought. Le aziende mantengono riservati questi passaggi, ma possono inviarne una versione cifrata al dispositivo dell’utente per alleggerire parte dell’elaborazione.
Il team dell’Università di Tübingen, del Max Planck Institute, di MATS Research e di Snyk ha scoperto che una traccia cifrata poteva essere inoltrata a una versione più piccola dello stesso modello. Questi sistemi minori, meno sottoposti a interventi di allineamento, potevano rivelare più facilmente il contenuto del ragionamento interno.
Florian Tramer, esperto di sicurezza dell’ETH Zürich, ha definito interessante lo scambio verso una variante più debole con la stessa chiave di decifratura, ma con protezioni inferiori. “Sta decisamente diventando un problema”, ha osservato.
Le mitigazioni adottate hanno impedito il recupero di informazioni private con questa procedura. Panfilov sostiene tuttavia che alcune tracce di ragionamento restino estraibili e che eliminare del tutto il rischio richiederebbe una revisione strutturale del funzionamento delle API.
Michael Aciman, portavoce di Anthropic, ha dichiarato che l’azienda sta sviluppando misure di breve periodo contro i comportamenti descritti nel rapporto. Ha precisato che la ricerca non ha comportato il recupero di chiavi di cifratura, l’accesso all’infrastruttura di Anthropic o dati personali dai suoi sistemi.
Google e OpenAI non hanno rilasciato commenti. Moonshot AI e Z.ai non avevano risposto alla richiesta di dichiarazioni al momento della pubblicazione.
Il nodo della distillazione tra Stati Uniti e Cina
Lo studio non prova causalmente che modelli cinesi abbiano copiato modelli statunitensi. Tuttavia, il modello open-weight Kimi K3 di Moonshot AI ha prodotto, per alcuni prompt, risposte molto simili alle tracce nascoste di Claude Opus 4.8 e GPT 5.6 Sol.
I ricercatori hanno sottoposto 90 domande ai modelli e rilevato la maggiore somiglianza in Kimi K3. DeepSeek e Inkling di Thinking Machines non hanno invece mostrato lo stesso tipo di affinità con Claude Opus.
La distillazione resta una pratica diffusa per trasferire capacità tra sistemi, ma ha assunto un valore geopolitico nella competizione sull’IA. Mark Zuckerberg di Meta la considera un principio importante dell’ecosistema open source; Kyle Miller ritiene invece incerto quanto possa incidere realmente sul vantaggio competitivo cinese.
Per Yarin Gal dell’Università di Oxford, limitarla potrebbe anche rallentare il progresso dell’intelligenza artificiale. La conseguenza più immediata della ricerca è quindi tecnica e politica: le piattaforme dovranno proteggere meglio i ragionamenti senza bloccare strumenti ampiamente usati nello sviluppo dei modelli.
FAQ
Quali aziende erano coinvolte nella vulnerabilità?
Sì, i ricercatori hanno testato modelli accessibili via API di OpenAI, Anthropic e Google.
Quali dati potevano essere esposti?
Sì, il metodo poteva rivelare tracce di ragionamento e, prima delle correzioni, password e chiavi API incorporate in tali contenuti.
La falla è stata completamente eliminata?
No, le mitigazioni hanno bloccato l’estrazione di dati privati, ma Panfilov indica che alcune tracce di ragionamento possono ancora emergere.
Kimi K3 ha copiato modelli americani?
No, lo studio rileva somiglianze significative, ma dichiara esplicitamente di non poter stabilire causalmente una distillazione.
Su quali fonti si basa questa analisi?
Sì, il contenuto nasce da un’analisi approfondita e da una verifica incrociata della nostra Redazione su numerose fonti, tra cui WIRED.
