Anthropic ha descritto nel proprio Threat Intelligence Report di settembre 2026 una campagna attribuita a Moonshot AI nella quale richieste inviate dagli utenti al servizio Kimi sarebbero state inoltrate in modo silenzioso ai modelli Claude. Secondo Anthropic, gli utenti ritenevano di utilizzare Kimi, mentre in alcuni casi le loro richieste venivano elaborate da Claude e le risposte generate venivano poi restituite attraverso l’interfaccia del servizio di Moonshot senza indicare il passaggio attraverso un modello esterno. Il caso è stato classificato da Anthropic con il codice GTG-16002 e viene inserito nel contesto più ampio delle attività di distillazione non autorizzata rilevate contro i propri modelli.
In uno degli episodi documentati, nell’arco di dieci giorni Moonshot avrebbe inoltrato quasi 300.000 richieste di utenti verso Anthropic, con la maggior parte del traffico diretta a modelli della classe Opus. Per realizzare questo meccanismo sarebbero stati utilizzati 5.380 account fraudolenti appartenenti a una rete di proxy, localizzati prevalentemente a Singapore e in Giappone. Anthropic sostiene che Moonshot non si sarebbe limitata a utilizzare le risposte di Claude per servire i propri utenti, ma avrebbe anche salvato almeno una parte degli scambi con l’obiettivo di riutilizzarli nel training dei propri modelli.
Il sistema avrebbe incluso una pipeline dedicata all’estrazione delle chain of thought di Claude. Anthropic utilizza normalmente una “thinking signature” per evitare di restituire direttamente il ragionamento interno completo del modello: l’API conserva il riferimento al ragionamento e lo recupera quando necessario nelle chiamate successive. Secondo l’indagine, Moonshot sarebbe riuscita ad aggirare questa protezione salvando la firma associata al ragionamento, avviando una nuova sessione e inducendo successivamente Claude a riconvertire quella firma nel relativo contenuto. Anthropic descrive questa tecnica come cross-session replay attack e afferma di aver introdotto nuove contromisure per limitarne l’utilizzo.
L’aspetto più delicato riguarda però il contenuto delle richieste trasferite. L’indagine ha individuato casi in cui le conversazioni inoltrate a Claude contenevano informazioni sensibili appartenenti a utenti di Moonshot. Anthropic precisa di non sapere se questi utenti fossero stati informati del fatto che le loro richieste potevano essere elaborate da un soggetto terzo e quindi trasferite al di fuori dell’infrastruttura originariamente utilizzata.
In uno dei casi esaminati, un utente che Anthropic ritiene probabilmente collegato all’Esercito Popolare di Liberazione cinese aveva utilizzato quello che credeva essere Kimi per analizzare dati di videosorveglianza relativi a una persona specifica. Il materiale comprendeva immagini provenienti da centinaia di telecamere nell’area di Chengdu, incluse telecamere situate nei pressi di strutture militari, istituti collegati alla China Electronics Technology Group Corporation e una grande impresa statale. L’utente aveva chiesto al sistema di individuare eventuali comportamenti anomali della persona monitorata. Queste informazioni sarebbero state quindi inoltrate ai server di Anthropic durante l’elaborazione della richiesta.
Un secondo caso riguarda un ingegnere impiegato presso una grande impresa statale cinese che utilizzava Kimi durante lo sviluppo di un sistema interno. Nelle richieste erano presenti codice proprietario e credenziali operative appartenenti a diverse grandi aziende cinesi, comprese società tecnologiche di primo piano. Secondo Anthropic, anche in questo caso l’utente non aveva modo di sapere che il contenuto inviato a Kimi veniva successivamente inoltrato a Claude.
La portata complessiva dell’attività attribuita a Moonshot è molto più ampia dei singoli esempi descritti. Anthropic afferma di aver osservato oltre 23 milioni di scambi riconducibili ad attività di distillazione attribuite a Moonshot tra maggio e luglio 2026. L’azienda sostiene inoltre che pratiche simili siano state rilevate anche presso altri laboratori cinesi, tra cui DeepSeek e Xiaomi, attraverso reti di proxy, account falsi, credenziali compromesse e servizi di routing utilizzati per aggirare restrizioni geografiche e controlli applicati ai modelli Claude.
Nel rapporto Anthropic segnala inoltre che alcune richieste passate attraverso questi sistemi di routing contenevano nomi, indirizzi email, dati aziendali e altre informazioni sensibili appartenenti a centinaia di utenti e scritte in almeno una dozzina di lingue. Parte del traffico proveniva da servizi di routing di modelli utilizzati anche negli Stati Uniti e in Europa. Secondo Anthropic, il problema non riguarda quindi soltanto la distillazione delle capacità del modello, ma anche il possibile riutilizzo o trasferimento di conversazioni che gli utenti potrebbero considerare riservate.
Anthropic sottolinea che le attività individuate vengono utilizzate per estrarre capacità dai modelli frontier e trasferirle verso sistemi concorrenti. Nel caso di Moonshot, le risposte e i relativi ragionamenti di Claude sarebbero stati raccolti come materiale per il training, consentendo di utilizzare il comportamento di un modello esterno per migliorare modelli proprietari. L’azienda collega questo tipo di operazioni a un mercato più ampio di proxy e rivenditori che forniscono accesso non autorizzato ai modelli attraverso account falsi, carte di pagamento rubate o virtuali e credenziali sottratte a utenti e imprese.
Le informazioni rese pubbliche non indicano al momento l’apertura di procedimenti ufficiali da parte delle autorità cinesi nei confronti di Moonshot AI. Le possibili conseguenze in materia di protezione dei dati, trasferimenti internazionali e sicurezza nazionale dipenderanno quindi da eventuali verifiche regolatorie successive. Il punto documentato dal rapporto riguarda invece il meccanismo tecnico: richieste presentate dagli utenti a un modello sarebbero state inoltrate a Claude senza che il passaggio fosse visibile, includendo in alcuni casi dati operativi, credenziali e materiale legato alla sorveglianza.
Questo articolo è stato redatto con il supporto di strumenti di intelligenza artificiale (AI)