Anthropic afferma di aver implementato nuove difese che riducono la quantità di dati di addestramento che gli attaccanti possono estrarre dai suoi modelli Claude attraverso la distillazione, dal 90 al 99 percento. L'azienda ha annunciato le misure nell'ambito di un più ampio sforzo per proteggere l'integrità del modello e la sua tecnologia proprietaria.
Gli attacchi di distillazione consistono nell'interrogare ripetutamente un modello per raccogliere i suoi output, per poi utilizzare quei dati per addestrare un sistema concorrente. La tecnica consente a qualcuno di sfruttare la ricerca di un'altra azienda senza pagarla. Le nuove salvaguardie di Anthropic intendono rendere quel processo molto meno efficace.
Come funzionano gli attacchi
In un attacco di distillazione, un avversario non ha bisogno di accedere al codice sottostante del modello o ai pesi. Gli basta la capacità di inviare query e registrare le risposte. Eseguendo milioni di prompt attraverso un modello, può costruire un dataset che cattura gran parte del suo comportamento. Quel dataset diventa quindi materiale di addestramento per un modello rivale, che può imitare le capacità dell'originale a una frazione del costo di sviluppo.
Per le aziende di AI, questo è sia un problema di sicurezza che di business. Gli output rappresentano mesi di ricerca e ingenti spese di calcolo. Se un concorrente può raccogliere quegli output a basso costo, l'incentivo a investire in modelli all'avanguardia si riduce. Le difese di Anthropic mirano a spezzare questa catena rendendo i dati raccolti meno utili o più difficili da collezionare su larga scala.
Cosa ha cambiato Anthropic
L'azienda non ha dettagliato i meccanismi tecnici esatti, ma ha affermato che le difese sono progettate per rilevare e interrompere i tentativi di distillazione in tempo reale. Ciò potrebbe significare limitare la frequenza di pattern di query sospetti, aggiungere rumore agli output o applicare watermark alle risposte in modo che possano essere tracciate. Anthropic sostiene che il risultato è una riduzione dal 90 al 99 percento dei dati che gli attaccanti riescono a raccogliere con successo.
L'intervallo è ampio perché l'efficacia varia a seconda del metodo di attacco. Un'operazione di scraping grossolana e ad alto volume potrebbe essere bloccata quasi del tutto, mentre un approccio più attento e a bassa intensità potrebbe ancora passare. Anthropic afferma che continuerà a mettere a punto il sistema man mano che gli avversari si adattano.
Non è la prima volta che un'azienda di AI parla di distillazione. OpenAI e Google hanno entrambe accusato rivali di utilizzare gli output dei loro modelli per addestrare sistemi concorrenti. Ma risultati pubblici e quantificati sono rari. I numeri di Anthropic forniscono un benchmark concreto di quanto bene si comporti una serie di difese, almeno secondo la misurazione dell'azienda stessa.
Il furto di modelli si colloca all'intersezione tra sicurezza, proprietà intellettuale e competitività nazionale. I governi stanno iniziando a trattare i modelli di AI avanzati come asset strategici. Se la distillazione può essere limitata, si rafforza l'argomentazione per le aziende a continuare a investire in modelli più grandi e costosi senza temere che il loro lavoro venga copiato dall'oggi al domani.
C'è anche un aspetto legato alla sicurezza. Se un attore malintenzionato distilla un modello e rimuove il fine-tuning di sicurezza, può creare una versione non allineata più difficile da monitorare. Le difese di Anthropic non affrontano direttamente questo scenario, ma rendendo la distillazione più difficile, aumentano il costo per chiunque ci provi.
L'annuncio arriva mentre Anthropic affronta una crescente concorrenza da modelli open-weight liberamente utilizzabili e modificabili. Quei modelli possono essere distillati senza alcuna query API, quindi le nuove difese non si applicano a essi. L'approccio dell'azienda è una scommessa sul fatto che i modelli proprietari basati su API rimarranno sufficientemente preziosi da indurre i clienti a pagare per l'accesso, e che proteggerli valga lo sforzo ingegneristico.
Anthropic non ha dichiarato se pubblicherà un paper tecnico o rilascerà open-source gli strumenti di difesa. Per ora, la cifra del 90-99 percento è un'affermazione che i ricercatori esterni non possono facilmente verificare. L'azienda afferma che continuerà ad aggiornare il sistema man mano che apprende di più su come operano gli attaccanti.
I concorrenti stanno probabilmente osservando attentamente. Se le difese reggeranno, potrebbero diventare una funzionalità standard delle API commerciali di AI. In caso contrario, il gioco del gatto e del topo tra fornitori di modelli e raccoglitori di dati continuerà, con ciascuna parte che si adatta all'ultima mossa dell'altra.
