Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
OpenAI ha smantellato una campagna coordinata che puntava a estrarre il ragionamento nascosto dei suoi modelli, riconducendo un nucleo dell'attività a persone vicine a Moonshot AI, la società che realizza il modello Kimi. Sembra una vittoria netta. Non lo è: la stessa tecnica ha continuato a funzionare per settimane su Microsoft Azure, e gli stessi modelli rispondono con protezioni diverse a seconda della piattaforma che li serve. Chi usa gli LLM via cloud non può contare sulle difese annunciate sull'API ufficiale.
Come funzionava la distillation avversariale
Gli operatori non hanno violato la crittografia né acceduto a conversazioni salvate. Copiavano il reasoning cifrato da una conversazione e lo incollavano in un'altra, chiedendo a un modello della stessa famiglia di decifrarlo e trascriverlo con parole proprie. Un modello più economico fungeva così da "oracolo di decrittazione", stampando il pensiero nascosto di uno più potente.
Il meccanismo era già stato descritto in un paper dal ricercatore Joachim Schaeffer e dal suo team. OpenAI ha confermato che i percorsi di attacco segnalati erano reali e ha riconosciuto il contributo dei ricercatori nella messa a punto delle contromisure. Anthropic, dal canto suo, ha segnalato di recente tentativi simili da parte di aziende AI cinesi.
Le difese di OpenAI: 15.000 account chiusi entro il 28 luglio
L'attività è iniziata il 1° luglio a basso volume. Il 24 e 25 luglio è esplosa: 16.000 richieste da oltre 4.000 utenti con lo stesso schema di estrazione. L'analisi ha poi rivelato un cluster di oltre 15.000 account correlati, chiuso del tutto entro il 28 luglio.
OpenAI ha bannato gli account fraudolenti, irrigidito le iscrizioni e chiuso la falla che permetteva di riprodurre reasoning cifrato altrui. Ora filtra gli output in streaming e li trattiene se potrebbero rivelare il ragionamento. L'azienda precisa che le cifre riguardano tentativi di estrazione, non necessariamente successi. I risultati sono stati condivisi con il Frontier Model Forum e i canali governativi.
Il buco su Azure e il ritardo nelle protezioni
Il 13 settembre i ricercatori hanno ripetuto il test: l'attacco era bloccato sulle API di OpenAI e Anthropic, ma funzionava su Microsoft Azure contro ogni modello OpenAI provato, incluso il nuovo GPT-6 Astra, e contro i modelli Anthropic fino a Sonnet 5. Bastava un singolo tentativo per estrarre il reasoning alla lettera. "Stessi modelli, ma protezioni diverse a seconda della piattaforma che li serve", ha commentato Schaeffer.
Esiste anche una seconda via, più semplice, dimostrata pubblicamente dallo sviluppatore Can Bölük: dare al modello un blocco note virtuale e dirgli di scriverci il ragionamento, che l'utente può poi leggere. Ha funzionato su ogni modello OpenAI, oltre che su Opus 4.8 e Sonnet 5. Solo Opus 5, Fable 5 e Fable 5.1 non hanno rivelato i propri passaggi interni.
Se le cifre di OpenAI raccontano una difesa chiusa in 27 giorni, i tempi dei partner cloud sono un'altra cosa. Dal blocco sull'API di OpenAI (28 luglio) all'aggiunta delle protezioni sull'endpoint Azure (27 settembre) passano 61 giorni. Per i modelli Anthropic la riproduzione dell'attacco su Azure si è fermata solo dal 28 settembre. GPT-6 Astra è arrivato su piattaforme di terze parti senza alcuna protezione attiva.
Cosa cambia per chi usa i modelli via cloud
La lezione è operativa. Le difese attuali sono, per ammissione dei ricercatori, frammentarie e superficiali: molte si basano sul riconoscimento fragile di pattern di richiesta specifici. Un attaccante può semplicemente scegliere la rotta con le protezioni più deboli — e tra API ufficiale e cloud partner, per settimane, non c'è stata partita.
Il paper degli stessi ricercatori va oltre e sostiene che i provider cloud che non applicano protezioni equivalenti non dovrebbero poter servire modelli di reasoning. Il rischio, scrivono, è che backdoor aperte permettano di aggirare i controlli sull'export direttamente a livello di API. OpenAI riconosce che i deployment ospitati dai partner richiedono le stesse tutele dei servizi first-party e ammette che il lavoro non è concluso.
Per chi sviluppa sopra Azure o altri rivenditori, la domanda non è più se il modello rifiuta di rivelare il proprio ragionamento, ma chi controlla che lo faccia.
Fonti
