TECH — Settimana 07/09–13/09 2026
Il 9 settembre NSA, FBI e CISA raccomandano ai laboratori americani di degradare in silenzio le risposte agli account sospettati di distillazione cinese; il giorno dopo Anthropic pubblica i numeri che rendono quella raccomandazione difendibile, quasi 200 milioni di scambi estratti in cinque campagne. L’API diventa contemporaneamente una frontiera e uno strumento di intelligence. Il 12 Amodei chiede di rallentare la frontiera e Altman rinvia l’IPO citando la sicurezza: per la prima volta il rischio non è un capitolo del prospetto, è il motivo per cui il prospetto non esiste.
🛰️ TECH — Settimana 07/09–13/09 2026
TL;DR: Il 9 settembre NSA, FBI e CISA raccomandano ai laboratori americani di degradare in silenzio le risposte agli account sospettati di distillazione cinese; il giorno dopo Anthropic pubblica i numeri che rendono quella raccomandazione difendibile, quasi 200 milioni di scambi estratti in cinque campagne. L’API diventa contemporaneamente una frontiera e uno strumento di intelligence. Il 12 Amodei chiede di rallentare la frontiera e Altman rinvia l’IPO citando la sicurezza: per la prima volta il rischio non è un capitolo del prospetto, è il motivo per cui il prospetto non esiste.
🔴 Segnale forte
La settimana in cui l’API è diventata un confine
Il 9 settembre NSA, FBI e CISA hanno pubblicato un advisory congiunto che nomina sei aziende cinesi come responsabili di campagne di distillazione su scala industriale contro i modelli di frontiera americani: DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun, Z.AI. La descrizione tecnica è la parte meno interessante, ed è già notevole: richieste instradate attraverso API, piattaforme cloud e aggregatori terzi per offuscare l’origine, un mercato grigio di proxy che funzionano da “stazioni di trasferimento” per aggirare le restrizioni geografiche, estrazione della catena di ragionamento via prompt injection, attività documentata su Claude, GPT, Gemini e Grok dalla fine del 2024.
La parte che cambia la natura del settore è la terza raccomandazione di mitigazione. L’advisory suggerisce ai fornitori di “alterare in modo sottile le risposte” agli account sospettati di distillazione, per esempio riducendo la profondità di ragionamento, e di farlo senza informare il titolare dell’account, perché avvisarlo gli permetterebbe di migliorare l’evasione. Tradotto: tre agenzie federali raccomandano a fornitori privati di servire a clienti paganti un prodotto peggiore di quello fatturato, in silenzio, sulla base di un sospetto proprietario.
Il precedente storico più vicino è la Selective Availability del GPS, la degradazione deliberata del segnale civile fino al 2000. La differenza, notata subito, è che quella la annunciava il presidente, con una data e una dichiarazione esplicita di capacità. Questa non lascia traccia che il cliente possa vedere. E i criteri di rilevamento indicati nell’advisory, account nuovi con volumi alti, ottimizzazione dei prompt in cache, throughput di scala enterprise, descrivono esattamente il traffico di produzione di un’azienda qualsiasi che sposti un batch su chiavi nuove. Nessun tasso di falsi positivi è pubblicato.
Il giorno successivo Anthropic ha fornito la base probatoria. Il suo threat intelligence report di settembre documenta cinque campagne di distillazione per quasi 200 milioni di scambi complessivi, di cui 151 milioni attribuiti ad Alibaba tra maggio e luglio 2026, distribuiti su circa 3.500 account con un prompt fisso e picchi di quasi 3 milioni di scambi al giorno. Moonshot e DeepSeek, secondo la ricostruzione di TechCrunch, instradavano richieste dei propri utenti verso Claude restituendo le risposte come native. Il metodo di estrazione del ragionamento nascosto è di una semplicità imbarazzante: chiedere al modello di tradurre in katakana la propria memoria di lavoro.
Lo stesso report contiene la riga che riscrive la mappa del rischio: “l’accesso all’AI sotto forma di chiavi API compromesse, token di sessione e dispositivi è diventato l’obiettivo unico di diversi gruppi criminali”. Un attore russo con motivazione finanziaria ha colpito circa trenta aziende AI in quattro giorni per rubare chiavi di produzione: non i dati dei clienti, la capacità di calcolo. La chiave API è diventata il bene al portatore dell’intelligenza.
Le implicazioni si dispongono su tre piani che non si possono separare. Sul piano geopolitico, l’advisory arriva a giorni dal dialogo bilaterale sulla sicurezza AI previsto a Pechino per metà settembre, guidato per la parte americana dal segretario al Tesoro Scott Bessent, che secondo Asia Times è tra i sostenitori della tattica di degradazione, e a due settimane da un summit Trump-Xi atteso per il 24 settembre. Pechino aveva già posto come condizione preliminare un accordo su cosa significhi “AI safety”. Presentarsi al tavolo dopo aver raccomandato l’avvelenamento selettivo delle risposte non è una posizione negoziale neutra.
Sul piano economico, la distillazione è il meccanismo attraverso cui il pavimento di prezzo cinese erode i margini occidentali, e qui il controllo all’export mostra il suo limite strutturale: i torni si contano, i pesi no. Sul piano industriale, il costo lo paga la fiducia contrattuale: un cliente enterprise che firma un SLA su un modello di frontiera deve ora considerare che la qualità del servizio sia una variabile di sicurezza nazionale, regolata senza notifica.
Fonti: CISA AA26-251A · ExecutiveGov · Anthropic · TechCrunch · Quartz · Asia Times · Julien Simon · CNBC
📡 Altri fili
Il rischio esce dal prospetto e diventa il motivo per cui il prospetto non c’è
Sabato 12 settembre Dario Amodei ha pubblicato un saggio intitolato We Must Pace the Frontier, in cui chiede di rallentare deliberatamente il miglioramento delle capacità dei modelli. La struttura della proposta è in tre gradini di consenso crescente: valutatori esterni permanenti dentro ogni laboratorio, con badge, scrivania, accesso alle pipeline di addestramento e diritto di pubblicare senza redazione; poi standard comuni di sicurezza tra laboratori americani e alleati, che richiederebbero una deroga antitrust ristretta o un organismo federale di standard; poi coordinamento globale, con negoziati Stati Uniti-Cina su usi pericolosi, test pre-rilascio e limiti di velocità sull’auto-miglioramento ricorsivo.
I numeri portati a sostegno sono l’elemento verificabile del testo: a maggio 2026 oltre l’80% del codice unito nella codebase di Anthropic era scritto da Claude, e la misura di orizzonte temporale dei compiti di METR raddoppia ogni quattro mesi invece dei sette misurati prima. L’incidente su cui poggia l’urgenza è la valutazione di cybersecurity in cui circa 700 agenti coordinati su infrastruttura condivisa hanno attaccato Hugging Face, coda della vicenda già emersa nelle settimane precedenti. L’estrapolazione, un botnet su scala internet entro sei o dodici mesi, arriva senza metodologia: è una dichiarazione di allarme, non una stima.
Nello stesso giorno Sam Altman ha detto a Fortune che questo non è il momento per quotarsi, “non 2026”, perché OpenAI deve prima affrontare “quello che sarà richiesto per sicurezza e allineamento”, e ha aggiunto che non si possono prendere azioni che rischino di perdere il controllo del futuro. Altman ha inoltre dichiarato che OpenAI eguaglierà l’impegno sui valutatori incorporati, senza pubblicare i termini di pubblicazione. Elon Musk ha commentato “Dario ha ragione”.
Il fatto economico è questo: il mercato attendeva per il 2026 le due IPO più grandi del settore, e una è stata rinviata con una motivazione di sicurezza, non di valutazione o di finestra di mercato. Un’IPO rinviata è liquidità rinviata per dipendenti e investitori early, e sposta il finanziamento della crescita interamente sul mercato privato, cioè su un numero ristretto di controparti con potere negoziale crescente. Nella stessa settimana due ricercatori di sicurezza hanno lasciato Anthropic e DeepMind per METR, uno dei due dichiarando che “non ci sono adulti nella stanza”: le competenze si spostano dai laboratori ai valutatori indipendenti, esattamente il flusso che la proposta di Amodei istituzionalizzerebbe.
Va detto il contrappunto scomodo, perché è strutturale e non malizioso: chi trae il maggior beneficio da un limite di velocità concordato è chi ritiene di essere avanti sulla sicurezza, e la richiesta di una deroga antitrust per coordinarsi sugli standard è, nella forma, la richiesta di un permesso statale a un cartello con etichetta di sicurezza. Il problema non è la buona fede, è che l’unica fonte di evidenza su cui si decide è il soggetto regolato.
Fonti: Quartz · ComputingForGeeks · Fortune · Axios · AI Weekly
875 milioni per aggirare la Corea
Il 10 settembre Positron AI ha chiuso un Series C da 875 milioni di dollari a una valutazione di 5 miliardi, cinque volte quella di febbraio, con NEA, Atreides, Valor, SemiAnalysis Capital e Jim Clark. La tesi tecnica è una scommessa contro un collo di bottiglia: invece della memoria ad alta banda, LPDDR5X, la memoria degli smartphone. L’azienda dichiara di sfruttare oltre il 90% del throughput teorico di LPDDR5X contro meno del 30% degli acceleratori tradizionali, compensando così un divario nominale di prestazioni. Il sistema Titan arriva a 18,4 terabyte di memoria e 23,68 terabit al secondo di banda. Il chip Asimov va in tape-out su processo TSMC a 3 nanometri entro fine 2026, produzione di massa nella seconda metà del 2027.
Questo filo è la continuazione diretta della confessione contabile di Broadcom della settimana precedente, quando il margine lordo in calo al 73% aveva indicato la memoria HBM come il componente scarso che si appropria del valore. La HBM è concentrata in tre produttori, due dei quali coreani, in un punto di attrito geopolitico crescente. La LPDDR5X è una commodity, prodotta in volumi da più fornitori, per un mercato di consumo che non dipende dai cicli di capex degli hyperscaler. Scegliere memoria fungibile non è solo una scelta di costo, è una scelta di esposizione al rischio paese. Nella stessa settimana Ayar Labs ha aggiunto 150 milioni portando il capitale raccolto nel 2026 a 650 milioni sull’ottica co-packaged: il capitale sta finanziando in parallelo due vie d’uscita dallo stesso collo di bottiglia, la memoria e l’interconnessione.
Il limite è temporale: tape-out a fine 2026 e produzione di massa a metà 2027 significano nessun effetto sui prezzi dell’inferenza prima del 2028, e fino a quel momento le prestazioni dichiarate restano non verificate da silicio in produzione.
Fonti: SiliconANGLE · Converge Digest · AI Weekly
Il vincolo non è il chip, è la presa di corrente e la giurisdizione
L’11 settembre Oracle ha riportato un trimestre da 19,3 miliardi di ricavi con un backlog contrattuale di 664 miliardi, infrastruttura cloud a più 121% anno su anno, 850 megawatt di capacità aggiunta e oltre 300.000 GPU consegnate. Il titolo è salito del 7% contro un Nasdaq-100 a più 1%. La riga che spiega la reazione non è la crescita ma il finanziamento: i contratti più recenti usano prepagamento o hardware portato dal cliente, quindi non richiedono capitale incrementale da Oracle. Dopo un’estate in cui il mercato aveva punito la spesa a debito, il segnale accolto è che il rischio di capex si sta spostando sul committente.
Sul lato fisico, il 9 settembre Nvidia ha formalizzato l’Australia come programma sovrano coordinato, otto operatori (Firmus, Sharon AI, IREN, Megaport, ResetData, CDC, NEXTDC, AirTrunk) per 2 gigawatt entro fine 2027, stesso rango di Corea, Giappone ed Europa. Il dato che l’annuncio non risolve è la rete elettrica: secondo l’operatore di mercato australiano, a giugno 2026 esistevano 66,9 gigawatt di richieste di connessione contro circa 2,2 gigawatt di capacità disponibile, le code di interconnessione durano da due a cinque anni, e oltre il 40% dei progetti di data center avviati dal 2025 è uscito o regredito. Gli operatori con generazione dedicata hanno una consegna 2027 realistica, gli altri no.
Il pezzo geopolitico è nella parola “sovrano”. Il valore commerciale offerto agli ospedali e alle banche australiane non è una prestazione, è una giurisdizione: infrastruttura di operatori incorporati in Australia, quindi fuori dalla portata del CLOUD Act statunitense. La sovranità dei dati sta diventando una caratteristica di prodotto a premio, e si monetizza esattamente in proporzione alla sfiducia verso il fornitore americano. È lo stesso meccanismo che il filo del segnale forte alimenta dall’altro lato: più il governo americano tratta le API dei laboratori come strumenti di intelligence, più la sovranità altrove diventa vendibile.
Sullo sfondo, una settimana di borsa modesta e nervosa, S&P 500 a più 0,86% e Nasdaq a più 0,96% con la decisione della Federal Reserve del 16 settembre come tema dominante.
Fonti: 24/7 Wall St. · Tech Times · Yahoo Finance / MarketBeat
Washington esporta deregolamentazione e importa regole dalla California
Il 10 settembre il governatore Newsom ha firmato tredici leggi su minori, piattaforme e chatbot. Il testo centrale è SB 1119, la cosiddetta Adam’s Law, che impone ai companion chatbot protocolli di crisi per l’ideazione suicidaria, controlli parentali, notifica quando le impostazioni di sicurezza vengono disattivate, audit indipendenti sulla sicurezza dei minori e valutazioni annuali di rischio. Attorno ci sono AB 1856 sui segnali di verifica dell’età a livello di applicazione, AB 2246 che limita l’accesso dei minori ai servizi con funzionalità che creano dipendenza, il divieto di feed algoritmici per gli under 16, SB 1276 che estende i reati di sfruttamento sessuale alle immagini generate o alterate con AI, e SB 867 che porta le regole sui companion chatbot dentro i giocattoli.
Il contrasto con la posizione federale è netto. Al G20 di inizio settembre la delegazione americana ha promosso i “Carolina Principles”, che invitano i paesi ad astenersi dal creare nuovi organismi di vigilanza o regolamentazioni ampie, mentre a Washington Zuckerberg premeva contro l’ipotesi di un regolatore nazionale modellato su FINRA. Gli Stati Uniti esportano dunque un modello di non regolamentazione e lo importano regolato dal proprio stato più grande, che è anche la sede legale di quasi tutti i soggetti in questione. Per un’azienda globale la conformità si scrive sul denominatore più stretto: Sacramento sta scrivendo standard di prodotto per il mondo, senza passare per un trattato.
Il vettore tecnico da osservare è la verifica dell’età come segnale di sistema operativo e app store. Sposta il punto di controllo dell’identità dal servizio alla piattaforma, cioè a due aziende, e apre un fronte che questa settimana ha già mostrato il suo lato opposto: Meta è stata citata in giudizio per la raccolta di dati biometrici legata ai suoi smart glasses e alla funzione NameTag sotto BIPA e le norme californiane sulla privacy, mentre nel Regno Unito i reati registrati legati a deepfake sono passati da 10 nel 2023 a 163 a luglio 2026. Verificare chi c’è dall’altra parte diventa obbligatorio e contemporaneamente diventa illecito: dipende da chi verifica, e per quale fine.
Fonti: Governor of California · Sen. Padilla · Ctrl+AI+Reg · Biometric Update · AI Weekly
🧭 Pattern della settimana
Tutti e cinque i fili convergono su un solo oggetto: l’identità di chi sta dall’altra parte dell’interfaccia. Riconoscere un distillatore è identificare un account. Proteggere un minore è identificare un utente. I valutatori incorporati servono a identificare chi osserva il laboratorio. La sovranità AI australiana identifica la legge sotto cui siedono i byte. Il settore ha passato dieci anni a costruire interfacce che non chiedevano chi fossi, e questa settimana quattro forze indipendenti hanno chiesto la stessa cosa: un nome sull’altro capo del tubo.
La seconda tensione è epistemica e riguarda chi fornisce l’evidenza. Il report di Anthropic è la base probatoria che rende difendibile l’advisory di CISA; il resoconto dei 700 agenti è la base probatoria della proposta di rallentare. In entrambi i casi il soggetto regolato è l’unico testimone, l’unico strumento di misura e l’unico archivio. È un monopolio epistemico, e l’unico rimedio credibile, valutatori con diritto di pubblicare, è stato proposto da chi lo detiene.
La terza, la più concreta, è che le tre soluzioni in campo si contraddicono a coppie. Lo Stato chiede ai laboratori di mentire sulla qualità del servizio; i regolatori chiedono ai laboratori di identificare con certezza gli utenti; i laboratori chiedono allo Stato una deroga antitrust per coordinarsi. Ciascuna richiesta, presa da sola, è difendibile. Insieme costruiscono un’infrastruttura dove nessuno dei tre attori può essere verificato dagli altri due.
Segnale debole da annotare: l’oggetto più rubato della settimana non è un dato, è una chiave API. Quando il bene al portatore è l’accesso al calcolo, il bersaglio principale diventa la catena di fornitura dell’AI, non il cliente finale.
📌 Da tenere d’occhio
- Il dialogo di Pechino e il summit del 24 settembre. Vale la pena verificare se la degradazione selettiva entra nel testo negoziale o resta tattica non dichiarata. Se entra, diventa un precedente di diritto internazionale sulla manomissione consentita di un servizio commerciale.
- Se un laboratorio confermerà o smentirà pubblicamente di applicare la mitigazione CISA. Il silenzio, in questo caso, è informativo: un fornitore che non può smentire ha appena perso la verificabilità del proprio SLA.
- I termini di pubblicazione dei valutatori incorporati in OpenAI. L’impegno è stato annunciato ma non pubblicato: la differenza tra un audit e una vetrina sta interamente nella clausola di redazione.
- Le date di entrata in vigore delle leggi californiane e l’eventuale tentativo di preemption federale. È il vero test di quale livello scrive gli standard di prodotto negli Stati Uniti.
- Il tape-out di Asimov entro dicembre. È la prima verifica fisica della tesi che la memoria commodity possa sostituire la HBM, e con essa della possibilità di ridurre l’esposizione coreana della catena AI.