di Sergio Donato -
27/07/2026 08:00 0
Oltre 70 aziende tech hanno scritto a Washington per difendere i modelli scaricabili proprio mentre l'amministrazione minaccia di bandire quelli cinesi. Ma un attacco cyber autonomo ha già mostrato perché anche i difensori americani finiscono per affidarsi ai pesi aperti di Pechino
Tre giorni fa una lettera intitolata "Open Weights and American AI Leadership" (Pesi aperti e la leadership Americana nell’IA) ha iniziato a circolare a Washington con 25 firme in calce. Nel giro di ventiquattro ore erano diventate 50, con Jensen Huang, amministratore delegato di Nvidia, tra i primi firmatari, che ha addirittura usato per condividerla il primo post della sua vita su X.
Il documento, non molto lungo, chiede a Washington poche cose precise. Non imporre restrizioni preventive e generalizzate sui modelli scaricabili; allargare l'accesso al calcolo per startup e ricercatori; investire in dataset e strumenti di valutazione condivisi; e colpire in modo mirato solo il furto di proprietà intellettuale e gli abusi dimostrati, senza sanzioni ad ampio raggio.
La tesi di fondo è che i pesi aperti allarghino l'accesso all'economia dell'IA, rafforzino la concorrenza e diano ai clienti il controllo dei propri dati, e che l'apertura sia una via alla sicurezza e non il suo contrario: un modello che chiunque può ispezionare, sostengono i firmatari, si difende meglio di uno chiuso di cui nessuno all'esterno può vedere i difetti.
Si parla di IA, ma chi avesse letto la lista dei firmatari nelle prime ore della pubblicazione della lettera avrebbe notato subito una cosa: nessuno dei 25 originari vende un modello di frontiera come prodotto principale.
Ci sono i produttori di chip come Nvidia e AMD, i fornitori cloud, le software house, le società di sicurezza, i fondi di venture capital, più Hugging Face, Mozilla e la Linux Foundation. Le tre aziende che dal blocco dei modelli scaricabili avrebbero più da guadagnare, cioè i laboratori proprietari, erano assenti al debutto (oggi i firmatari sono 77 e sono destinati a crescere ancora). OpenAI e Google hanno aggiunto la firma solo dopo che l'omissione era stata notata dai social e da mezza stampa di settore. Nelle ultime ore si è unita anche SpaceX, ma nell’elenco mancano ancora giganti come Amazon e, soprattutto, Anthropic.
La lettera non nomina mai la Cina, che tuttavia è inevitabilmente il convitato di pietra, perché da tempo la sua esistenza nel nuovo settore dell’IA generativa passa per pesi aperti e modelli scaricabili; e che, proprio per questi due motivi, sta diventando un avversario temibile al crescere delle capacità dei suoi modelli di frontiera e al mantenimento dei bassi prezzi delle API per poterli usare.
Nelle settimane precedenti l'amministrazione statunitense aveva alzato la pressione sui laboratori cinesi su due fronti. Da un lato la minaccia di sanzioni, con il Tesoro che aveva aperto alla possibilità di colpire le aziende cinesi se si fosse dimostrato che i loro modelli erano stati costruiti distillando sistemi americani.
La distillazione è la tecnica con cui si addestra un modello usando le risposte di un altro, più potente, per trasferirne le capacità in un sistema più piccolo ed economico.
La Casa Bianca ha accusato apertamente Moonshot AI di avere usato la distillazione sul modello Fable 5 di Anthropic per costruire il suo recentissimo Kimi K3 da 2.800 miliardi di parametri.
Dall'altro lato la minaccia di un divieto d'uso, con l'amministrazione a stelle e strisce che sta valutando un bando vero e proprio dei modelli open cinesi.
Le due minacce, però, rischiano di rimbalzare sull'intero settore. Sanzionare la distillazione in modo indiscriminato colpirebbe una pratica che anche i laboratori americani usano correntemente per costruire modelli più piccoli; bandire i modelli aperti cinesi potrebbe aprire la strada a restrizioni più larghe sui pesi aperti in quanto tali. Per questo una fetta consistente dell'industria tecnologica americana ha scelto di scrivere nero su bianco che colpire i modelli scaricabili sarebbe un errore, e per questo la lettera difende esplicitamente la distillazione come tecnica legittima di sviluppo, distinguendola dall'appropriazione illecita.
Al di là della questione distillazione che cerca di proteggere una “categoria” specifica, il documento poggia su una frase che ne condensa la tesi principale e spiega, più di ogni altra, chi ha firmato e chi no. La leadership americana nell'IA, sostiene la lettera, non si misurerà con un singolo modello di frontiera ma con la capacità degli Stati Uniti di costruire un ecosistema aperto che permei ogni settore.
Se credi in quella frase firmi. Se il tuo piano di business dipende dal fatto che "il tuo modello chiuso di frontiera" sia la misura della leadership, non firmi. E infatti Anthropic è mancata.
E allora perché OpenAI ci ha ripensato e ha firmato? Perché OpenAI, nomen omen, è nata aperta. GPT-2 fu pubblicato progressivamente con i pesi, e l'anno scorso la società ha comunque dato vita ai modelli gpt-oss sotto licenza Apache 2.0, più per questioni di marketing e di tensioni legali con Elon Musk che per un reale interesse nelle distribuzioni open. Probabilmente gli stessi motivi che l’hanno spinta a firmare.
Pesi aperti e open source non sono la stessa cosa
Prima di procedere conviene sciogliere un equivoco che attraversa gran parte del dibattito pubblico, lettera compresa. "Open source" e "pesi aperti" vengono usati come sinonimi, ma indicano cose diverse.
Incontrati ormai diverse volte, ricordiamo che i pesi di un modello sono i numeri che il modello impara durante l'addestramento. Metaforicamente, se i dataset sono i libri su cui i modelli studiano, i pesi sono il risultato di ciò che hanno appreso studiando su quei libri.
Concretamente i pesi sono enormi matrici di valori numerici, i parametri, che codificano tutto ciò che il sistema ha estratto dai dati: le relazioni statistiche tra parole, concetti, e anche immagini.
Quando un'azienda pubblica i "pesi aperti" rilascia questo file di numeri, chiunque può scaricarlo ed eseguirlo sulla propria infrastruttura, che sia un singolo PC o un cluster di GPU o acceleratori, nel caso dei modelli più pesanti. Ma non pubblica quasi nulla di ciò che serve a ricostruire il modello da zero, cioè il codice di addestramento, i dati usati, le “ricette” o i checkpoint intermedi. Un modello "completamente aperto" (open source), come la famiglia americana OLMo dell'Allen Institute, pubblica invece anche quelli. La differenza è quella che passa tra ricevere una torta (pesi aperti) e ricevere la ricetta con la dispensa (modelli open source).
Modificare i pesi di un modello a pesi aperti è comunque possibile, e si chiama fine-tuning. Si continua l'addestramento su dati nuovi per adattarlo a un compito. Su modelli piccoli lo fa uno sviluppatore con una GPU da gaming. Su un modello da migliaia di miliardi di parametri la questione diventa naturalmente più complessa.
Il chiacchierato modello della cinese Moonshot AI, Kimi K3, ha 2.800 miliardi di parametri, ed è stato rilasciato con una precisione a 4 bit che occupa circa 1,4 TB che devono stare in memoria, contemporaneamente, per far girare il modello.
Nessun computer consumer lo esegue, nemmeno solo per l'inferenza. Servono più GPU professionali o una macchina a memoria unificata di fascia molto alta, e per un fine-tuning vero le richieste salgono ancora. Chi trae vantaggio concreto dal rilascio dei pesi di K3, come hanno fatto notare diversi analisti, non è lo sviluppatore singolo ma chi già gestisce rack avanzati. Ecco perché spesso, specie al crescere della capacità dei modelli, "scaricabile" ed "eseguibile" non coincidono.
I modelli a pesi aperti possono essere pericolosi?
Si parla sempre più spesso della preoccupazione circa le potenze dei modelli aperti, che aumentano sempre di più, offrendo a chiunque, anche alle persone e le organizzazioni più abiette, la possibilità di usarli per scopi malevoli. Sul rischio che pesi aperti così potenti diventino strumenti per minacce cyber o biochimiche, la risposta onesta è che il pericolo è reale ma asimmetrico tra i due domini.
Sul versante cyber le capacità offensive dei modelli di frontiera, aperti e chiusi, sono ormai dimostrate sul campo, come vedremo tra poco.
Sul versante biochimico il rischio esiste in linea di principio, ed è la ragione per cui i modelli più sorvegliati (i sistemi Mythos di Anthropic, per esempio) nascono con classificatori dedicati proprio a biologia e chimica.
La differenza sostanziale è che un modello chiuso può ritirare o filtrare a valle una capacità pericolosa, mentre un peso aperto, una volta pubblicato, non si richiama indietro. Ne parla anche la lettera: una volta rilasciati, i pesi sfuggono al controllo dello sviluppatore originario e le versioni modificate sono difficili da tracciare o annullare.
Restano da capire i safeguard reali dei modelli cinesi a pesi aperti, ed è un punto dove la retorica dell'apertura mostra il fianco. Le protezioni di un modello (i rifiuti a produrre certi contenuti, quindi i filtri) risiedono nell'addestramento, non nel file dei pesi. Chiunque scarichi i pesi può rimuoverle con un fine-tuning mirato.
Un modello distillato da un modello di frontiera chiuso, hanno osservato alcuni analisti, ne eredita la competenza ma non l'allineamento, perché ne prende il sapere, non i freni (specie se non è stato addestrato a rifiutare richieste pericolose). La Cina stessa se n'è accorta. Ad aprile di quest’anno la Cyberspace Administration of China ha lanciato una campagna contro gli abusi delle applicazioni IA citando espressamente la gestione insufficiente della sicurezza dei modelli aperti e la circolazione di modelli manipolati.
Cina, Stati Uniti, Europa: tre strade diverse verso l'apertura
A proposito di Cina, di pesi aperti e di strategie geopolitiche sugli stessi, la situazione mondiale è tale che in buona parte spiega l’esistenza della lettera.
La Cina è da tempo molto veloce, e ragiona sull'open source come leva industriale da prima che i grandi modelli linguistici esistessero. Già nel novembre 2017 un documento del ministero della Scienza e della Tecnologia invitava a "dare risalto all'open source e all'apertura" costruendo piattaforme software e comunità aperte, in un testo che parlava di intelligenza artificiale pochi mesi dopo la pubblicazione di "Attention is all you need", il paper che nel giugno dello stesso anno aveva introdotto l'architettura Transformer alla base di tutti i modelli attuali.
Dopo le restrizioni statunitensi sui chip del 2018-2019, l'apertura è diventata anche un modo per costruire fork, mirror e comunità locali capaci di tenere in piedi la filiera anche sotto embargo. Per citarne solo uno, HarmonyOS di Huawei è nato dalla culla di questa strategia.
Dal 2023 laboratori e istituti cinesi hanno pubblicato in sequenza famiglie di modelli scaricabili, da Qwen a DeepSeek. Nell'agosto del 2025 il Consiglio di Stato ha reso l'open source obiettivo esplicito con l'Opinion on the AI+ Action, e nel gennaio di quest’anno un piano interministeriale sull'IA nella manifattura ha trasformato i modelli a pesi aperti in strumento di trasferimento tecnologico verso migliaia di fabbriche che non potrebbero mai addestrare un modello proprio.
Gli Stati Uniti hanno percorso una strada opposta, e qui sta il paradosso più interessante. Quasi tutta l'infrastruttura software su cui poggia l'IA moderna è nata o cresciuta in ambiente statunitense, ed è aperta: Python, PyTorch, TensorFlow, JAX, Kubernetes, Triton, vLLM, e anche l'ecosistema di Hugging Face, la piattaforma diventata il principale punto di riferimento per pubblicare, distribuire e scaricare/utilizzare modelli e dataset.
Gli stessi laboratori chiusi americani “girano” su questa base open source condivisa. Eppure ai piani alti, quello dei modelli di frontiera, l'America si è progressivamente chiusa.
OpenAI è stato l'esempio più lampante, perché pubblicò i pesi di GPT-2, distribuì GPT-3 solo via API, e tenne chiusi GPT-4 e successori. Google ha mantenuto proprietari i modelli alla base del chatbot Bard e poi i Gemini, pur rilasciando le famiglie minori Gemma. Anthropic è invece da sempre chiusa nella sua torre proprietaria.
Per anni Meta, con Llama, è rimasta quasi l'unica eccezione tra i grandi, e questo ha reso la strategia aperta americana dipendente dalla scelta volontaria di una sola azienda, che poi si è convertita al modello closed a partire dal recente Muse Spark perché ha visto il vantaggio accumulato da OpenAI e Anthropic.
A livello nazionale, configurandosi naturalmente in modo molto diverso rispetto al controllo pervasivo del Partito Comunista in Cina sulle strategie del Paese, la svolta politica americana esplicita è arrivata solo nel luglio del 2025 con l'AI Action Plan dell'amministrazione Trump, che per la prima volta ha dedicato una sezione che incoraggiava i modelli open weight, pur lasciando al produttore la decisione di aprirli.
Escludendo Meta con Llama, il “motore IA” alla base dei modelli più capaci delle aziende americani è quindi sempre stato sviluppato in un "laboratorio chiuso". Una chiusura figlia degli enormi investimenti per l’addestramento e l’inferenza che non è solo strategica ma soprattutto economica, e ha ricadute che arrivano fino agli scaffali dei negozi. Addestrare e far funzionare i modelli di frontiera costa cifre enormi, e la corsa a costruire data center sta prosciugando la fornitura di memoria. I prezzi di DRAM e SSD sono alle stelle da mesi, e con loro quelli dei PC e dell'hardware di consumo che quella stessa memoria se la contende con i cluster di inferenza. La chiusura dei modelli, in altre parole, ha un costo che ricade anche su chi un modello non lo addestrerà mai.
E in Europa? Il nostro continente e Unione meritano solo una parentesi breve. Bruxelles ha scelto un approccio consortile, quindi supercomputer condivisi sotto EuroHPC (Leonardo in Italia, LUMI in Finlandia, MareNostrum 5 in Spagna), le AI Factories, il progetto OpenEuroLLM per modelli aperti in tutte le lingue dell'Unione, e il mese scorso la selezione del consorzio EUROPA guidato dall'italiana Domyn per un modello di frontiera oltre i 400 miliardi di parametri, che ormai sono bruscolini.
Il consorzio EUROPA guidato dall’italiana Domyn realizzerà un modello IA dell’Unione Europea con almeno 400 miliardi di parametri
Vai all'approfondimento
L'AI Act, dal canto suo, oltre a stringere le briglie degli LLM di tutto il mondo che circolano nel Vecchio Continente agevola i modelli a licenza aperta con obblighi ridotti, senza però considerare l'apertura una garanzia di sicurezza in sé.
Al di là di tutto, c’è un divario di scala che al momento pare incolmabile. Nel 2024, secondo lo Stanford AI Index, gli Stati Uniti avevano prodotto quaranta modelli "notevoli", la Cina quindici, l'Europa solo tre. E con il lento calare della parigina Mistral nel panorama internazionale, l'unica grande nell'UE, sembra che le cose non andranno molto meglio.
Apri originale
GLM-5.2 e Kimi K3: la minaccia che arriva dal basso, ma con un asterisco sui costi
I due modelli cinesi al centro dell'attenzione di queste settimane sono stati GLM-5.2 di Z.ai e Kimi K3 di Moonshot AI. Il primo, già fattosi notare al lancio e uscito a pesi aperti pochi giorni dopo la momentanea sospensione di Fable 5, ha 753 miliardi di parametri e oggi occupa il decimo posto della classifica Intelligence Index di Artificial Analysis.
Artificial Analysis è una piattaforma indipendente che confronta i modelli di IA per prestazioni, velocità e costo. Il suo Intelligence Index aggrega diversi benchmark di ragionamento, conoscenza e programmazione in un unico punteggio comparativo.
Kimi K3, già citato in precedenza, presentato a metà luglio e con pesi promessi per il 27, è un Mixture-of-Experts che si colloca ai vertici dei benchmark indipendenti, ed è attualmente quarto sull'indice di Artificial Analysis (è stato terzo fino all’arrivo di Opus 5).
Apri originale
La minaccia di questi modelli non riguarda solo le loro capacità cyber. È di estremo interesse anche la loro adozione e la capacità di scombinare i piani delle aziende IA closed. Le API infatti costano meno di quelle occidentali, e questo li rende attraenti per startup e sviluppatori che non possono sostenere i prezzi dei sistemi di frontiera americani. Ma proprio Kimi K3 mostra che il prezzo per token non racconta tutta la storia, e i numeri di Artificial Analysis lo dicono con precisione.
Kimi K3 costa 3 dollari per milione di token in input e 15 in output. Il nuovissimo Claude Opus 5 costa 5 dollari in input e 25 in output. Sulla carta Kimi è nettamente più economico.
Il ribaltamento avviene sul consumo di token. Nella valutazione dell'Intelligence Index (che è una sorta di “benchmark totale”), Kimi K3 ha generato 130 milioni di token, contro i 29 milioni di Opus 5 Medium.
Il modello cinese è molto verboso, "ragiona" molto e produce molto testo. Il risultato è che il conto finale si rovescia. Eseguire l'intero Intelligence Index (Artificial Analysis paga direttamente per i test svolti) è costato 2.709 dollari con Kimi K3 e 1.114 dollari con Opus 5 Medium per ottenere uno score simile. Il modello più economico per token è finito per costare più del doppio del modello che ci si aspetterebbe più caro, dato che il vero prezzo è quello derivato da quanto lavoro serve al modello per arrivare alla risposta.
Gli americani usano i modelli cinesi per difendersi dalle minacce cyber
Come detto, il timore ricorrente tra gli analisti è che un modello a pesi aperti, una volta pubblicato, diventi una minaccia globale impossibile da richiamare.
Sul piano tecnico è vero, perché modello open weight pubblicato viene copiato, ridistribuito, quantizzato, modificato, e non esiste modo di cancellarlo dalla circolazione. Come nota la stessa lettera, le versioni modificate sono difficili da tracciare. Un bando dei modelli cinesi, per questo, avrebbe efficacia limitata proprio dove servirebbe di più, dato che una designazione non "spubblica" ciò che è già scaricabile, la rende solo illegale da usare per chi rispetta la legge.
Ma l'episodio di luglio ha complicato la narrazione del "modello aperto uguale minaccia". Il fatto è noto. Durante un test interno, OpenAI ha fatto girare senza i classificatori di sicurezza il suo GPT-5.6 Sol e un modello più potente non ancora rilasciato, molto probabilmente GPT-6.
Due modelli di OpenAI hanno violato Hugging Face. Hanno trovato l'accesso a Internet da soli
Vai all'approfondimento
I modelli sono evasi dalla sandbox di OpenAI in cui venivano testati; quindi hanno guadagnato l’accesso a internet e hanno violato l'infrastruttura di produzione di Hugging Face per rubare le soluzioni del benchmark su cui venivano valutati.
L'attacco, come lo ha definito OpenAI, è stato un incidente cyber senza precedenti, con capacità offensive allo stato dell'arte, ed è stato guidato interamente da un sistema autonomo. Il modello aggressore era chiuso e americano.
E quando Hugging Face ha dovuto ricostruire l’attacco analizzando oltre 17.000 eventi, i modelli di frontiera accessibili tramite API commerciali si sono rifiutati di collaborare, perché i loro filtri di sicurezza non riuscivano a distinguere chi stava indagando sull’incidente da chi aveva condotto l’attacco.
Hugging Face ha quindi dovuto ripiegare su GLM-5.2, il modello cinese a pesi aperti, eseguito sulla propria infrastruttura. Un modello americano aveva attaccato un’azienda americana; un modello cinese l’ha aiutata a difendersi.
È esattamente lo scenario che la lettera usa come argomento più forte. In un mondo in cui gli aggressori usano IA avanzate, i difensori hanno bisogno di modelli con capacità comparabili, eseguibili sulla propria infrastruttura senza che una guardia esterna li blocchi sul più bello.
La saga di Anthropic lo illustra dall'altro lato. Dopo il blocco del Pentagono, che a febbraio aveva bollato l'azienda come "rischio per la catena di fornitura", e dopo la sospensione di Fable 5 e Mythos 5 imposta dal Dipartimento del Commercio a giugno per timori di jailbreak, il modello è tornato online il primo luglio con un nuovo classificatore cyber.
Quel classificatore blocca la tecnica incriminata in oltre il 99% dei casi, ma al prezzo di più falsi positivi anche su compiti di programmazione e difesa informatica di routine, tanto che il nuovo Opus 5 lo ha pareggiato a metà del prezzo perché classificato come modello non Mythos che quindi non deve sottostare a controlli più serrati.
Con il lancio di Opus 5 Anthropic ha ucciso Fable 5, che costa il doppio e offre ormai pochissimo di più
Vai all'approfondimento
Più si stringono i freni sui modelli chiusi occidentali, più i difensori rischiano di trovarsi le mani legate proprio quando servono, e più diventa razionale, anche per un difensore americano, tenere pronto un modello aperto e verificato sulla propria infrastruttura. Che oggi, spesso, vuol dire un modello cinese.
Da sempre, minacciare o rispondere alle minacce
Guardando la lettera da più lontano, c'è una simmetria che chiude il cerchio e che vale la pena fissare. La lettera sui pesi aperti nasce come reazione alla paura, quella di Washington davanti all'avanzata dei modelli cinesi.
Argomenta che l'apertura è più sicura della chiusura, che i modelli scaricabili vanno difesi, che vietarli spingerebbe l'innovazione all'estero. Ma la spinta che la muove è la stessa di sempre, ed è antichissima.
Ogni volta che la specie umana si trova tra le mani una tecnologia nuova e potente, la prima domanda non è cosa può costruire, ma da cosa deve difendersi e come può usarla per prevalere.
La lettera parla di apertura, prosperità, ecosistema condiviso, ma è chiaro fin dal titolo il tono di predominio che le si vuole affidare. I pesi aperti vengono difesi non tanto perché aperti, ma perché americani.
E l'unica cosa che il dibattito dà per scontata, da tutte le parti, è che qualcuno debba vincere.
© riproduzione riservata
Resta aggiornato sugli ultimi articoli di DDay.it
Mercato