Il 23 aprile 2026, la Casa Bianca ha lanciato l’allarme: entità cinesi starebbero conducendo campagne di distillazione ‘su scala industriale’ contro i modelli AI americani, usando ‘decine di migliaia di account proxy’. Anthropic ha confermato: a febbraio aveva individuato laboratori cinesi con oltre 20.000 account fraudolenti gestiti da un’unica rete proxy.
Il problema? Entrambi hanno frainteso completamente l’economia che stavano descrivendo.
Le ‘stazioni di trasferimento’: un mercato grigio da miliardi
Sotto la manciata di lab cinesi di frontiera si nasconde un mercato molto più ampio. Uno che opera alla luce del sole su GitHub, Taobao, Twitter e Telegram. È l’economia grigia degli API proxy — chiamati ‘stazioni di trasferimento’ (中转站, zhōngzhuǎnzhàn) — che permette agli sviluppatori cinesi di accedere ai modelli di Anthropic a prezzi che partono dal 10% della tariffa ufficiale.
Non parliamo solo di ricercatori AI esperti. Professori universitari, studenti, lavoratori tech, sviluppatori indipendenti, hobbisti. Chiunque voglia usare modelli o strumenti AI avanzati in Cina passa per un proxy. Tutti.
E i log che generano? Sono diventati una merce. Scambiata per scopi che vanno dal training di modelli alle frodi mirate.
Il Great Firewall non funziona più (se mai ha funzionato)
Nel frattempo, ogni livello di controllo aggiunto dalle aziende AI americane — geoblocking, verifica telefonica, carte di credito, e ora controlli KYC biometrici dal vivo — ha prodotto un corrispondente strato di infrastruttura per l’evasione. Fattorie di SMS e operazioni di raccolta biometrica con implicazioni che vanno ben oltre la geopolitica.
Prendiamo Anthropic, l’azienda con il meccanismo di geo-blocking più rigoroso e i cui modelli sono estremamente popolari tra gli sviluppatori cinesi. Sulla mappa dei paesi supportati da Anthropic, la Cina è vistosamente assente. Sulla internet cinese, anche Anthropic lo è — tecnicamente parlando.
In realtà? Né il blocco di Anthropic né il Great Firewall fermano gli utenti cinesi dall’accedere a Claude e Claude Code. I modelli Claude prosperano su app di e-commerce come Taobao dal 2025. E Singapore, con una popolazione più piccola di New York City, ‘sorprendentemente’ guida l’uso globale pro capite di Claude ad aprile 2026.
Gli sviluppatori cinesi hanno ironizzato su Twitter: ‘Siamo tutti singaporiani di tanto in tanto’. ‘Ogni giorno mi auto-assegno una nazionalità’. ‘Non è perché usiamo tutti il nodo di Singapore?’
Cosa sono le ‘stazioni di trasferimento’?
Una transfer station è quello che l’ecosistema degli sviluppatori cinesi chiama API proxy — un server all’estero che si frappone tra uno sviluppatore e l’infrastruttura di Anthropic. Accetta richieste API, le inoltra come se provenissero dalla posizione della stazione, e restituisce la risposta.
L’utente reindirizza il proprio software al server del proxy invece che a quello di Anthropic, e paga in RMB via WeChat o Alipay. Questo aggira sia la VPN che la carta di credito estera necessarie per l’accesso diretto.
Le transfer station più importanti sono catalogate in repository della community e classificate per prezzo in tempo reale e uptime. Sotto di loro, una lunga coda di progetti piccoli e individuali va e viene.
Non è come OpenRouter
Questa configurazione suona funzionalmente identica agli aggregatori API legittimi occidentali come OpenRouter, ma le transfer station operano in un universo completamente diverso di legalità e fiducia. Gli aggregatori legittimi esistono per semplificare i workflow degli sviluppatori, addebitando tariffe standard basate su accordi enterprise trasparenti. Le transfer station, al contrario, sono costruite esplicitamente per l’evasione, instradando dati attraverso intermediari non responsabili.
Proprio come fornire servizi VPN o vendere Claude su Taobao, una transfer station tecnicamente non è permessa in Cina. Secondo le normative cinesi sul registro dei servizi AI, i servizi AI forniti senza registrazione e valutazione di sicurezza sono illegali. Ma proprio come alcune piccole imprese possono saltare la registrazione AI senza punizioni, così fanno la maggior parte delle transfer station. Però, più grande è l’attività, più è pericoloso operare.
La catena di fornitura: un sistema modulare e resiliente
Una transfer station non è un’entità singola. Si trova nel mezzo di una catena di fornitura stratificata, con la maggior parte dei partecipanti che non interagiscono mai direttamente tra loro.
A monte ci sono i fornitori di risorse: commercianti di account che registrano o acquisiscono account Anthropic in massa; piattaforme di verifica SMS che forniscono i numeri di telefono esteri necessari per superare i controlli di registrazione; e, all’estremità più tecnica, reverse engineer che analizzano il codice client di Anthropic per trovare scorciatoie di autenticazione. L’infrastruttura di pagamento con commercianti di carte e reti proxy abilita anche la fatturazione estera dall’interno della Cina.
Il monte affronta anche regimi KYC più sofisticati. I servizi AI hanno dimostrato la capacità di generare documenti falsi altamente realistici capaci di aggirare la verifica dell’identità sulle principali piattaforme, e gli strumenti deepfake ora permettono ai criminali di creare cloni digitali che superano con successo la verifica biometrica da remoto.
Anche se il difensore può rilevare con successo l’AI che finge di essere umana, esiste un metodo più laborioso: trovare umani veri. Agenti viaggiano verso paesi a basso reddito in Africa o America Latina per reclutare individui reali disposti a completare la verifica di persona. Il mercato nero di Worldcoin ha offerto un precedente documentato, con scansioni dell’iride raccolte da commercianti KYC in Cambogia e Kenya, vendute per meno di 30 dollari.
Nel mezzo: il proxy vero e proprio
Al centro c’è la transfer station stessa: un’interfaccia software che riceve le richieste degli utenti e le inoltra ad Anthropic come se provenissero da un account legittimo, un’integrazione di pagamento (di solito Alipay o WeChat), e il poco glamour strato operativo che la mantiene in funzione — ciclando account prima che vengano segnalati, bilanciando il carico attraverso il pool, e adattandosi continuamente agli aggiornamenti di rilevamento degli abusi di Anthropic.
A valle ci sono i clienti: sviluppatori individuali che usano Codex o Claude Code, imprese che instradano flussi di lavoro interni attraverso il proxy, costruttori di applicazioni che incorporano l’API nei propri prodotti, e rivenditori secondari che acquistano accesso all’ingrosso e lo riconfezionano per clienti individuali su Taobao.
Quasi nessuno opera l’intera catena. La maggior parte dei partecipanti possiede uno o due anelli e li monetizza bene, risultando in un sistema resiliente e modulare. I fornitori di modelli AI possono sospendere singoli operatori, ma i pool di account a monte e la base clienti a valle rimangono intatti. Finché ci sono sviluppatori che vogliono accesso a Claude e mercati neri dell’identità disposti a fornire le credenziali — entrambe caratteristiche durevoli — un sostituto può essere allestito rapidamente.
Un pesce, tre pasti: come rendere i token economici
La cosa più curiosa, tuttavia, non è come ottenere accesso a Claude in Cina, ma come ottenerlo a un prezzo ridicolmente basso — di solito 1 RMB per 1$ di token. Tra il 70 e il 90% sotto i prezzi ufficiali.
Secondo discussioni pubbliche, ci sono almeno tre modi in cui una transfer station rende questo possibile — spesso descritto come ‘un pesce, tre pasti’ (一鱼三吃).
Pasto 1: il ricarico sull’accesso
Questo è possibile grazie ai fornitori di risorse a monte che possono impilare proxy usando almeno cinque tattiche relativamente ‘innocenti’: registrazione in massa di account API per raccogliere i 5$ di credito gratuito di Anthropic; rivendita di quote inutilizzate dagli account altrui; arbitraggio di sconti aziendali ed educativi; ‘APImaxxing’ — un piano Max da 200$ diviso tra più utenti tramite quote token-per-ora, sfruttando il divario tra il prezzo fisso di abbonamento di Anthropic e il costo molto più alto dell’accesso API equivalente pay-per-token.
Oltre a questi, c’è un input a monte più oscuro: account acquistati usando carte di credito rubate o fraudolente che possono entrare nel pool proxy a costo effettivamente zero per l’operatore. Quanto sia grande questa quota rispetto alle quattro tattiche ‘innocenti’ sopra è difficile da verificare, ma i due mercati probabilmente condividono parte dell’infrastruttura e del personale.
Pasto 2: scambiare modelli e gonfiare token
Poiché gli input degli utenti e gli output dei modelli sono mediati attraverso un proxy, gli utenti non possono verificare a quale modello la loro richiesta è stata effettivamente instradata. Un utente seleziona Opus 4.7, ma il proxy può silenziosamente instradare a Sonnet, Haiku, o, nel caso peggiore, GLM o Qwen, e rietichettare fraudolentemente l’output.
In un recente paper del CISPA Helmholtz Center for Information Security della Germania, i ricercatori hanno controllato 17 proxy API e hanno trovato scambi di modelli diffusi — l’accesso proxy API a ‘Gemini-2.5’ ha raggiunto solo il 37,00% su un benchmark medico, un calo sbalorditivo rispetto alla performance dell’83,82% dell’API ufficiale. Dal lato utente, il segnale arriva solo su compiti complessi, quando l’output sembra sbagliato (spesso indicato come 降智, o ‘rimbecillito’), ma non c’è modo pulito di provarlo.
Numerosi record pubblici evidenziano preoccupazioni che alcuni proxy API abbiano notevolmente compromesso le prestazioni del modello. Questi proxy sono sospettati di ‘diluire’ (掺水) i servizi sostituendo modelli di frontiera premium con livelli inferiori.
Pasto 3: i log sono il prodotto
Questa è forse la parte più importante poiché interseca con la privacy dei dati e la distillazione. Ogni richiesta che passa attraverso un proxy — prompt completo, risposta completa, chiamate di strumenti, iterazioni — si trova sul server dell’operatore proxy. Per gli agenti di coding AI, quei log contengono lunghe catene di ragionamento, decisioni ingegneristiche reali, contesto del repository e output corretti verificati dall’uomo.
Questo li rende un dataset ideale per il post-training: per il fine-tuning supervisionato su compiti ingegneristici reali, e, dove vengono catturate tracce di ragionamento complete, per distillare i pattern di ragionamento di Claude in modelli più piccoli. Le community di sviluppatori cinesi affermano che questo sta accadendo in almeno alcuni casi, ma se gli operatori proxy stiano sistematicamente raccogliendo e vendendo questi log, e a chi, rimane non verificato.
I primi due pasti sono utili per fornire token più economici di quanto Anthropic ufficialmente addebita, ma per rendere davvero i prezzi ridicolmente bassi — al 10%, o addirittura 5%, del prezzo originale — bisogna mangiare il terzo pasto. E come dice un proverbio cinese, non c’è pranzo gratis al mondo (天下没有免费的午餐).
Diversi sviluppatori cinesi hanno rivelato che il business del ricarico è solo acquisizione clienti, e la raccolta di log è il margine reale. Gli utenti sono simultaneamente clienti paganti e produttori di dati non pagati, vendendo i propri dati privati agli operatori proxy in cambio di un prezzo basso. Alcuni avvertono anche di potenziali promozioni, frodi e persino ricatti basati su dati utente trapelati dal proxy.
Cosa il KYC non può sapere
L’uso dell’AI si sta gradualmente spostando dal chatbot all’uso di strumenti. Con l’ascesa degli agenti e della token economy, la questione dell’uso dei modelli statunitensi non riguarda più solo l’accesso, ma si estende all’efficienza dei costi. Questo perché l’ecosistema AI cinese, che si tratti di lab di frontiera, gruppi di ricerca universitari, sviluppatori individuali o hobbisti, è carente di capitale.
Nel frattempo, i dati generati dagli utenti attraverso le transfer station entrano dimostrabilmente nei mercati a valle, utilizzati variamente per il training di modelli, intermediazione di dati o frodi. Nella misura in cui la distillazione fa parte di quell’economia, il problema si estende ben oltre la manciata di attori di frontiera che il governo o le aziende AI negli Stati Uniti potrebbero aspettarsi.
Il blocco dell’accesso crea mercati grigi
La storia ci insegna che il blocco dell’accesso raramente ferma gli utenti determinati. Aumentano il costo dell’accesso, il che a sua volta crea mercati redditizi per chiunque abbia l’esperienza per abbassarlo. Il Great Firewall ha reso i servizi VPN un’industria artigianale fiorente in Cina. I requisiti KYC hanno generato un’economia di falsificazione dell’identificazione, dai rivenditori di carte d’identità nazionali alle operazioni di raccolta biometrica nel Sud-est asiatico o in Africa.
I controlli stratificati delle aziende AI di frontiera — geoblocking, verifica telefonica, requisiti di carte di credito, e ora controlli biometrici dal vivo — hanno prodotto lo stesso effetto.
La storia, tuttavia, va oltre un inquadramento ‘Anthropic/USA contro Cina’. Questo indica una verità scomoda sul controllo dell’accesso. Come uno sviluppatore geo-bloccato aggira i controlli è, strutturalmente, lo stesso metodo presumibilmente impiegato da un terrorista per accedere a un modello AI di frontiera e creare armi biologiche distruttive senza essere tracciato. Il problema dell’accesso è sia una considerazione geopolitica unica che una preoccupazione di sicurezza condivisa.
Oggi, la ricerca sulla sicurezza AI tratta il controllo dell’accesso a livello di sistema — in particolare, rilevamento, monitoraggio e sospensione dell’account per modelli a peso chiuso accessibili pubblicamente — come una salvaguardia importante. Nel monitoraggio, gli sviluppatori controllano l’infrastruttura di inferenza, inclusa la segnalazione di input e output dannosi in tempo reale. Il rilevamento come i requisiti KYC presuppone che il fornitore possa attribuire il comportamento ad attori identificabili, e la sospensione dell’account presuppone similmente che sospendere un account neghi significativamente l’accesso.
Tuttavia, i fornitori di modelli statunitensi non controllano l’inferenza per gli utenti cinesi che instradano attraverso una transfer station — lo fa l’operatore proxy. Quando arriva una richiesta dannosa, piuttosto che vedere l’IP dell’utente reale, i fornitori di modelli AI vedono quello del proxy. E quando un account viene bannato, la catena di fornitura a monte può facilmente configurare un nuovo proxy entro ore.
Gli effetti collaterali vanno ben oltre l’AI
Il problema si aggrava per strumenti di monitoraggio più sofisticati. Il sistema Clio di Anthropic, progettato in parte per rilevare abusi coordinati invisibili a livello di singola conversazione, funziona identificando pattern attraverso account e conversazioni. Ha identificato, ad esempio, una rete di account automatizzati che utilizzavano strutture di prompt simili per generare spam per motori di ricerca e successivamente li ha bannati. Ma poiché le richieste passano attraverso proxy, i ban non fermano significativamente il comportamento sottostante.
Infine, la transfer station non incarna solo un tradizionale paradigma offesa/difesa — sia tra aziende AI statunitensi e utenti cinesi o tra salvaguardie AI e attori malevoli. Un mercato nero ha una catena di fornitura con la propria logica di sfruttamento, e i danni che genera si estendono ben oltre la questione originale dell’accesso.
Facce raccolte per la verifica KYC proxy per aggirare il sistema di Anthropic oggi possono essere rivendute domani per aprire account finanziari fraudolenti, fabbricare documenti di lavoro o generare deepfake, con il soggetto originale nel Sud del mondo che sopporta le conseguenze legali e reputazionali. La stessa infrastruttura che instradia le richieste Claude può essere utilizzata per frodare gli utenti attraverso la sostituzione di modelli, truffe mirate basate su dati di prompt trapelati o ricatti.
Le operazioni di account-farming che mantengono riforniti i pool proxy — verifica SMS in massa, registrazioni fraudolente, account con carte rubate — nutrono mercati criminali più ampi per chiamate spam, testi di phishing, richieste di prestito fraudolente e truffe con carte di credito. Molti danni non hanno nulla a che fare con l’AI o la geopolitica.
Per quanto il Great Firewall o il geo-blocking AI vogliano separare chi ottiene accesso alla tecnologia di frontiera lungo linee nazionali, come rivela il mercato grigio, i danni non sono separabili.
