US-amerikanische Cybersicherheits- und Nachrichtendienste erklärten, dass sechs chinesische KI-Unternehmen mindestens seit Ende 2024 groß angelegte Operationen zur Extraktion von Wissen aus fortschrittlichen US-amerikanischen KI-Modellen durchgeführt hätten. Einer gemeinsamen Warnung von CISA, NSA und FBI zufolge umfassten die Operationen Milliarden von Tokens, die aus Millionen von Anfragen an Modelle von Anthropic, OpenAI, Google und xAI hervorgingen.
Die in der Warnung genannten Unternehmen sind DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun und Z.AI. Die Behörden erklären, das Ausmaß und die Komplexität der Operationen deuteten auf eine Kenntnis durch die chinesische Regierung hin, und diese Methode könne einen wesentlichen Bestandteil der Entwicklungsstrategie der beteiligten Unternehmen darstellen. Das veröffentlichte Material enthielt keine Stellungnahmen dieser Unternehmen; BleepingComputer zufolge kontaktierte die Publikation sie, um Kommentare einzuholen.
Was ist mit Modell-Destillationsangriffen gemeint?
Modelldestillation ist eine legitime Technik, bei der ein „Studentenmodell“ aus den Ausgaben eines stärker trainierten Modells lernt, um die Trainingskosten zu senken und die Einführung eines neuen Systems zu beschleunigen. Die US-Behörden unterscheiden jedoch zwischen kontrollierter Forschung und den von ihnen beschriebenen Destillationsangriffen, bei denen APIs ausgenutzt werden, um Wissen und Schlussfolgerungslogik eines Modells außerhalb der von seinem Eigentümer kontrollierten Umgebung zu extrahieren.
CISA erläutert, dass die Unternehmen, denen die Operationen zugeschrieben werden, Anfragen über betrügerische oder gemeinsam genutzte Konten sowie über APIs, Cloud-Dienste, Aggregatoren und „Relais“-Agenten verteilten. Diese Wege ermöglichten den Versuch, geografische Beschränkungen, Nutzungsgrenzen und Überwachungssysteme zu umgehen. Einige Prompts enthielten außerdem Versuche, verbotene Chain-of-Thought-Schlussfolgerungen zu extrahieren, während automatisierte Systeme die Dienstanbieter wechselten und testeten, ob sich die Antworten nach der Einführung von Abwehrmaßnahmen verschlechtert hatten.
Was haben die Behörden festgestellt?
In der Warnung wurden DeepSeek und Moonshot AI als die wichtigsten Akteure eingestuft, die mehrere Modelle von Claude, GPT, Gemini und Grok ins Visier genommen hätten. Demnach zielte MiniMax auf Claude-, Gemini- und GPT-Modelle, während Alibaba und StepFun beschuldigt wurden, Claude und GPT zur Verbesserung ihrer Produkte ins Visier genommen zu haben. Z.AI wurde außerdem zugeschrieben, GPT-5.5 und Claude Opus 4.8 ins Visier genommen zu haben.
Die Behörden sind der Ansicht, dass diese Methode den Zeit- und Kostenaufwand für die Entwicklung eines fortschrittlichen Modells verringern könne, da der ausführende Akteur von den Ausgaben eines fertigen Modells profitiere, anstatt die Kosten für das Training eines konkurrierenden Modells von Grund auf zu tragen. Diese Schlussfolgerung bleibt im verfügbaren Material eine Bewertung der Behörden und kein unabhängiges Gerichtsurteil.
Was bedeutet das für Modellanbieter?
CISA, NSA und FBI empfehlen KI-Unternehmen, verhaltensbasierte und infrastrukturelle Erkennungsmethoden zu entwickeln, Antworten bei Verdacht auf Destillationsoperationen anzupassen und Informationen über Kampagnen mit den betroffenen Parteien zu teilen. Zu den vorgeschlagenen Indikatoren gehören: neu erstellte Konten, die unmittelbar nach ihrer Einrichtung die maximale Nutzung erreichen; kontinuierliche Aktivität ohne natürliche menschliche Ruhephasen; der Zugriff gemeinsam genutzter Konten von zahlreichen IP-Adressen oder Browserkennungen; die Wiederholung derselben Prompts über mehrere Anbieter hinweg sowie koordinierte Wechsel zwischen Zugriffswegen.
Redaktionelle Einordnung: Die Bedeutung der Warnung liegt nicht nur in den Vorwürfen gegen bestimmte Unternehmen, sondern auch darin, dass der Schutz von Modellen nicht mehr auf die Verhinderung von Servereinbrüchen beschränkt ist. Ein autorisierter Zugriff auf eine API kann zu einem Kanal für die Extraktion von Modellfähigkeiten werden, wenn Nutzungsmuster nicht über verschiedene Konten, Anbieter und Zugriffswege hinweg analysiert werden. Zugleich bleiben im verfügbaren Material die vollständigen technischen Belege und Stellungnahmen der Unternehmen sowie die praktischen Grenzen zwischen legitimer Destillation und feindseliger Extraktion offene Fragen.