US-Behörden beschuldigen sechs chinesische KI-Unternehmen der Modelldestillation im industriellen Maßstab

Am 9. September 2026 veröffentlichte Berichte schildern eine gemeinsame Einschätzung der US-Regierung, in der sechs in China ansässige Unternehmen für künstliche Intelligenz beschuldigt werden, systematisch Fähigkeiten aus amerikanischen Frontier-Modellen abzuschöpfen.

CISA, die NSA und das FBI nannten DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun und Z.AI. Dem behördlichen Hinweis zufolge sammelten die Unternehmen Milliarden von Tokens über Millionen von Anfragen an Modelle von Anthropic, OpenAI, Google und xAI.

Das Veröffentlichungsdatum des Hinweises ist in den Berichten nicht einheitlich angegeben. Zwei Veröffentlichungen datierten ihre Berichterstattung auf den 9. September, während eine weitere angab, die Behörden hätten den Hinweis am 8. September veröffentlicht. Das hier verfügbare offizielle Material von CISA enthält kein Datum.

Die mutmaßlichen Aktivitäten begannen spätestens Ende 2024. US-Behörden stufen sie als anhaltende Kampagne zur Absicherung von Modellen und zum Diebstahl geistigen Eigentums ein, nicht als konventionellen Einbruch in Unternehmensnetzwerke.

Aus Destillation wurde ein Abschöpfungsprogramm

Knowledge Distillation ist ein etabliertes Verfahren des maschinellen Lernens. Dabei lernt ein kleineres „Student“-Modell aus den Antworten eines leistungsfähigeren „Teacher“-Modells. So können Entwickler nützliche Verhaltensweisen übertragen, ohne die gesamte Architektur des Teacher-Modells nachzubauen.

Nach Einschätzung der Behörden überschritten die beschriebenen Kampagnen durch ihr Ausmaß, ihre Zielsetzung und ihre Zugriffsmethoden die Grenze zur missbräuchlichen Abschöpfung. Die mutmaßlichen Betreiber nutzten nicht autorisierte API-Zugänge, gemeinsam verwendete Konten, betrügerisch erworbene Abonnements, Proxy-Dienste, die automatisierte Generierung von Prompts sowie Techniken, mit denen sich geografische Beschränkungen und Schutzmechanismen der Anbieter umgehen ließen.

Die Anfragen wurden über native APIs, Cloud-Plattformen, Drittanbieter-Aggregatoren, Graumarkt-Proxys und als „Transferstationen“ bezeichnete Dienste verteilt. Durch diese Verteilung war jeder einzelne Aktivitätsstrom weniger auffällig, und kein Anbieter konnte den gesamten Vorgang überblicken.

Die Kontenschwärme übermittelten den Angaben zufolge identische oder eng verwandte Prompts tausende oder Millionen Mal. Anschließend sammelten die Betreiber die Antworten als synthetische Trainingsdaten, bewerteten deren Qualität und nutzten sie für Supervised Fine-Tuning, Reinforcement Learning oder die Verfeinerung von Datensätzen.

Einige Prompts zielten nicht auf gewöhnliche Antworten, sondern auf eingeschränkte Chain-of-Thought-Informationen. DeepSeek soll beispielsweise versucht haben, Modelle dazu zu bringen, ihre interne Schlussfolgerung Schritt für Schritt zu rekonstruieren und zu erläutern. MiniMax setzte Berichten zufolge Prompt Injection gegen Claude Code ein und versuchte, das System davon zu überzeugen, es handle sich um ein MiniMax-Produkt, um möglicherweise die von ihm preisgegebenen Informationen zu verändern.

Fortgeschrittenere Operationen prüften den Angaben zufolge, ob Anbieter Antworten absichtlich verschlechtert hatten. Nach einer Sperrung konnten die Betreiber Konten, Modelle oder Zugangswege wechseln und neu veröffentlichte Systeme automatisch identifizieren.

Sechs Unternehmen, unterschiedliche Modelle und Ziele

Die mutmaßliche Kampagne von DeepSeek begann spätestens Ende 2024 und dauerte von Ende 2024 bis Mitte 2025 an. Die abgeschöpften Daten wurden Berichten zufolge zur Erstellung synthetischer Trainingsdaten für die Modelle R1 und V3 verwendet; R1 wurde Anfang 2025 veröffentlicht.

Zu den aufgeführten Zielen gehörten Claude 3.7, Claude Sonnet 4 und 4.5, Claude Opus 4.1, Gemini 2, Gemini 2.5 Pro Preview, Gemini 2.5 Flash Preview, GPT-4, GPT-4o, GPT-4 Mini, GPT-4 Nano, GPT-5, Grok 3 Mini und Grok 4. Die gewünschten Fähigkeiten reichten von juristischer Spezialisierung und agentischem Verhalten bis hin zu Schreiben, Fragebeantwortung, API-gesteuerten Aufgaben und Supervised Fine-Tuning.

Der Hinweis widerspricht zudem der öffentlich genannten Trainingskostensumme von 5,6 Millionen US-Dollar bei DeepSeek. Nach Einschätzung der Behörden berücksichtigt diese Zahl weder den wirtschaftlichen Wert noch die Beschaffungskosten der Daten, die durch umfangreiche Destillation erlangt wurden.

Moonshot AI soll spätestens Mitte 2025 eine breit angelegte Abschöpfungskampagne gestartet haben. Berichten zufolge nutzte das Unternehmen Daten von Claude Fable 5 für Kimi-K3 und Ausgaben von GPT-4o für Kimi-K2. Zielbereiche waren Supervised Fine-Tuning, Reinforcement Learning, Mathematik und Softwareentwicklung.

Die Liste der Quellmodelle umfasst Claude Opus 4.1; Claude Sonnet 3.7, 4, 4.5 und 4.5 Thinking; Claude Fable 5; GPT-oss-20b; GPT-3; GPT-4o und GPT-4o mini; GPT-5, GPT-5 Codex und GPT-5 Pro; Gemini 2.5 Flash, Flash-Image und Pro; Nano Banana sowie Grok Code Fast-1. Moonshot soll seine Infrastruktur zur Datensammlung innerhalb von 24 Stunden nach dem Start auf ein neues Claude-Modell umgeleitet haben. Das deutet auf eine automatisierte Überwachung von Modellveröffentlichungen hin.

Die gemeldeten Aktivitäten von Alibaba fanden Ende 2025 statt und zielten auf die Verbesserung der Qwen-Modellfamilie. Als Ziele wurden Claude 4, Claude Opus, Claude Sonnet und GPT-5 genannt. Die Datensammlung konzentrierte sich auf Softwareentwicklung, Kundendialoge, virtuelle Charaktere, Evaluationsdatensätze, agentische Workflows, Reinforcement Learning und Supervised Fine-Tuning.

MiniMax soll Ende 2025 Claude Code, Claude Sonnet 4, Claude Opus 4.5, Gemini 1, Gemini 2.5 Pro, Gemini 3 Pro und GPT-5 ins Visier genommen haben. Profitieren sollte davon das Modell M2. Zu den gewünschten Funktionen gehörten Code-Reviews, Softwareentwicklung, agentisches Arbeiten, Chain-of-Thought-Reasoning, Reinforcement Learning und die Verfeinerung von Datensätzen.

Die Aktivitäten von StepFun werden auf den Zeitraum zwischen Ende 2025 und Anfang 2026 datiert. Das Unternehmen soll Claude Opus 4.1 und 4.5, Claude Sonnet 4.5, Claude Haiku 4.5, GPT-5 Mini, GPT-5 Pro, GPT-5.1, GPT-5.1 Codex, GPT-5.1 Codex Mini und GPT-5.2 genutzt haben, um die Coding- und agentischen Funktionen von Step 4 zu verbessern. Berichten zufolge bündelte die Operation Konten, um Ratenbegrenzungen zu umgehen und die täglichen Ausgaben zu erhöhen.

Bis Mitte 2026 soll Z.AI Milliarden von Tokens aus GPT-5.5 und Claude Opus 4.8 abgeschöpft haben, um Chain-of-Thought-Fähigkeiten zu entwickeln.

Die Auswirkungen auf die Sicherheit sind strategisch und lassen sich nicht patchen

Die Behörden stufen die Aktivitäten als strategische und wirtschaftliche Bedrohung von hoher bis kritischer Tragweite ein. Es handelt sich nicht um eine offengelegte Software-Schwachstelle; entsprechend gibt es keine CVE, keinen CVSS-Score, keine betroffene Softwareversion und keinen Patch.

Ziel ist vielmehr der in Frontier-Modellen angesammelte Wert: Schlussfolgerungsmuster, spezialisierte Verhaltensweisen, Programmierkompetenz, Fachwissen, agentische Workflows und Ausgaben, die sich für den Aufbau von Trainingsdatensätzen eignen.

Eine erfolgreiche Abschöpfung kann Jahre der Entwicklung einsparen, weil weniger Experimente, Rechenleistung und Forschungskosten erforderlich sind. Wettbewerber können teure Fähigkeiten nachbilden, ohne die vollständigen Kosten ihrer Entdeckung und ihres Trainings zu tragen.

Unmittelbar betroffen sind die Modellanbieter und ihre Investoren. Die Folgen für die Abwehr können jedoch auch legitime Kunden treffen. Strengere Identitätsprüfungen, Nutzungsbeschränkungen und eine absichtlich reduzierte Modellleistung können bei Forschungsteams oder Unternehmen mit ungewöhnlich hoher API-Auslastung zu Fehlalarmen führen.

Anbieter sollten Konten, Prompts und Infrastruktur gemeinsam auswerten

Kein einzelnes Signal beweist eine böswillige Destillation. Die Behörden empfehlen, Telemetriedaten zu Konten, Netzwerken, Verhaltensweisen und Prompts miteinander zu verknüpfen.

Anbieter sollten neu erstellte Konten untersuchen, die sofort die maximalen Kontingente ausschöpfen, ohne menschliche Leerlaufzeiten durchgehend aktiv sind oder über zahlreiche IP-Adressen und User-Agents Verbindungen herstellen. Auch gemeinsam genutzte Enterprise-Abonnements, deren Durchsatz nicht zum angegebenen Zweck passt, verdienen eine Überprüfung.

Weitere Indikatoren sind wiederholte Prompts bei verschiedenen Anbietern, große Cluster verwandter Fragen, die verteilte Erstellung von Konten, der automatisierte Kontenwechsel und Datenverkehr, bei dem Cloud-Dienste oder Proxy-Routen unmittelbar nach einer Durchsetzungsmaßnahme gewechselt werden. Anfragen, die ausdrücklich verborgene Schlussfolgerungen verlangen, sind ein weiteres nützliches Signal.

Die Erkennung muss organisationsübergreifend funktionieren. Eine auf mehrere APIs und Aggregatoren verteilte Kampagne kann für jeden einzelnen Dienst wie eine gewöhnliche intensive Nutzung aussehen. Anbieter, Cloud-Betreiber, API-Vermittler und Regierungen müssen daher Muster bei Konten, Proxy-Infrastruktur, Prompt-Clustern, Modellwechseln und automatisierten Tests der Ausgabequalität austauschen.

Das gemeldete Verhalten von Moonshot – der Wechsel zu einem neu veröffentlichten Modell innerhalb von 24 Stunden – bietet eine weitere Möglichkeit zur Erkennung. Eine schnelle Migration in Verbindung mit umfangreichen, nach Vorlagen erstellten Anfragen ist aussagekräftiger als jedes dieser Merkmale allein.

Abwehrmaßnahmen bergen eigene Risiken

Für Konten, die als böswillig eingestuft werden, schlagen die Behörden vor, den Trainingswert der Ausgaben unauffällig zu verringern. Mögliche Maßnahmen sind die Begrenzung der Reasoning-Tiefe, das Einführen kontrollierter Störungen oder stilistischer Variationen, das Vorenthalten ausgewählter Fähigkeiten oder die Weiterleitung verdächtiger Nutzer an ein weniger leistungsfähiges Modell.

Sie raten ausdrücklich davon ab, mutmaßliche Betreiber mit Sitz in China über eine solche Weiterleitung zu informieren. Unbemerkte Änderungen erschweren es den Abschöpfungssystemen, die Abwehrmaßnahme zu erkennen und sich an sie anzupassen.

Dieser Ansatz ist technisch anspruchsvoll. Die mutmaßlichen Kampagnen verfügen über Systeme zur Qualitätskontrolle, die veränderte Antworten erkennen und absichtliche Verschlechterungen von gewöhnlichen Dienstproblemen unterscheiden können. Anschließend können die Betreiber Konten wechseln, Prompts umformulieren oder zu einem anderen Anbieter wechseln.

Veränderungen an den Abwehrmechanismen können zudem unabhängige Sicherheitstests beeinträchtigen. Anbieter sollten dafür sorgen, dass vertrauenswürdige Evaluatoren über Änderungen an den Modellen informiert sind, ohne dass diese Informationen mutmaßliche Abschöpfungsoperationen erreichen.

Die Zuordnung bleibt umstritten

Die US-Behörden bewerten Umfang, Dauer und operative Reife der Kampagnen als Anzeichen dafür, dass Destillation eine zentrale Entwicklungsstrategie der sechs Unternehmen ist. Außerdem gehen sie davon aus, dass die Aktivitäten wahrscheinlich mit Kenntnis der chinesischen Regierung stattfanden.

Dabei handelt es sich weiterhin um eine nachrichtendienstliche Einschätzung und nicht um eine unabhängig überprüfte und endgültig festgestellte Tatsache.

Chinas Außenministerium wies die Vorwürfe als haltlos zurück. Ein Sprecher der chinesischen Botschaft hatte die Position der USA zuvor als voreingenommene Verleumdungskampagne bezeichnet. Chinesische Vertreter erklären, die Fortschritte des Landes im Bereich KI beruhten auf eigener wissenschaftlicher Entwicklung, und werfen amerikanischen Unternehmen ebenfalls die Destillation chinesischer Modelle vor.

Der Streit ändert nichts an der Abwehrproblematik. Anbieter von Frontier-Modellen sehen sich inzwischen Abschöpfungsoperationen gegenüber, die koordinierten Sicherheitskampagnen ähneln: verteilte Infrastruktur, automatisierte Kontoverwaltung, ausweichendes Routing, Prompt-Manipulation und kontinuierliche Anpassung, sobald Schutzmaßnahmen greifen.