Ein gemeinsames Advisory von NSA, CISA und FBI behauptet, DeepSeek, Moonshot AI, Alibaba und andere extrahieren systematisch proprietäre Reasoning- und Spezialfähigkeiten aus Claude-, GPT-, Gemini- und Grok-Modellen. Kritiker verweisen auf den geopolitischen Kontext der schweren Vorwürfe.
Washington hat mehrere führende chinesische KI-Unternehmen formell beschuldigt, koordinierte, industrielle „Knowledge-Distillation“-Kampagnen durchzuführen, die eingeschränkte Fähigkeiten aus US-Frontier-Modellen extrahieren. Das gemeinsame Cybersecurity Advisory vom 8. September 2026 von NSA, CISA und FBI stellt die Praxis nicht als gewöhnliche Forschung dar, sondern als Kernstrategie von Firmen wie DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun und Z.AI.
Dem Advisory zufolge haben diese Unternehmen seit mindestens Ende 2024 Milliarden von Tokens über Millionen von Anfragen aus Modellen von Anthropic, OpenAI, Google und xAI abgezogen. DeepSeek allein soll Claude 3.7 bis Opus 4.1, mehrere Gemini- und GPT-Varianten sowie Grok 4 gezielt für die Trainingsdaten seiner R1- und V3-Modelle genutzt haben. Extrahiert wurden angeblich Chain-of-Thought-Reasoning, agentische Funktionen, rechtliche Spezialisierung, Software-Engineering-Fähigkeiten und Supervised-Fine-Tuning-Techniken.
Die Behörden ordnen die Aktivitäten dem MITRE-ATLAS-Framework zu und beschreiben neuartige Taktiken: einen Graumarkt von „Transfer-Stationen“, die geografische Beschränkungen umgehen, den Masseneinkauf geteilter Premium-Abonnements, automatisierte Metadaten-Bereinigung, zentrale Routing-Systeme über native APIs, Cloud-Anbieter und Drittanbieter-Aggregator sowie ausgefeilte Qualitätsbewertungs-Pipelines, die defensive Verschlechterungen erkennen. MiniMax wird Prompt-Injection-Versuche vorgeworfen, mit denen Claude Code glauben gemacht werden sollte, es handele sich um ein MiniMax-Produkt. Die Kampagnen werden als bewusst, hochvolumig und kostenoptimiert dargestellt, verteilt über mehrere Pfade, um Einzelpunkterkennung zu vermeiden.
US-Offizielle argumentieren, die Praxis verkürze chinesische Entwicklungszeiten und untergrabe die amerikanische technologische Führungsrolle, während Nutzungsbedingungen verletzt würden. Öffentlich genannte Trainingskosten für DeepSeek-Modelle ließen die wahren Kosten der destillierten Daten unberücksichtigt. Empfohlene Gegenmaßnahmen umfassen Verhaltensüberwachung von Abonnement-Nutzungsverhältnissen, subtile Antwortänderungen bei vermuteter Destillationsaktivität und organisationsübergreifenden Informationsaustausch zwischen Modellanbietern, Cloud-Plattformen und Aggregatoren.
Die Sprache des Advisories ist ungewöhnlich direkt. Es kennzeichnet die Aktivitäten wiederholt als „bösartig“, behauptet „wahrscheinliches“ Wissen der chinesischen Regierung und rahmt die Kampagnen als strategische wirtschaftliche Bedrohung. Diese Charakterisierungen laden zur kritischen Prüfung ein. Knowledge Distillation ist an sich eine etablierte, legitime Technik des maschinellen Lernens; die Grenze zwischen aggressiver Wettbewerbsforschung und unerlaubter Extraktion wird hier von US-Sicherheitsbehörden gezogen, deren Auftrag die technologische Konkurrenz mit China betont. Die Attribution stützt sich auf Volumen-, Timing- und Infrastrukturmuster, nicht auf öffentlich detaillierte forensische Belege einzelner Konten. Behauptungen über Regierungswissen bleiben mit dem Wort „likely“ eingeschränkt.
Unabhängige Beobachter weisen darauf hin, dass auch amerikanische Firmen groß angelegte Datensammlungen und synthetische Datengenerierung betreiben. Das Advisory zitiert Branchenberichte von Anthropic und Google zu Destillationsrisiken, doch diese konzentrieren sich eher auf technische Erkennung als auf geopolitische Zuschreibung. Der Zeitpunkt – Mitte 2026, nach früheren White-House-Memoranden zur adversen Distillation – fügt sich in breitere Bemühungen ein, chinesischen Zugang zu fortgeschrittenen US-KI-Systemen zu beschränken.
Ob die beschriebenen Praktiken systematischen Diebstahl geistigen Eigentums oder intensive, aber konventionelle Wettbewerbsaufklärung darstellen, bleibt umstritten. Klar ist, dass US-Modellanbieter einer ausgefeilten, anpassungsfähigen Nachfrage nach ihren wertvollsten Ausgaben gegenüberstehen und dass nationale Sicherheitsbehörden den resultierenden Fähigkeits-Transfer nun als strategische Angelegenheit behandeln. Die empfohlenen technischen und organisatorischen Verteidigungen werden prüfen, wie effektiv die KI-Branche legitime Hochvolumen-Forschung von koordinierten Extraktionskampagnen unterscheiden kann.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de