US-Behörden sprechen von Modelldestillation im großen Stil
Die US-Sicherheitsbehörden NSA, CISA und FBI beschuldigen sechs chinesische KI-Unternehmen, Fähigkeiten amerikanischer Spitzenmodelle systematisch kopiert zu haben. Genannt werden DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun und Z.AI. Die mutmaßlichen Aktivitäten laufen laut den Behörden mindestens seit Ende 2024.
Im Zentrum steht die Modelldestillation. Dabei erzeugt ein leistungsfähiges Modell Trainingsdaten für ein kleineres Modell, das ausgewählte Fähigkeiten des größeren Systems übernehmen soll. Das Verfahren ist grundsätzlich eine etablierte technische Methode, problematisch wird es bei unerlaubtem Zugriff auf geschützte Funktionen und massenhaftem Absaugen proprietärer Ausgaben.
In China ansässige KI-Unternehmen könnten durch Modelldestillation im industriellen Maßstab ihre Entwicklungszeiten deutlich verkürzen und die Kosten für das Training eines Spitzenmodells reduzieren, so die US-Behörden in sinngemäßer Übersetzung.
Diese sechs Unternehmen werden genannt
| Unternehmen | Vorwurf der US-Behörden |
|---|---|
| DeepSeek | Umfangreiche Extraktion von Fähigkeiten aus Claude, Gemini, GPT und Grok |
| Moonshot AI | Destillation von Methoden für Softwareentwicklung, Mathematik, Feinabstimmung und verstärkendes Lernen |
| Alibaba | Gezielte Nachbildung von Fähigkeiten aus Modellen von Anthropic und OpenAI |
| MiniMax | Gezielte Nachbildung von Fähigkeiten aus Modellen von Anthropic und OpenAI |
| StepFun | Gezielte Nachbildung von Fähigkeiten aus Modellen von Anthropic und OpenAI |
| Z.AI | Gezielte Nachbildung von Fähigkeiten aus Modellen von Anthropic und OpenAI |
Zu den angeblich extrahierten Fähigkeiten zählen Agenten-Funktionen, Softwareentwicklung, Mathematik, Textoptimierung und interne Schlussfolgerungsmuster. Z.AI war bereits im Zusammenhang mit dem anonym veröffentlichten Modell Ox Alpha aufgefallen. Die aktuellen Anschuldigungen belegen jedoch nicht automatisch, welche Fähigkeiten eines einzelnen chinesischen Modells tatsächlich aus fremden Systemen stammen.
Gefälschte Konten, Proxy-Netze und Prompt-Injections
Nach Darstellung der US-Behörden wurden Tausende bis Millionen koordinierte Anfragen zu ähnlichen Themen an die Programmierschnittstellen der US-Anbieter gesendet. Die Kampagnen sollen sich über Tage oder Monate erstreckt haben. Zum Einsatz kamen demnach gefälschte Massenkonten und Proxy-Netze, die geografische Sperren umgehen und Anfragen über wechselnde Zugangswege verteilen.
Ein weiteres Mittel seien Prompt-Injections gewesen. Dabei werden Modelle durch manipulierte Anweisungen dazu gebracht, eigentlich geschützte Informationen oder Verhaltensweisen offenzulegen. Im konkreten Fall sollten die Systeme ihre internen Gedankenschritte, häufig als Chain of Thought bezeichnet, nachträglich ausformulieren.
| Kennzahl | Angabe der US-Behörden |
|---|---|
| Beschuldigte Unternehmen | 6 |
| Beginn der mutmaßlichen Kampagnen | Mindestens Ende 2024 |
| Anfragevolumen | Tausende bis Millionen Prompts je Domain |
| Dauer einzelner Kampagnen | Tage bis Monate |
| Reaktion auf neue Modellversionen | Teilweise innerhalb von 24 Stunden |
Die Systeme der chinesischen Unternehmen sollen Modell-Upgrades automatisiert erkennen und innerhalb von 24 Stunden auf neue Versionen wechseln können. Qualitätssicherungen sollen außerdem unterscheiden, ob schlechtere Antworten auf gewöhnliche Störungen oder auf gezielte Schutzmaßnahmen zurückgehen.
Abwehr könnte reguläre API-Kunden treffen
NSA, CISA und FBI empfehlen den US-Anbietern strengere Identitätsprüfungen, zusätzliche Verhaltensanalysen und Ratenbegrenzungen. Auffällig wären beispielsweise neue Konten, die sofort das maximale Anfragevolumen ausschöpfen, oder ungewöhnliche Verhältnisse zwischen abgeschlossenen Abonnements und tatsächlicher Nutzung.
Deutlich problematischer ist der Vorschlag, verdächtige Konten ohne Hinweis auf schwächere Modelle umzuleiten. Alternativ könnten Anbieter die Antworttiefe reduzieren, stilistische Inkonsistenzen einbauen oder künstliches Rauschen ergänzen. Diese als Data Degradation bezeichnete Maßnahme soll Trainingsdaten für Angreifer weniger wertvoll machen.
Die Behörden räumen ein, dass auch legitime Nutzer betroffen sein könnten. Mögliche Folgen sind kürzere Antworten, geringere Vorhersagegenauigkeit und nicht angekündigte Modellwechsel. Wie häufig solche Fehlklassifikationen auftreten würden, ist nicht bekannt.
Ebenfalls offen ist, ob OpenAI, Anthropic oder Google entsprechende Eingriffe bereits in produktiven APIs einsetzen. Unterschiede zwischen Modellen und automatisches Modell-Routing bei Claude Code zeigen allerdings, wie stark Auswahlmechanismen Kosten und Ergebnisqualität beeinflussen können. Für geschäftskritische Prozesse muss daher nachvollziehbar bleiben, welches Modell eine Aufgabe tatsächlich bearbeitet hat.
Mehr Überwachung schafft neue Datenschutzfragen
Für Unternehmen im DACH-Raum liegt das unmittelbare Risiko weniger im geopolitischen Vorwurf als in den möglichen Reaktionen der Plattformbetreiber. Eine detailliertere Analyse von Konten, Mitarbeitern, Prompts und Nutzungsmustern kann zusätzliche Datenschutzfragen aufwerfen. Verschärfte Identitätsprüfungen erhöhen außerdem den administrativen Aufwand beim Einsatz internationaler KI-Dienste.
Vertragliche Zusagen zur Datenverarbeitung bleiben deshalb relevant. Anthropic bietet beispielsweise für bestimmte Modelle eine Zero Data Retention Option an. Solche Zusagen beantworten jedoch nicht automatisch, welche Metadaten für Betrugserkennung, Sicherheitsanalysen oder Kontoprüfungen verarbeitet werden.
Hinzu kommt ein operatives Problem: Werden Antworten bei einem Verdacht heimlich verschlechtert, kann eine Anwendung trotz unveränderter API plötzlich andere Ergebnisse liefern. Das erschwert Tests, Ursachenanalysen und verbindliche Qualitätszusagen gegenüber Kunden. Eine einseitige Abhängigkeit von proprietären Cloud-APIs wird damit zu einem technischen und kaufmännischen Risiko.
China weist die Anschuldigungen zurück
Das chinesische Außenministerium bezeichnete die Vorwürfe als unbegründet und verwies auf die technologische Eigenständigkeit des Landes. Ein Sprecher der chinesischen Botschaft forderte in sinngemäßer Übersetzung, die Fakten zu respektieren, Vorurteile abzulegen und Chinas Fortschritte in der KI-Entwicklung nicht zu diskreditieren.
China argumentiert außerdem, dass auch amerikanische Unternehmen chinesische Modelle für Destillation verwenden würden. Welche konkreten rechtlichen Schritte oder Sanktionen die US-Regierung gegen die sechs genannten Firmen erwägt, ist bislang nicht bekannt.
Lokale Modelle werden zur strategischen Rückversicherung
Modelldestillation ist nicht ausschließlich ein Angriffswerkzeug. Unternehmen können damit kleinere Modelle auf klar abgegrenzte Aufgaben spezialisieren, sofern Trainingsdaten, Lizenzen und Nutzungsrechte sauber geklärt sind. Ein selbst gehostetes Modell kann bei wiederkehrenden Prozessen API-Kosten senken und sensible Daten im eigenen Einflussbereich halten.
Lokale Modelle wie die Reasoning-Modelle von IBM Granite 4.2 zeigen, dass für spezialisierte Aufgaben nicht zwingend jedes Mal ein großes US-Cloud-Modell erforderlich ist. Der Aufbau einer solchen Alternative verursacht allerdings eigenen Aufwand für Infrastruktur, Qualitätssicherung, Aktualisierungen und Sicherheit.
Der aktuelle Konflikt liefert deshalb kein pauschales Argument gegen Cloud-KI. Er macht aber deutlich, dass Anbieter ihre Plattformregeln und Modellqualität aus Sicherheitsgründen jederzeit verändern können. Für produktive Anwendungen sind ein zweiter Modellanbieter, reproduzierbare Qualitätstests und eine lokale Ausweichoption zunehmend Teil eines belastbaren Betriebsmodells.