Was benötigen Sie, um einen Klon eines beliebten KI-Chatbots zu erstellen? Überraschenderweise müssen Sie dafür kein erfahrener Hacker sein. Sie müssen lediglich rund 100 000 Fragen richtig stellen. Ja, genau so viele benötigten die Angreifer, die versuchten, Gemini in seine Einzelteile zu zerlegen und eine Kopie davon zu erstellen. Google hat die gesamte Aktion jedoch aufgedeckt und in seinem Blog vor der Gefahr sogenannter Destillationsangriffe gewarnt.
Was sind Destillationsangriffe und wozu dienen sie?
Die Forschungs- und Sicherheitsabteilung von Google (Google Threat Intelligence Group) veröffentlichte im Februar dieses Jahres einen Bericht, der die KI-Bedrohungen im letzten Quartal des Jahres 2025 zusammenfasst. Neben anderen Formen des KI-Missbrauchs werden darin auch sogenannte Destillationsangriffe erwähnt, mit denen alle großen Sprachmodelle konfrontiert sind.
Bei dieser Art des KI-Missbrauchs stellen Angreifer dem Modell wiederholt Fragen und sammeln und analysieren seine Antworten, um auf deren Grundlage ein eigenes Konkurrenzprodukt zu trainieren. Dieser gesamte Prozess ist im Grunde völlig unkompliziert und erfolgt über eine öffentlich zugängliche Schnittstelle. Dadurch können Hacker ein eigenes Sprachmodell entwickeln, ohne jahrelange Arbeit und Milliardenbeträge in ein eigenes Training investieren zu müssen.
Diese Destillation von Fähigkeiten und Wissen aus einem fortschrittlicheren großen Sprachmodell stellt jedoch ein grundlegendes Problem dar. Das Training ihrer Spitzenmodelle kostet große Unternehmen Milliarden von Dollar, und die Programmierung ihrer internen Logik ist spezifisches Know-how, das schlichtweg nicht einfach gestohlen werden darf.
Eine Aktion mit 100 000 Anfragen
Destillationsangriffe sind in der Welt der künstlichen Intelligenz nichts Neues, und auch Gemini kennt diese Taktik. Bei dieser größeren Aktion wurde das Modell jedoch mit mehr als 100 000 Prompts bombardiert. Anhand dieser Frage-Antwort-Paare versuchten Datenextraktoren, einen KI-Klon zu erstellen, der die Eigenschaften von Gemini kopieren sollte. Google identifizierte das Problem jedoch schließlich und passte die Abwehrmechanismen des Modells an.
Die Angreifer konzentrierten sich zudem nicht nur auf einen einfachen Frage-Antwort-Prozess. Sie verfolgten ein sehr konkretes Ziel, nämlich Geminis Fähigkeit zum schrittweisen Denken (Chain-of-Thought-Prozess) und zu fortgeschrittenen Schlussfolgerungen. Die Absicht war klar: Die Angreifer wollten offenbar das System entschlüsseln, mit dem diese KI mehrstufige Probleme und Anfragen löst. Dieser „Gedankenfluss“ bleibt normalerweise verborgen, und mit mehr als 100 000 Anfragen versuchten die Angreifer, das große Sprachmodell dazu zu bringen, offenzulegen, wie es denkt. Dies hätte als Trainingsmaterial für die Entwicklung einer Replik gedient.
Google teilte mit, dass es die Angriffe in Echtzeit aufgedeckt habe. Wer jedoch dahintersteckt, kommentierte das Unternehmen nicht. Ein Google-Sprecher erklärte gegenüber NBC News, dass die Anfragen aus verschiedenen Teilen der Welt kamen.
Warnung für kleinere KI-Unternehmen
John Hultquist, leitender Analyst der GTIG, erklärte gegenüber NBC News außerdem, dass Gemini nur der erste Vorbote sei, und warnte davor, dass auch kleinere Unternehmen mit eigenen KI-Werkzeugen Opfer ähnlicher Angriffe werden könnten. Er wies unter anderem darauf hin, dass bei kleineren Unternehmen sogar das gesamte Know-how über ihre Funktionsweise gestohlen werden könne, weil sie ihre KI-Werkzeuge mit realen und praktischen Daten füttern. Dieses Wissen lässt sich von Angreifern anschließend leicht „destillieren“.
Gemini ist nicht das erste Opfer
Destillationsangriffe werden laut der Technologie-Nachrichtenseite Ars Technica mindestens seit der Ära von GPT-3 eingesetzt. Zu den bekanntesten Fällen gehört die Affäre aus dem vergangenen Jahr, als OpenAI das chinesische Unternehmen DeepSeek beschuldigte, mit dieser Methode seine eigenen Modelle verbessert zu haben.
Mit einem ähnlichen Vorwurf wurde 2023 auch das Unternehmen xAI wegen seines Modells Grok konfrontiert. Dieses zitierte nämlich in bestimmten Situationen aus den „Nutzungsrichtlinien von OpenAI“. Obwohl die Entwickler argumentierten, es habe sich um ein versehentliches Laden der Bedingungen gehandelt, bemerkten viele Nutzer, dass der Chatbot sehr ähnlich wie ChatGPT reagierte. Tatsächlich ließen sich noch weitere Gemeinsamkeiten finden.
Google schlägt zurück und verbessert die Sicherheit
Da Angriffe auf KI immer häufiger werden, verteidigt Google seine Sprachmodelle äußerst aktiv. Daher sperrte das Unternehmen nicht nur umgehend die mit den Angriffen verbundenen Konten, sondern nutzte auch sämtliche bei dem Destillationsangriff gesammelten Daten sofort zur direkten Stärkung der Abwehr und zur besseren Klassifizierung von Bedrohungen.
Gemini wird nun darauf trainiert, zu erkennen, wann seine interne Logik systematisch „abgeschöpft“ wird, und lernt, Prompts zu erkennen, die Teil einer Destillationskampagne sind. Für Angreifer wird es dadurch in Zukunft hoffentlich immer schwieriger, die Konkurrenz „auszuspionieren“.
