Jahrelang investieren Sie Milliarden, Hunderte der klügsten Köpfe arbeiten Tag und Nacht. Und dann stellen Sie fest, dass jemand still, systematisch und in großem Maßstab die Früchte Ihrer Arbeit erntet, ohne einen einzigen Cent zu bezahlen. Genau das ist dem US-Unternehmen Anthropic passiert.
Die Anatomie des Diebstahls – Schritt für Schritt
Anthropic veröffentlichte einen Bericht, der die Technologiewelt erschütterte. Das Unternehmen deckte auf, dass drei chinesische KI-Labore, konkret DeepSeek, Moonshot AI und MiniMax, koordinierte Kampagnen zur Industriespionage gegen seinen Chatbot Claude durchgeführt hatten. Dabei nutzten sie eine als „Destillation“ bezeichnete Technik und erzeugten über 16 Millionen Interaktionen mithilfe von etwa 24.000 betrügerischen Konten.
Destillation ist an sich nicht illegal. Es handelt sich um eine gängige Methode, bei der ein weniger leistungsfähiges Modell mit den Ausgaben eines stärkeren Modells trainiert wird. Unternehmen nutzen sie selbst, um günstigere, kompaktere Versionen ihrer eigenen Systeme zu entwickeln. Problematisch wird es, wenn man sie ohne Genehmigung auf ein fremdes Modell anwendet, und zwar in großem Maßstab und mit dem Ziel, jahrelange Forschungsarbeit zu einem Bruchteil der Kosten zu stehlen.
Die chinesischen Labore konnten Claude nicht einfach kaufen. Anthropic bietet in China nämlich keinen kommerziellen Zugang an. Was taten sie also? Sie nutzten kommerzielle Proxy-Dienste, die den Zugang zu amerikanischen KI-Modellen weiterverkaufen. Sie bauten Netzwerke aus betrügerischen Konten auf, die Anthropic als „Hydra-Cluster“-Architekturen bezeichnet. Wird ein Konto gesperrt, wird es sofort durch ein anderes ersetzt. In einem Fall verwaltete ein einziges Proxy-Netzwerk gleichzeitig mehr als 20.000 gefälschte Konten.
Jedes der drei Labore hatte seinen eigenen Stil
DeepSeek erzeugte mehr als 150.000 Interaktionen. Es synchronisierte den Datenverkehr über mehrere Konten hinweg, teilte Zahlungsmethoden und koordinierte das Timing, um den Durchsatz zu erhöhen und der Erkennung zu entgehen. Interessanterweise forderten die Prompts Claude auf, sich „die interne Argumentation hinter einer fertigen Antwort vorzustellen und sie zu beschreiben“ – Schritt für Schritt. Mit anderen Worten: Sie erzeugten in großem Maßstab Trainingsdaten für Gedankenketten. Darüber hinaus ließen sie Claude „zensursichere“ Alternativen zu politisch sensiblen Anfragen erstellen, etwa zu Dissidenten oder Autoritarismus. Offenbar wollten sie damit ihre eigenen Modelle darauf trainieren, solche Themen zu vermeiden.
Moonshot AI ging noch weiter und erzeugte mehr als 3,4 Millionen Interaktionen. Das Unternehmen nutzte Hunderte betrügerische Konten über verschiedene Zugangswege, damit die Kampagne weniger koordiniert wirkte. Anthropic deckte sie dennoch anhand von Metadaten der Anfragen auf, die mit den öffentlichen Profilen leitender Mitarbeiter von Moonshot übereinstimmten.
Den Rekord stellte MiniMax mit mehr als 13 Millionen Interaktionen auf. Und nun kommt ein erschreckendes Detail: Anthropic entdeckte die Kampagne noch bevor MiniMax das Modell veröffentlichte, das damit trainiert wurde. Dadurch erhielt das Unternehmen einen beispiellosen Einblick in den gesamten Lebenszyklus eines Destillationsangriffs. Als Anthropic mitten in der Kampagne ein neues Modell veröffentlichte, leitete MiniMax innerhalb von 24 Stunden fast die Hälfte seines Datenverkehrs um, um die Fähigkeiten des neuesten Systems zu erfassen.
Mehr als nur der Diebstahl geistigen Eigentums
Es könnte den Anschein haben, dass es sich „nur“ um Technologiediebstahl handelt. Doch Anthropic warnt vor weitaus schwerwiegenderen Folgen. Modelle, die auf illegaler Destillation basieren, behalten wahrscheinlich nicht die Sicherheitsvorkehrungen bei, die amerikanische Unternehmen sorgfältig entwickeln. Vorkehrungen, die verhindern sollen, dass KI zur Entwicklung biologischer Waffen oder für Cyberangriffe missbraucht wird.
Ausländische Labore könnten diese „entsperrten“ Fähigkeiten anschließend in militärische Systeme sowie in Geheimdienst- und Überwachungssysteme integrieren. Autoritäre Regierungen könnten so hochmoderne KI für offensive Cyberoperationen oder die Massenüberwachung der Bevölkerung einsetzen. Werden solche Modelle zudem als Open Source veröffentlicht, breitet sich das Risiko unkontrolliert wie eine Lawine aus.
Exportkontrollen reichen nicht aus. Was nun?
Washington versuchte, Chinas Fortschritte im Bereich KI durch die Beschränkung des Zugangs zu den modernsten Chips zu verlangsamen. Doch Destillationsangriffe umgehen diese Strategie. Jacob Klein, Leiter der Abteilung für Bedrohungsanalysen bei Anthropic, erklärte es deutlich: „Wenn man darüber nachdenkt, wie man im KI-Wettlauf die Nase vorn behält, ist Rechenleistung ein Teil davon. Doch die Verstärkung durch Feedback wird immer entscheidender. Die Destillation ermöglicht es, diese Fähigkeiten zu extrahieren.“
Anthropic teilt technische Indikatoren mit anderen KI-Laboren, Cloud-Anbietern und den zuständigen Behörden. Das Unternehmen verschärft die Verifizierung für Bildungskonten und Forschungsprogramme, die von Angreifern am häufigsten missbraucht werden. Zudem entwickelt es Gegenmaßnahmen auf Produkt-, API- und Modellebene.
Solche Vorwürfe sind keineswegs ein Einzelfall. Bereits am 12. Februar informierte OpenAI den Sonderausschuss des Repräsentantenhauses zur Kommunistischen Partei Chinas darüber, dass DeepSeek systematisch sein geistiges Eigentum „gestohlen“ habe. Googles Threat Intelligence Group warnte vor Kampagnen mit mehr als 100.000 Prompts, die darauf abzielten, die Fähigkeiten des Gemini-Modells zu replizieren.
Destillationsangriffe sind zum neuen Schlachtfeld im Technologiekonflikt zwischen den USA und China geworden. Und wie Klein treffend bemerkte: „Es gibt keine sofortige Patentlösung.“ Die Lösung erfordert die Koordination der gesamten Branche, der Cloud-Anbieter und der Politik. Anthropic kann das nicht allein bewältigen. Und ehrlich gesagt kann es auch niemand anderes.
Quellen: aol.com und yahoo.com
