USA tvrdí, že čínské AI firmy ve velkém získávaly schopnosti amerických modelů

Společné kyberbezpečnostní varování amerických úřadů NSA, CISA a FBI obvinilo šest AI společností se sídlem v Číně z toho, že z průmyslově prováděné destilace udělaly zásadní součást vývoje vlastních modelů. Nešlo podle nich jen o běžné, legitimní využití destilace při strojovém učení, ale o systematické získávání chráněných schopností amerických špičkových modelů. Dokument jde o tvrzení úřadů, nikoli o soudně potvrzené zjištění. 12

Co měly firmy podle varování dělat

Úřady tvrdí, že DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun a Z.AI nejméně od konce roku 2024 získaly prostřednictvím milionů interakcí miliardy tokenů z variant modelů Claude, GPT, Gemini a Grok. Podle poradního dokumentu se tak mělo dít pravděpodobně s vědomím čínské vlády. 1

Za možné cesty přístupu označily zejména:

• nativní API jednotlivých poskytovatelů modelů,
• vzdálené cloudové poskytovatele,
• agregátory třetích stran, které mohou skrývat údaje o zákazníkovi,
• proxy služby označené jako „transfer stations“, jež měly sloužit k obcházení geografických omezení, ochranných mechanismů, smluvních podmínek a dohledatelnosti. 1

Varování dále uvádí hromadné pořizování a sdílení placených předplatných, automatické přepínání mezi přístupovými cestami po zablokování, získávání řetězců úvah (chain-of-thought) a vyhodnocovací systémy hledající změny v obranném chování modelů. 1

Dodané podklady podporují tvrzení o existenci šedých „transfer stations“, samostatně však nepotvrzují, že šlo konkrétně o tržiště Taobao a Xianyu.

Které kampaně varování připisuje jednotlivým firmám

DeepSeek: data pro R1 a V3

Podle amerických úřadů DeepSeek od konce roku 2024 vedl organizovanou kampaň na vytváření syntetických tréninkových dat pro modely R1 a V3. Údajně se zaměřoval na schopnosti uvažování, oborové znalosti a specializované funkce, aby snížil náklady na výzkum a výpočetní kapacitu. 1

Dokument mezi cílenými oblastmi vyjmenovává optimalizaci právní specializace, úkoly řízené pravidly v API, tvorbu návrhů řetězců úvah, agentní funkce, optimalizaci otázek a odpovědí, asistenční a koučovací schopnosti, tvorbu funkcí, optimalizaci pro supervidované dolaďování i kreativní a profesní psaní. 1

DeepSeek měl podle tvrzení využívat výstupy variant Claude, Gemini, GPT a Grok. Úřady také uvádějí, že veřejně prezentovaný údaj DeepSeeku o nákladech na trénink ve výši 5,6 milionu dolarů nezahrnuje cenu či hodnotu dat údajně získaných destilací. 1

Moonshot AI: Kimi-K3 a Kimi-K2

Moonshot AI měl od poloviny roku 2025 vést rozsáhlou kampaň. Varování tvrdí, že pro Kimi-K3 použil významné množství dat z Claude Fable 5 a pro Kimi-K2 data z GPT-4o. 1

Cílem mělo být zlepšení schopností pro supervidované dolaďování, posilované učení, softwarové inženýrství a matematiku. 1

Alibaba, MiniMax, StepFun a Z.AI

Alibaba je v dokumentu obviněna z destilace ve velkém rozsahu, která měla zlepšovat rodinu modelů Qwen. 1

MiniMax, StepFun a Z.AI měly podle úřadů rovněž provádět škodlivou destilaci amerických modelů. 1 Dodané důkazy ale nepopisují samostatnou kampaň MiniMaxu, konkrétní model ani přesně přiřazené schopnosti nad rámec tohoto obecného tvrzení.

Jak se mají provozovatelé AI bránit

NSA, CISA a FBI doporučily tři bezprostřední kroky: 1

1. Odhalovat a omezovat anomálie. Poskytovatelé mají vyhledávat škodlivé prompty, účty, sítě a vzorce chování. Mezi varovné signály patří neobvykle vysoký poměr předplatného k využití, okamžité maximální čerpání novým účtem nebo propustnost odpovídající podnikovému provozu. 1

2. Selektivně upravovat odpovědi. U podezřelých pokusů o získávání dat mohou modely nenápadně pozměňovat výstupy. Smyslem je snížit hodnotu odpovědí pro destilační kampaň, aniž by systém nutně prozradil, jak detekci provádí. 1

3. Sdílet zpravodajské poznatky v celém ekosystému. Poskytovatelé modelů, cloudové platformy a API agregátory by měli korelovat aktivitu, aby rozpoznali kampaně rozdělené záměrně mezi více služeb a přístupových cest. 1

Širší doporučení CISA podporuje dobrovolné sdílení kyberbezpečnostních informací souvisejících s AI mezi státní správou a průmyslovými partnery. 4

Co z dodaných zdrojů nevyplývá

Dodané primární zdroje neobsahují oficiální reakci Číny ani vyjádření mluvčí čínského ministerstva zahraničí Mao Ning. Neprokazují ani přesné znění varování ministra financí USA Scotta Bessenta ohledně sankcí či zařazení na seznam Entity List.

Stejně tak z nich nelze samostatně doložit souvislost sporu s plánovanými americko-čínskými rozhovory o bezpečnosti AI v polovině září, tvrzení o zužování výkonnostního rozdílu mezi čínskými a americkými systémy ani údaj, že Google odhalil kampaně s více než 100 miliony promptů.