Kinesiske militærforskere bruger amerikanske AI-modeller til forsvarssystemer – det kan skærpe AI-konflikten

Princippet kan sammenlignes med en lærer og en elev: Forskere sender spørgsmål til en stærk såkaldt lærermodel via dens offentlige API, indsamler svarene og bruger parrene af spørgsmål og svar som træningsdata for en mindre og billigere elevmodel. Elevmodellen lærer dermed at efterligne dele af lærerens færdigheder og måde at løse opgaver på .

For militære brugere er fordelen, at den mindre model kan køre på lokalt udstyr uden den enorme computerkapacitet, der normalt kræves for at udvikle en avanceret model fra bunden .

Militære anvendelser, der er beskrevet i dokumenterne

De artikler og patenter, som Reuters gennemgik, peger på en række forsvarsrelaterede anvendelser :

• Overvågning: Rekognoscering og analyse af efterretninger
• Cyberkrigsførelse: Automatiserede systemer til angreb og forsvar
• Droner og taktiske operationer: Selvstyrende dronesværme og beslutningsstøtte på slagmarken
• Militære køretøjer: Den statsejede kinesiske forsvarsvirksomhed Norinco har præsenteret et køretøj drevet af DeepSeek, som selv er udviklet ved hjælp af destillering. Køretøjet kan udføre autonome støtteopgaver i kamp og nå hastigheder på op til 50 kilometer i timen

Et dokument fra PLA-enhed 96904 beskrev direkte, hvordan amerikanske modeller kunne destilleres til "mindre og sikrere" versioner til forsvarsformål .

En anden artikel fra PLA-enhed 96941 – en militær efterretnings- og cyberkrigsenhed i Beijing – beskrev brugen af OpenAI's GPT-3.5 til behandling af følsom militær kildekode . En artikel fra 2024 fra PLA's National University of Defense Technology beskrev desuden, hvordan destillering blev brugt til at gøre en billedbehandlingsmodel mindre, så den kunne anvendes på militært udstyr med begrænsede ressourcer .

Hvorfor metoden er attraktiv for Kina

Den største fordel er økonomisk. At træne en avanceret AI-model fra bunden kan koste milliarder af dollar og kræver mange års forskning, enorme datamængder samt adgang til avancerede halvlederchips. Modeldestillering kan reducere behovet for næsten hele denne investering .

Ved at sende store mængder forespørgsler til avancerede modeller via API'er kan udviklere udtrække dele af deres funktionalitet til en brøkdel af prisen. Amerikanske AI-virksomheder har beskyldt kinesiske aktører for blandt andet at bruge falske konti og proxy-netværk for at omgå begrænsninger på antallet af forespørgsler.

Anthropic oplyste, at selskabets undersøgelse identificerede mere end 16 millioner udvekslinger gennem omkring 24.000 falske konti. De skulle have været rettet mod Claudes evner inden for agentbaseret problemløsning, brug af værktøjer og programmering. Den kinesiske AI-udvikler MiniMax stod ifølge undersøgelsen alene for mere end 13 millioner af udvekslingerne .

Anklager om industriel udvinding af AI-kapaciteter

Sagen har udløst en række anklager og politiske reaktioner i USA:

• Februar 2026: OpenAI, Anthropic og Google offentliggjorde hver især oplysninger om koordinerede destilleringskampagner, som de knyttede til de kinesiske virksomheder DeepSeek, Moonshot AI og MiniMax . Anthropic beskrev operationerne som bevidste "destilleringsangreb" .
• April 2026: En høring i Repræsentanternes Hus behandlede et notat fra OpenAI om "sofistikerede flertrinsforløb", hvor flere API-konti, proxy-netværk og efterligning af normal brugeradfærd skulle bruges til at undgå opdagelse .
• Juni 2026: Anthropic anklagede Alibaba for det hidtil største kendte indgreb i selskabets Claude-model. Ifølge Anthropic foregik destilleringskampagnen fra 22. april til 5. juni .
• Juli 2026: USA's finansminister Scott Bessent advarede om mulige sanktioner efter en anklage om, at det kinesiske AI-laboratorium Moonshot havde destilleret fra Anthropics avancerede Fable 5-model . Samtidig undersøger det amerikanske handelsministeriums Bureau of Industry and Security, om kinesiske virksomheder ulovligt har skaffet sig adgang til avancerede amerikanske chips .

Metoden har klare begrænsninger

Modeldestillering er en genvej, men den er ikke det samme som at udvikle en ny frontmodell fra bunden.

• Et kapacitetsloft: Elevmodellen kan som regel ikke overgå den lærermodel, den efterligner. Den arver både lærerens styrker, blinde vinkler og fejlmønstre .
• Kvalitetstab over flere generationer: Ved gentagen destillering går noget af præcisionen typisk tabt. Det gælder blandt andet detaljeret ræsonnement, sjælden viden og finere sikkerhedstilpasning .
• Svagere sikkerhedsforanstaltninger: Dette er særligt vigtigt i militære sammenhænge. Forskning viser, at destillering med såkaldte bløde etiketter kan reducere sikkerhedsbarrierer i elevmodeller med op til 50 procent sammenlignet med den oprindelige lærermodel, samtidig med at modellens opgaveevner bevares . Destillerede modeller mangler ofte de robuste afvisningsmekanismer og den træning i ufarlig adfærd, som findes i avancerede modeller . Anthropic har advaret om, at ulovligt destillerede modeller kan mangle nødvendige sikkerhedsforanstaltninger og dermed udgøre betydelige nationale sikkerhedsrisici .
• Vanskeligt at stoppe systematisk udtræk: Forsvar som ændring af modeloutput, forgiftning af træningsdata og begrænsning af forespørgsler har i forsøg vist sig utilstrækkelige mod målrettede aktører, der bruger flertrinsforløb og distribuerer deres dataindsamling .

Hvorfor sikkerhedsrisikoen bekymrer

Kombinationen af stjålne kapaciteter og svækkede sikkerhedsbarrierer kan skabe en farlig udvikling:

• Flere usikre AI-systemer: Modeller, der har mistet dele af deres sikkerhedstilpasning, kan bruges til militære og overvågningsmæssige formål, som de amerikanske udviklere udtrykkeligt forbyder i deres brugsvilkår .
• Amerikansk teknologiforsprings udhuling: Destillering kan give konkurrenter mulighed for at springe flere års proprietær forskning og udvikling over og dermed mindske USA's føring inden for avanceret AI .
• Tyveri, der er svært at opdage: Angreb via såkaldte black-box-API'er kan ligne almindelig, intensiv brug af en tjeneste. Det gør både identifikation, dokumentation og håndhævelse vanskeligere .
• En mulig sikkerhedsspiral: Begge sider tager stadig mere aggressive modforholdsregler i brug. I marts 2026 indlejrede Anthropic sporingskode i Claude Code for at identificere kinesiske brugere . Det øger risikoen for en spiral, hvor hver side opfatter den andens AI-aktivitet som fjendtlig .

Et nyt skridt mod teknologisk adskillelse

Konflikten om modeldestillering bidrager til en bredere teknologisk opsplitning mellem USA og Kina på AI-området . Strammere eksportkontrol med avancerede chips, hårdere begrænsninger på API-adgang, krav om identitetskontrol af udviklerkonti og mulige finansielle sanktioner er blandt de tiltag, der diskuteres .

Den centrale strategiske bekymring er, at destillering gør det muligt at udnytte amerikanske AI-investeringer til kinesiske forsvarsformål uden tilsvarende udgifter til grundforskning og datacentre. Samtidig kan det tab af sikkerhedsforanstaltninger, der følger med processen, føre til militære AI-systemer, som er mindre begrænsede – og potentielt farligere.