Amerikanske myndigheder: Kinesiske AI-selskaber hentede milliarder af tokens fra førende modeller

En fælles cybersikkerhedsadvarsel fra USA's NSA, CISA og FBI beskylder seks kinesisk-baserede AI-selskaber for systematisk at have hentet proprietære funktioner og kapaciteter ud af amerikanske frontier-modeller gennem såkaldt vidensdistillering i industriel skala. Det er myndighedernes påstande – ikke en retsligt afgjort konstatering. 12

Milliarder af tokens via millioner af forespørgsler

Ifølge advarslen har DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun og Z.AI siden mindst slutningen af 2024 angiveligt udtrukket milliarder af tokens gennem millioner af interaktioner med varianter af Claude, GPT, Gemini og Grok. Myndighederne vurderer, at aktiviteten sandsynligvis foregik med kinesiske myndigheders kendskab. 1

Vidensdistillering er i sig selv en anerkendt metode i maskinlæring: Et mindre eller mindre kapabelt system trænes på output fra en stærkere model. Men de amerikanske myndigheder hævder, at de omtalte kampagner gik langt ud over legitim brug og var målrettet udtrækning af begrænsede, proprietære kapaciteter. 12

De påståede adgangsveje omfattede modeludbydernes egne API'er, cloududbydere på afstand og tredjepartsaggregatorer, som kan skjule oplysninger om kunder. Advarslen beskriver også proxybaserede "transfer stations", der ifølge myndighederne kan bruges til at omgå geografiske begrænsninger, sikkerhedsforanstaltninger, brugsvilkår og sporbarhed. 1

Derudover peger rådgivningen på angivelige storkøb og deling af premiumabonnementer, automatisk skift mellem adgangsveje, når en konto eller rute blokeres, udtrækning af ræsonnementskæder samt testsystemer, der skal afsløre ændringer i modellernes forsvar. 1

Kilderne her dokumenterer eksistensen af gråmarkedsprægede "transfer stations", men underbygger ikke selv de konkrete markedspladser Taobao og Xianyu. Der er derfor ikke tilstrækkeligt belæg for den del.

Hvad de enkelte selskaber beskyldes for

DeepSeek: syntetiske data til R1 og V3

Myndighederne hævder, at DeepSeek fra slutningen af 2024 gennemførte en organiseret kampagne for at skabe syntetiske træningsdata til modellerne R1 og V3. Målet skulle have været at udtrække ræsonnement, domænespecifik viden og specialiserede funktioner for at reducere forsknings- og beregningsomkostninger. 1

Advarslen nævner blandt andet optimering af juridisk specialisering, API-opgaver styret af regler, udkast til ræsonnementskæder, agentfunktioner, spørgsmål-og-svar-optimering, assistent- og coachingfunktioner, optimering af funktionsskabelse, supervised fine-tuning samt kreativ og erhvervsrelateret skrivehjælp. 1

DeepSeek skulle ifølge myndighederne have anvendt output fra varianter af Claude, Gemini, GPT og Grok. De hævder også, at DeepSeeks offentligt oplyste træningsomkostning på 5,6 mio. dollar ikke omfattede omkostningen eller værdien af de data, som angiveligt var indhentet via distillering. 1

Moonshot AI: data til Kimi-K3 og Kimi-K2

Moonshot AI beskyldes for en omfattende kampagne siden midten af 2025. Ifølge advarslen blev betydelige mængder data fra Claude Fable 5 anvendt til Kimi-K3, mens GPT-4o-data blev brugt til Kimi-K2. 1

Myndighederne siger, at selskabet søgte kapaciteter inden for supervised fine-tuning, reinforcement learning, softwareudvikling og matematik. 1

Alibaba, MiniMax, StepFun og Z.AI

Alibaba beskyldes for industriel distillering med henblik på at forbedre Qwen-modelserien. 1

MiniMax, StepFun og Z.AI nævnes også som aktører, der ifølge myndighederne deltog i skadelig distillering af amerikanske modeller. 1 Det fremlagte kildemateriale indeholder dog ikke en særskilt kampagne, model eller konkret kapacitetsbeskrivelse for MiniMax ud over den generelle anklage. Der er ikke tilstrækkeligt belæg for en mere detaljeret MiniMax-tilskrivning.

Myndighedernes tre anbefalede modtræk

Rådgivningen opfordrer AI-selskaber til at styrke beskyttelsen på tre områder: 1

1. Opdag og begræns afvigende aktivitet. Udbydere bør identificere mistænkelige prompts, konti, netværk og adfærd. Det kan blandt andet være nye konti, der straks bruger maksimal kapacitet, usædvanlige forhold mellem abonnement og brug eller trafik på niveau med en stor virksomhed. 1

2. Tilpas svar ved mistanke. Modeludbydere kan ifølge myndighederne diskret ændre svar til formodede udtræksforsøg. Formålet er at gøre output mindre brugbart som træningsmateriale uden nødvendigvis at afsløre, hvordan forsøget blev opdaget. 1

3. Del efterretninger på tværs af branchen. Modeludbydere, cloudplatforme og API-aggregatorer bør sammenholde signaler for at opdage kampagner, der bevidst er spredt ud over flere tjenester og adgangsveje. 1

CISA anbefaler mere generelt frivillig deling af AI-relaterede cybersikkerhedsoplysninger med både myndigheder og branchepartnere, blandt andet gennem Joint Cyber Defense Collaborative. 4

Det tilgængelige kildemateriale underbygger ikke uafhængigt påstanden om, at Google skulle have identificeret kampagner med over 100 mio. prompts. Der er derfor ikke tilstrækkeligt belæg for den oplysning.

Hvad kilderne ikke dokumenterer

De udleverede primærkilder indeholder ikke Kinas officielle svar eller en udtalelse fra udenrigsministeriets talsperson Mao Ning. De dokumenterer heller ikke den præcise advarsel fra finansminister Scott Bessent om sanktioner eller optagelse på USA's Entity List.

Materialet fastslår heller ikke en forbindelse til planlagte amerikansk-kinesiske AI-sikkerhedssamtaler i midten af september og dokumenterer heller ikke selv en indsnævring af præstationsforskellen mellem kinesiske og amerikanske AI-systemer. For disse dele er evidensen utilstrækkelig.