US-Behörden: Chinesische KI-Firmen sollen Fähigkeiten führender US-Modelle im großen Stil abgeschöpft haben

Die gemeinsame Warnmeldung von NSA, CISA und FBI erhebt einen schwerwiegenden Vorwurf: Sechs in China ansässige KI-Unternehmen sollen die Extraktion proprietärer Fähigkeiten US-amerikanischer Spitzenmodelle im industriellen Maßstab zu einem zentralen Bestandteil ihrer Entwicklung gemacht haben. Gemeint sind DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun und Z.AI.

Wichtig ist die Einordnung: Es handelt sich um Angaben und Anschuldigungen der US-Behörden, nicht um gerichtlich festgestellte Tatsachen. Wissensdestillation ist als Methode des maschinellen Lernens grundsätzlich legitim. Die Behörden werfen den genannten Firmen jedoch eine gezielte, missbräuchliche und großflächige Nutzung vor. 12

Was den Unternehmen vorgeworfen wird

Seit mindestens Ende 2024 sollen die Firmen über Millionen Interaktionen Milliarden Tokens aus Varianten von Claude, GPT, Gemini und Grok extrahiert haben. Nach Darstellung der Behörden geschah dies wahrscheinlich mit Kenntnis der chinesischen Regierung. 1

Als mutmaßliche Zugangswege nennt die Warnmeldung:

• die regulären APIs der Modellanbieter,
• externe Cloud-Dienste,
• Drittanbieter-Aggregatoren, die Kundendaten verschleiern können,
• sogenannte „Transfer-Stationen“ – Proxy-Dienste, die geografische Sperren, Schutzvorkehrungen, Nutzungsbedingungen und die Nachverfolgbarkeit umgehen sollen. 1

Zusätzlich werden Großeinkäufe und das Teilen kostenpflichtiger Abonnements, automatisches Ausweichen auf andere Zugangswege bei Sperrungen, das Extrahieren von Chain-of-Thought-Ausgaben sowie Testsysteme zur Erkennung veränderter Modellantworten genannt. 1

Die bereitgestellten Quellen belegen die Erwähnung solcher grauen Proxy- beziehungsweise „Transfer-Station“-Dienste. Sie belegen jedoch nicht unabhängig die im Ausgangsfall genannten konkreten Marktplätze Taobao und Xianyu.

Welche Kampagnen DeepSeek, Moonshot AI und Alibaba zugeschrieben werden

DeepSeek soll laut Warnmeldung Ende 2024 eine organisierte Kampagne begonnen haben, um synthetische Trainingsdaten für die Modelle R1 und V3 zu erzeugen. Ziel seien Fähigkeiten in Schlussfolgerungen, Fachwissen und spezialisierten Funktionen gewesen – auch, um Forschungs- und Rechenkosten zu senken. 1

Die Behörden führen unter anderem Optimierung für juristische Spezialaufgaben, regelbasierte API-Aufgaben, Entwürfe mit Chain-of-Thought, agentische Funktionen, Frage-Antwort-Optimierung, Coaching- und Assistenzfunktionen, Funktionsentwicklung, überwachtes Fine-Tuning sowie kreatives und berufliches Schreiben auf. 1 DeepSeek soll dabei Ausgaben von Claude-, Gemini-, GPT- und Grok-Varianten genutzt haben. Die veröffentlichte Trainingskostenzahl von 5,6 Millionen US-Dollar lasse nach Darstellung der Behörden den Wert der mutmaßlich durch Destillation gewonnenen Daten außen vor. 1

Moonshot AI wird eine breit angelegte Kampagne seit Mitte 2025 zugeschrieben. Dabei sollen erhebliche Datenmengen aus Claude Fable 5 für Kimi-K3 sowie GPT-4o-Daten für Kimi-K2 verwendet worden sein. Angestrebt worden seien Fähigkeiten für überwachtes Fine-Tuning, Reinforcement Learning, Softwareentwicklung und Mathematik. 1

Alibaba soll KI-Destillation im industriellen Maßstab eingesetzt haben, um seine Qwen-Modellfamilie zu verbessern. 1

MiniMax, StepFun und Z.AI werden ebenfalls allgemein der missbräuchlichen Destillation von US-Modellen beschuldigt. Für MiniMax enthält das vorliegende Quellenmaterial allerdings keine eigenständige Kampagnenbeschreibung, kein konkretes Modell und keine detaillierte Zuordnung von Fähigkeiten. 1

Welche Gegenmaßnahmen die Behörden empfehlen

Die drei US-Behörden empfehlen KI-Anbietern vor allem drei unmittelbare Schritte: 1

1. Auffälligkeiten erkennen und eindämmen: Anbieter sollen verdächtige Prompts, Konten, Netzwerke und Nutzungsmuster identifizieren. Als Warnsignale nennt die Meldung etwa ungewöhnlich hohe Abonnement-zu-Nutzungs-Verhältnisse, sofortige Maximalnutzung bei neuen Konten und Durchsatz auf Unternehmensniveau. 1

2. Antworten gezielt verändern: Bei vermuteten Extraktionsversuchen könnten Modellantworten subtil angepasst werden. Das soll den Nutzen für eine Destillationskampagne verringern, ohne die Methode zur Erkennung offenzulegen. 1

3. Informationen branchenübergreifend teilen: Modellanbieter, Cloud-Plattformen und API-Aggregatoren sollen Aktivitäten gemeinsam abgleichen. So ließen sich Kampagnen aufdecken, die absichtlich über verschiedene Anbieter und Zugangswege verteilt werden. 1

CISA verweist darüber hinaus auf freiwilligen Austausch von Informationen zur KI-Cybersicherheit zwischen Behörden und Industriepartnern. 4

Was die vorliegenden Quellen nicht belegen

Die bereitgestellten Quellen enthalten keine offizielle Reaktion Chinas und keine Aussage der Sprecherin des chinesischen Außenministeriums, Mao Ning. Ebenso belegen sie nicht die konkret behauptete Verbindung zu geplanten US-chinesischen Gesprächen über KI-Sicherheit Mitte September oder eine angebliche Annäherung der Leistungsfähigkeit chinesischer und US-amerikanischer Modelle.

Auch die Behauptung, Google habe Kampagnen mit mehr als 100 Millionen Prompts festgestellt, wird durch das hier vorliegende Quellenmaterial nicht unabhängig gestützt.