Viranomaisvaroitus: kiinalaisyhtiöiden väitetään irrottaneen miljardeja tokeneita yhdysvaltalaisista AI-malleista

Yhdysvaltain kansallisen turvallisuusviraston NSA:n, kyberturvallisuusvirasto CISA:n ja liittovaltion poliisin FBI:n yhteinen kyberturvallisuusohje väittää, että kuusi Kiinassa toimivaa tekoälyyhtiötä on tehnyt yhdysvaltalaisten huippumallien ominaisuuksien irrottamisesta keskeisen osan tuotekehitystään. Viranomaiset eivät kuvaa toimintaa tavanomaiseksi, tutkimuksessa hyväksytyksi mallidistillaatioksi, vaan kohdennetuksi ja teollisen mittakaavan kampanjaksi. Kyse on viranomaisten esittämistä väitteistä, ei oikeudellisesti ratkaistuista havainnoista. 12

Mitä yhtiöiden väitetään tehneen?

Ohjeistuksen mukaan DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun ja Z.AI ovat ainakin loppuvuodesta 2024 lähtien irrottaneet miljardeja tokeneita miljoonien vuorovaikutusten kautta. Kohteina olivat Clauden, GPT:n, Geminin ja Grokin eri versiot. Viranomaiset arvioivat toiminnan tapahtuneen todennäköisesti Kiinan hallinnon tietäen. 1

Mallidistillaatiossa vähemmän kyvykästä mallia koulutetaan kehittyneemmän mallin vastauksilla. Tekniikka itsessään on hyväksytty koneoppimisen menetelmä. Tässä tapauksessa viranomaiset väittävät, että menetelmää käytettiin suojattujen, omistusoikeudellisten toimintojen ja kyvykkyyksien kopioimiseen mittakaavassa, joka teki siitä kehitysstrategian ytimen. 12

Väitettyihin pääsyreitteihin kuuluivat mallipalvelujen omat ohjelmointirajapinnat eli API:t, etäpilvipalvelut sekä kolmannen osapuolen välittäjät, jotka voivat hämärtää asiakkaan tunnistetietoja. Ohjeistus mainitsee myös niin sanotut siirtoasemapalvelut, käytännössä välityspalvelimet, joilla olisi pyritty kiertämään maantieteellisiä rajoituksia, suojauksia, käyttöehtoja ja jäljitettävyyttä. 1

Viranomaisten mukaan toimintaan saattoi kuulua premium-tilausten ostaminen ja jakaminen suurina määrinä, automaattinen siirtyminen vaihtoehtoiseen pääsyreittiin eston jälkeen, mallien päättelyketjujen poimiminen sekä arviointijärjestelmät, joilla etsittiin muutoksia mallien puolustavissa vastauksissa. 1

DeepSeekin väitetty kampanja

NSA:n, CISA:n ja FBI:n mukaan DeepSeek käynnisti loppuvuodesta 2024 järjestäytyneen kampanjan luodakseen synteettistä koulutusdataa R1- ja V3-malleilleen. Tavoitteena väitetään olleen päättelykyvyn, alakohtaisen tiedon ja erikoistoimintojen kehittäminen sekä tutkimus- ja laskentakustannusten pienentäminen. 1

Ohjeistuksessa luetellaan kohteiksi muun muassa juridisiin tehtäviin erikoistuminen, sääntöpohjaiset API-tehtävät, päättelyketjujen luonnostelu, agenttitoiminnot, kysymys–vastaus-optimointi, valmentaja- ja avustajaominaisuudet, toimintojen luominen, ohjattu hienosäätö sekä luova ja ammatillinen kirjoittaminen. 1

Viranomaisten mukaan DeepSeek hyödynsi väitetysti Claude-, Gemini-, GPT- ja Grok-varianttien tuottamia vastauksia. Ne myös väittävät, että DeepSeekin julkisuudessa esittämä 5,6 miljoonan dollarin koulutuskustannus ei sisältänyt väitetyn distillaation avulla saadun datan kustannusta tai arvoa. 1

Moonshot AI ja Alibaba

Moonshot AI:n väitetään toteuttaneen laajaa kampanjaa vuoden 2025 puolivälistä alkaen. Ohjeistuksen mukaan Kimi-K3-mallissa käytettiin merkittävästi Claude Fable 5:stä saatua dataa ja Kimi-K2:ssa GPT-4o:sta saatua dataa. Viranomaiset väittävät yhtiön tavoitelleen etenkin ohjatun hienosäädön, vahvistusoppimisen, ohjelmistokehityksen ja matematiikan kyvykkyyksiä. 1

Alibaban taas väitetään käyttäneen teollisen mittakaavan distillaatiota Qwen-malliperheensä parantamiseen. 1

MiniMaxin, StepFunin ja Z.AI:n viranomaiset väittävät myös osallistuneen yhdysvaltalaisten mallien haitalliseksi luonnehtimaansa distillaatioon. Toimitetussa aineistossa ei kuitenkaan eritellä MiniMaxille omaa kampanjaa, mallia tai tarkempaa kyvykkyyskohdetta yleisväitettä pidemmälle. 1

Kolme torjuntakeinoa AI-palveluille

Ohjeistus kehottaa mallien kehittäjiä ja palveluntarjoajia toimimaan kolmella rintamalla: 1

1. Tunnista ja hillitse poikkeava käyttö. Palvelujen tulisi havaita haitalliset kehotteet, tilit, verkot ja käyttäytymismallit. Seurattavia merkkejä ovat esimerkiksi poikkeuksellisen suuri tilausten ja todellisen käytön suhde, uuden tilin välitön maksimikäyttö sekä yritystason läpimenomäärät. 1

2. Muuta vastauksia valikoivasti. Jos irrottamisyritys vaikuttaa todennäköiseltä, mallin vastauksia voidaan hienovaraisesti muuttaa niin, että niistä on vähemmän hyötyä koulutusdatana. Tavoitteena on tehdä tämä paljastamatta välttämättä sitä, millä keinolla yritys havaittiin. 1

3. Jaa havaintoja koko ekosysteemissä. Mallitoimittajien, pilvipalvelujen ja API-välittäjien tulisi yhdistää havaintojaan. Näin voidaan paljastaa kampanjoita, jotka on tarkoituksella hajautettu useiden palveluntarjoajien ja pääsyreittien kesken. 1

CISA:n laajempi yhteistyöohjeistus tukee AI:hin liittyvien kyberturvallisuustietojen vapaaehtoista vaihtoa viranomaisten ja alan toimijoiden välillä. 4

Toimitetuissa lähteissä ei ole riittävästi näyttöä Kiinan virallisesta vastauksesta, ulkoministeriön tiedottajan Mao Ningin kommenteista, mahdollisista pakote- tai Entity List -toimista eikä väitetystä yhteydestä Yhdysvaltain ja Kiinan AI-turvallisuusneuvotteluihin. Niissä ei myöskään itsenäisesti vahvisteta väitettä Googlen havaitsemista yli 100 miljoonan kehotteen kampanjoista.