Chińscy badacze wojskowi uczą własne systemy AI na odpowiedziach OpenAI i Anthropic

Sama technika ma legalne zastosowania, między innymi zmniejsza koszty działania modeli i ułatwia ich uruchamianie na słabszym sprzęcie. Problem pojawia się wtedy, gdy publiczny dostęp do modelu służy do masowego pozyskiwania jego możliwości bez zgody twórcy. W takim scenariuszu API staje się swego rodzaju czarną skrzynką, z której ktoś próbuje odtworzyć funkcjonalność komercyjnego systemu.

Co ustaliła analiza Reutersa?

Opublikowana 31 lipca 2026 roku analiza Reutersa, przygotowana na podstawie ponad 80 chińskich artykułów naukowych i patentów oraz materiałów zebranych we współpracy z waszyngtońską Jamestown Foundation, wykazała szerokie wykorzystanie odpowiedzi modeli firm OpenAI i Anthropic przez badaczy powiązanych z chińską armią i strukturami bezpieczeństwa .

Dokumenty wskazują na prace nad systemami przeznaczonymi między innymi do:

• nadzoru i rozpoznania — automatyzacji analizy wywiadowczej oraz danych z obserwacji ;
• cyberwojny — narzędzi do automatyzacji działań ofensywnych i defensywnych ;
• operacji z użyciem dronów — autonomicznych rojów i systemów wspierających decyzje taktyczne ;
• zastosowań w pojazdach wojskowych — państwowy koncern obronny Norinco wdrożył pojazd napędzany systemem DeepSeek, który miał wykonywać autonomiczne zadania wsparcia bojowego z prędkością do 50 km/h .

W jednym z dokumentów jednostka Chińskiej Armii Ludowo-Wyzwoleńczej o numerze 96904 opisała destylację amerykańskich modeli jako sposób na stworzenie „mniejszych i bezpieczniejszych” wersji przeznaczonych do zastosowań obronnych . Z kolei publikacja badaczy z jednostki 96941, związanej z wywiadem wojskowym i cyberwojną w Pekinie, opisywała wykorzystanie GPT-3.5 firmy OpenAI do przetwarzania wrażliwego wojskowego kodu źródłowego. W artykule z 2024 roku naukowcy z Narodowego Uniwersytetu Technologii Obronnych PLA opisali natomiast zmniejszenie modelu przetwarzającego obrazy tak, aby można go było uruchomić na sprzęcie o ograniczonych zasobach .

Dlaczego Chinom opłaca się korzystać z tej metody?

Największą zaletą destylacji jest oszczędność czasu i pieniędzy. Budowa modelu czołowego od podstaw wymaga ogromnych zbiorów danych, zaawansowanych chipów, wieloletnich prac badawczo-rozwojowych i nakładów liczonych w miliardach dolarów. Destylacja pozwala ominąć znaczną część tego procesu .

Model powstały w ten sposób może być mniejszy, tańszy w utrzymaniu i łatwiejszy do wdrożenia na lokalnym sprzęcie. Ma to szczególne znaczenie w zastosowaniach wojskowych, gdzie system nie zawsze może polegać na stałym połączeniu z dużym centrum obliczeniowym.

Amerykańskie firmy twierdzą, że część chińskich podmiotów prowadziła takie działania na skalę przemysłową. Według dochodzenia Anthropic wykorzystano ponad 16 mln interakcji wygenerowanych za pośrednictwem około 24 tys. fałszywych kont, aby pozyskać możliwości Claude'a związane z rozumowaniem agentowym, obsługą narzędzi i programowaniem. Za ponad 13 mln tych interakcji miała odpowiadać chińska firma AI MiniMax . Materiały przedstawione przez OpenAI opisywały wieloetapowe schematy obejmujące wiele kont API, sieci proxy i naśladowanie typowych zachowań użytkowników w celu utrudnienia wykrycia .

Rosnący spór między amerykańskimi firmami a Chinami

Zarzuty dotyczące nieuprawnionej destylacji doprowadziły do serii działań i ostrzeżeń:

• Luty 2026 roku: OpenAI, Anthropic i Google opublikowały informacje o skoordynowanych kampaniach przypisywanych chińskim firmom DeepSeek, Moonshot AI i MiniMax . Anthropic określił je mianem celowych „ataków destylacyjnych” .
• Kwiecień 2026 roku: podczas wysłuchania w komisji Izby Reprezentantów USA omawiano memorandum OpenAI opisujące „wyrafinowane, wieloetapowe” procesy pozyskiwania danych .
• Czerwiec 2026 roku: Anthropic oskarżył Alibabę o największy znany przypadek pozyskiwania możliwości Claude'a; według firmy kampania trwała od 22 kwietnia do 5 czerwca .
• Lipiec 2026 roku: sekretarz skarbu USA Scott Bessent ostrzegł przed możliwymi sankcjami po oskarżeniu chińskiego laboratorium Moonshot o destylowanie modelu Kimi K3 z zaawansowanego modelu Fable 5 firmy Anthropic . Amerykańskie Biuro Przemysłu i Bezpieczeństwa bada również, czy chińskie przedsiębiorstwa nie uzyskują nielegalnego dostępu do zaawansowanych chipów .

Destylacja nie tworzy modelu lepszego od oryginału

Technika jest skutecznym skrótem, ale ma istotne ograniczenia:

• Sufit możliwości: model „uczeń” zasadniczo nie powinien przewyższać modelu „nauczyciela”. Przejmuje jego mocne strony, ale także luki w wiedzy, błędne wzorce i ograniczenia .
• Utrata jakości przy kolejnych etapach: każda następna generacja destylacji może tracić część precyzji. Słabnąć mogą między innymi umiejętność prowadzenia szczegółowego rozumowania, wiedza rzadka oraz subtelne mechanizmy dostrajania bezpieczeństwa .
• Osłabienie zabezpieczeń: badania akademickie wskazują, że destylacja z wykorzystaniem tzw. miękkich etykiet może obniżać poziom zabezpieczeń modelu ucznia nawet o 50 punktów procentowych względem modelu nauczyciela, przy zachowaniu jego użyteczności w zadaniach . Modele destylowane mogą nie odtwarzać solidnych mechanizmów odmowy i treningu ukierunkowanego na nieszkodliwość . Anthropic ostrzega, że nielegalnie destylowane systemy mogą nie mieć zabezpieczeń koniecznych do ograniczania zastosowań związanych między innymi z bronią biologiczną i złośliwymi działaniami cybernetycznymi .
• Trudność w obronie: testowane metody, takie jak modyfikowanie odpowiedzi, zatruwanie danych i limity zapytań, nie zawsze są skuteczne wobec zdeterminowanych podmiotów korzystających z wielu kont, sieci proxy i rozproszonych schematów pozyskiwania danych .

Dlaczego osłabienie zabezpieczeń jest szczególnie groźne w wojsku?

Połączenie skopiowanych możliwości z mniejszą liczbą ograniczeń bezpieczeństwa może zwiększać ryzyko proliferacji niebezpiecznych systemów AI. Model pozbawiony części zabezpieczeń może zostać dostosowany do zastosowań wojskowych i inwigilacyjnych, których firmy tworzące oryginalne systemy wyraźnie zabraniają w swoich warunkach korzystania .

Dodatkowym problemem jest trudność z przypisaniem odpowiedzialności. Intensywne korzystanie z API może wyglądać podobnie jak zwykła aktywność użytkownika, a odróżnienie masowego pozyskiwania danych od legalnych zastosowań wymaga analizy wzorców zachowania, tożsamości i sieci .

W marcu 2026 roku Anthropic umieścił w Claude Code kod śledzący, który miał pomóc identyfikować użytkowników z Chin i wykrywać próby destylacji . Takie działania pokazują, że konkurencja technologiczna przekształca się w coraz bardziej bezpośredni konflikt bezpieczeństwa, w którym każda strona może traktować aktywność drugiej jako potencjalnie wrogą .

Co to oznacza dla relacji USA–Chiny?

Spór o destylację może przyspieszyć rozdzielanie się amerykańskiego i chińskiego ekosystemu AI. Na stole znajdują się ostrzejsze kontrole eksportu zaawansowanych chipów, bardziej restrykcyjny dostęp do API, wymogi weryfikacji tożsamości użytkowników oraz potencjalne sankcje finansowe .

Strategiczne znaczenie sprawy wykracza jednak poza pytanie, kto ma dostęp do konkretnego modelu. Destylacja pokazuje, że przewaga w AI może być częściowo przenoszona przez sam interfejs API — bez dostępu do kodu źródłowego i wag modelu. Dla Stanów Zjednoczonych oznacza to ryzyko utraty części przewagi wynikającej z kosztownych inwestycji w badania, dane i infrastrukturę obliczeniową .

Dla bezpieczeństwa międzynarodowego najbardziej niepokojący jest scenariusz, w którym skopiowane możliwości trafiają do mniejszych, mniej przejrzystych i słabiej zabezpieczonych systemów wojskowych. Wtedy technologia, która miała przyspieszać i upraszczać rozwój AI, może jednocześnie zwiększać tempo zbrojeń oraz ryzyko błędów, nadużyć i niekontrolowanej eskalacji.