USA oskarżają sześć chińskich firm AI o masowe pozyskiwanie danych z czołowych modeli

Amerykańskie NSA, CISA i FBI zarzuciły sześciu firmom AI działającym w Chinach — DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun i Z.AI — że prowadziły zakrojone na przemysłową skalę kampanie tzw. destylacji wiedzy. Ich celem miało być systematyczne pozyskiwanie zastrzeżonych funkcji i możliwości czołowych amerykańskich modeli, a nie jedynie dopuszczalne, pomocnicze wykorzystanie destylacji w badaniach nad AI. Są to twierdzenia przedstawione przez amerykańskie agencje, nie zaś ustalenia sądu. 12

Na czym miała polegać operacja

Zgodnie ze wspólnym komunikatem, od co najmniej końca 2024 r. firmy miały uzyskać miliardy tokenów w toku milionów interakcji z wariantami modeli Claude, GPT, Gemini i Grok. Agencje oceniły, że działania te prawdopodobnie odbywały się przy świadomości chińskiego rządu. 1

Destylacja wiedzy jest standardową techniką uczenia maszynowego: słabszy model uczy się na odpowiedziach modelu o większych możliwościach. NSA, CISA i FBI podkreśliły jednak, że w opisywanym przypadku miało chodzić o agresywne i ukierunkowane pozyskiwanie chronionych możliwości modeli amerykańskich. 12

Według doradczego komunikatu wykorzystywano do tego:

• natywne interfejsy API dostawców modeli;
• zdalne usługi chmurowe;
• zewnętrznych agregatorów, którzy mogą zacierać metadane klientów;
• pośredniczące usługi proxy określane jako „transfer stations”, mające pomagać omijać ograniczenia geograficzne, zabezpieczenia, regulaminy i mechanizmy śledzenia aktywności. 1

Agencje wskazały też na rzekome hurtowe kupowanie i współdzielenie płatnych subskrypcji, automatyczne przełączanie między drogami dostępu po zablokowaniu jednej z nich, pozyskiwanie danych dotyczących toku rozumowania oraz systemy testowe służące do wykrywania zmian w odpowiedziach modeli wprowadzanych jako zabezpieczenie. 1

Dostarczone źródła potwierdzają, że komunikat mówi o szarej strefie usług pośredniczących typu „transfer stations”. Nie potwierdzają jednak niezależnie konkretnych platform Taobao i Xianyu wymienionych w pytaniu.

Co przypisano poszczególnym firmom

DeepSeek: dane dla R1 i V3

Według agencji DeepSeek miało prowadzić od końca 2024 r. zorganizowaną kampanię tworzenia syntetycznych danych treningowych dla modeli R1 i V3. Celem miało być pozyskanie zdolności rozumowania, wiedzy specjalistycznej oraz wyspecjalizowanych funkcji, co — według oceny autorów komunikatu — ograniczałoby koszty badań i mocy obliczeniowej. 1

Komunikat wymienia m.in. optymalizację zadań prawniczych, zadań API opartych na regułach, tworzenie szkiców toku rozumowania, funkcje agentowe, optymalizację pytań i odpowiedzi, możliwości asystenckie i coachingowe, tworzenie funkcji, optymalizację dostrajania nadzorowanego oraz teksty kreatywne i zawodowe. 1

Agencje twierdzą, że wykorzystywano odpowiedzi wariantów Claude, Gemini, GPT i Grok. Dodały również, że podawany publicznie przez DeepSeek koszt treningu w wysokości 5,6 mln dolarów nie obejmował kosztu ani wartości danych rzekomo zdobytych w ten sposób. 1

Moonshot AI: modele Kimi-K3 i Kimi-K2

Moonshot AI miało od połowy 2025 r. prowadzić szeroko zakrojoną kampanię. Według komunikatu firma użyła znacznej ilości danych z Claude Fable 5 do rozwoju Kimi-K3, a danych z GPT-4o — do Kimi-K2. 1

Celem miało być pozyskanie możliwości przydatnych w dostrajaniu nadzorowanym, uczeniu ze wzmocnieniem, inżynierii oprogramowania i matematyce. 1

Alibaba, MiniMax, StepFun i Z.AI

Wobec Alibaby agencje wysunęły zarzut destylacji na przemysłową skalę, mającej poprawiać rodzinę modeli Qwen. 1

MiniMax, StepFun i Z.AI również wymieniono jako podmioty mające uczestniczyć w złośliwej destylacji amerykańskich modeli. 1 W przekazanych materiałach brak jednak szczegółowego przypisania MiniMaxowi konkretnej kampanii, modelu albo zestawu pozyskanych możliwości — poza ogólnym zarzutem.

Czego źródła nie potwierdzają

Dostarczony materiał źródłowy nie zawiera oficjalnej odpowiedzi Chin ani wypowiedzi rzeczniczki chińskiego MSZ Mao Ning. Nie dokumentuje też niezależnie deklarowanego powiązania sporu z planowanymi na połowę września rozmowami USA–Chiny o bezpieczeństwie AI ani tezy o zmniejszaniu się różnicy wydajności między modelami chińskimi i amerykańskimi.

Źródła dołączone do pierwotnej odpowiedzi nie potwierdzały również dokładnego ostrzeżenia sekretarza skarbu USA Scotta Bessenta w sprawie sankcji lub wpisów na Entity List. Należy zatem oddzielić te niezweryfikowane w przekazanym pakiecie elementy od ustaleń samego komunikatu NSA, CISA i FBI.

Zalecane działania obronne dla firm AI

Agencje wskazały trzy priorytety dla dostawców modeli i infrastruktury. 1

1. Wykrywanie i ograniczanie anomalii

   Należy oznaczać podejrzane prompty, konta, sieci i zachowania. Wśród sygnałów ostrzegawczych wymieniono nietypowo wysoki stosunek liczby subskrypcji do użycia, natychmiastowe wykorzystanie limitów przez świeżo utworzone konta oraz wolumen zapytań typowy raczej dla przedsiębiorstwa niż pojedynczego użytkownika. 1

2. Selektywna modyfikacja odpowiedzi

   Przy podejrzeniu prób ekstrakcji można subtelnie zmieniać odpowiedzi modelu. Ma to obniżyć wartość danych dla kampanii destylacyjnej, nie ujawniając jednocześnie wprost mechanizmu wykrycia. 1

3. Wymiana informacji w całym ekosystemie

   Dostawcy modeli, platformy chmurowe i agregatorzy API powinni korelować dane o aktywności. Taka współpraca może pomóc ujawnić kampanie rozproszone celowo między różne usługi i ścieżki dostępu. 1

Szersze wytyczne CISA również promują dobrowolną wymianę informacji o zagrożeniach dla AI między administracją i partnerami branżowymi, m.in. w ramach Joint Cyber Defense Collaborative. 4 Przekazane źródła nie potwierdzają natomiast niezależnie doniesienia o kampaniach obejmujących ponad 100 mln promptów, które miał wskazać Google.