NSA, CISA и ФБР заявили о промышленной «дистилляции» американских ИИ-моделей

Совместный бюллетень АНБ США (NSA), Агентства по кибербезопасности и защите инфраструктуры (CISA) и ФБР обвиняет DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun и Z.AI в систематическом извлечении закрытых возможностей передовых американских ИИ-моделей. Ведомства считают, что такая дистилляция — обучение одной модели на ответах другой, более мощной, — была для этих компаний не побочным приёмом, а одной из центральных частей стратегии разработки. Это именно обвинения американских ведомств, а не вывод суда. 12

В чём состоит обвинение

Согласно бюллетеню, как минимум с конца 2024 года названные компании могли получить миллиарды токенов в ходе миллионов взаимодействий с вариантами Claude, GPT, Gemini и Grok. Американские ведомства полагают, что это происходило, вероятно, с ведома китайского государства. 1

Предполагаемые каналы доступа включали собственные API поставщиков моделей, удалённых облачных провайдеров и сторонних агрегаторов, скрывающих сведения о клиенте. Отдельно упомянуты серые прокси-сервисы — так называемые «трансферные станции», которые, по версии авторов бюллетеня, помогали обходить географические ограничения, защитные механизмы, условия использования и отслеживание происхождения запросов. 1

Также ведомства заявили о массовой покупке и совместном использовании платных подписок, автоматическом переключении на альтернативные маршруты доступа после блокировок, извлечении цепочек рассуждений и применении систем оценки, способных замечать изменения в защитных ответах моделей. 1

В представленных материалах подтверждается упоминание серых «трансферных станций», но нет независимого подтверждения конкретных маркетплейсов Taobao и Xianyu.

Что приписывают отдельным компаниям

DeepSeek

По версии ведомств, DeepSeek с конца 2024 года вела организованную кампанию по созданию синтетических данных для обучения R1 и V3. Заявленная цель — получить навыки рассуждения, отраслевые знания и специализированные функции, сократив расходы на исследования и вычислительные ресурсы. 1

В бюллетене перечислены такие предполагаемые направления оптимизации, как юридическая специализация, задачи с правилами API, подготовка черновиков цепочек рассуждений, агентные функции, оптимизация ответов на вопросы, функции помощника и наставника, создание функций, контролируемая тонкая настройка, а также творческое и профессиональное письмо. 1

Авторы документа утверждают, что использовались ответы вариантов Claude, Gemini, GPT и Grok. Они также отмечают: публично названная DeepSeek сумма в 5,6 млн долларов на обучение не учитывает стоимость или ценность данных, которые, как предполагается, были получены через дистилляцию. 1

Moonshot AI

Moonshot AI, как утверждается, с середины 2025 года проводила масштабную кампанию. Ведомства связывают значительный объём данных Claude Fable 5 с Kimi-K3, а данные GPT-4o — с Kimi-K2. 1

Предполагаемыми целями названы возможности для контролируемой тонкой настройки, обучения с подкреплением, разработки программного обеспечения и решения математических задач. 1

Alibaba, MiniMax, StepFun и Z.AI

Alibaba обвиняется в промышленной дистилляции для улучшения семейства моделей Qwen. 1

В отношении MiniMax, StepFun и Z.AI бюллетень также выдвигает общее утверждение о злонамеренной дистилляции американских моделей. При этом в представленных источниках нет отдельного описания кампании MiniMax, конкретной модели или перечня возможностей, которые ей вменяются.

Какие меры защиты рекомендуются

Ведомства предложили поставщикам ИИ принять три первоочередные меры. 1

1. Выявлять и ограничивать аномальную активность. Следить за вредоносными запросами, учётными записями, сетями и поведенческими паттернами. В числе индикаторов названы необычно высокое соотношение подписок и фактического использования, немедленная максимальная нагрузка с новых аккаунтов и пропускная способность, характерная для крупного предприятия. 1

2. Избирательно менять ответы. При подозрении на попытку извлечения возможностей модели можно незаметно модифицировать её ответы, снижая их ценность для кампании дистилляции и не раскрывая способ обнаружения. 1

3. Обмениваться данными об угрозах. Поставщикам моделей, облачным платформам и API-агрегаторам предлагается сопоставлять информацию, чтобы выявлять кампании, намеренно распределённые между разными сервисами и маршрутами доступа. 1

Отдельное руководство CISA также поддерживает добровольный обмен информацией об угрозах безопасности ИИ между государственными органами и участниками индустрии. 4

Чего не подтверждают доступные материалы

Предоставленные источники не содержат официальной позиции Китая или заявления представителя МИД КНР Мао Нин. В них также нет подтверждённой информации о связи спора с планировавшимися на середину сентября американо-китайскими переговорами по безопасности ИИ, о сокращении разрыва в возможностях моделей США и Китая либо о сообщении Google относительно кампаний объёмом свыше 100 млн запросов.