NSA, CISA і ФБР заявили про промислове «дистилювання» американських AI-моделей

Спільне кібербезпекове попередження NSA, CISA та ФБР звинувачує шість китайських AI-компаній у системному вилученні закритих можливостей передових американських моделей шляхом масштабного дистилювання знань. Це технологія, за якої слабшу модель навчають на відповідях сильнішої; сама по собі вона є легітимним методом машинного навчання. Однак відомства стверджують, що в цьому разі йшлося про цілеспрямоване й агресивне вилучення пропрієтарних функцій у промисловому масштабі. Це саме звинувачення від американських органів, а не встановлений судом факт. 12

У чому полягають звинувачення

За даними advisory, щонайменше з кінця 2024 року DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun і Z.AI нібито отримали мільярди токенів через мільйони взаємодій із варіантами Claude, GPT, Gemini та Grok. Відомства припускають, що ця діяльність відбувалася за обізнаності китайської влади. 1

Ймовірними каналами доступу названо власні API постачальників моделей, віддалених хмарних провайдерів і сторонніх агрегаторів, здатних приховувати метадані клієнта. Також у документі згадані проксі-сервіси на кшталт «трансферних станцій», які, за версією відомств, використовували для обходу географічних обмежень, запобіжників, умов користування та механізмів відстеження. 1

Попередження також описує ймовірні масові закупівлі та спільне використання преміумпідписок, автоматичне перемикання між маршрутами доступу після блокування, вилучення ланцюжків міркувань (chain of thought) і системи оцінювання, призначені для виявлення захисних змін у відповідях моделей. 1

Наявні матеріали підтверджують згадку про сіру інфраструктуру «трансферних станцій», але не дають незалежних доказів щодо конкретних маркетплейсів Taobao та Xianyu, названих у запиті.

Що приписують окремим компаніям

DeepSeek

Відомства заявили, що DeepSeek з кінця 2024 року нібито вела організовану кампанію зі створення синтетичних навчальних даних для моделей R1 і V3. Її метою, за твердженням advisory, були здатність до міркування, галузеві знання та спеціалізовані функції — зокрема для зменшення витрат на дослідження й обчислення. 1

Документ перелічує оптимізацію юридичної спеціалізації, завдань за правилами API, чернеток ланцюжків міркувань, агентних функцій, відповідей на запитання, функцій помічника або коуча, створення функцій, контрольованого донавчання, а також творчого й професійного письма. 1

За версією американських органів, DeepSeek використовувала виходи варіантів Claude, Gemini, GPT і Grok. Також вони стверджують, що публічно названі DeepSeek витрати на навчання у 5,6 млн доларів не враховували вартості даних, нібито отриманих унаслідок такого дистилювання. 1

Moonshot AI

Moonshot AI, за твердженням advisory, із середини 2025 року проводила широку кампанію: значний обсяг даних Claude Fable 5 нібито використали для Kimi-K3, а дані GPT-4o — для Kimi-K2. 1

Компанія, за оцінкою відомств, прагнула отримати можливості для контрольованого донавчання, навчання з підкріпленням, розробки програмного забезпечення та математики. 1

Alibaba, MiniMax, StepFun і Z.AI

Alibaba звинуватили в промисловому дистилюванні для поліпшення сімейства моделей Qwen. 1

Щодо MiniMax, StepFun і Z.AI advisory висуває загальне твердження про шкідливе дистилювання американських моделей. Водночас надані джерела не містять окремого опису кампанії MiniMax, конкретної моделі чи переліку можливостей, які їй приписують. 1

Який захист рекомендують AI-компаніям

NSA, CISA та ФБР закликали компанії діяти за трьома напрямами. 1

1. Виявляти та обмежувати аномалії. Відстежувати підозрілі запити, облікові записи, мережі й поведінкові патерни. Серед індикаторів — непропорційно високе співвідношення підписки до реального використання, негайне використання нового акаунта на максимальній потужності та пропускна здатність, характерна для великих підприємств. 1

2. Вибірково змінювати відповіді. Для підозрілих спроб вилучення можна непомітно модифікувати відповіді моделі, знижуючи їхню цінність для кампанії дистилювання й водночас не розкриваючи спосіб виявлення. 1

3. Обмінюватися даними в межах екосистеми. Постачальникам моделей, хмарним платформам та API-агрегаторам рекомендовано співвідносити сигнали активності, щоб виявляти кампанії, навмисно розподілені між різними провайдерами та каналами доступу. 1

Окремі рекомендації CISA також підтримують добровільний обмін інформацією про кіберзагрози, пов’язані зі штучним інтелектом, між державними структурами й учасниками галузі. 4

Що не підтверджують надані джерела

У наданих матеріалах немає офіційної відповіді Китаю або заяви речниці МЗС КНР Мао Нін. Вони також не підтверджують зв’язок цього попередження із запланованими американо-китайськими переговорами щодо безпеки ШІ в середині вересня, твердження про скорочення розриву в продуктивності моделей або повідомлення про кампанії з понад 100 млн запитів, які нібито виявила Google. Тому робити висновки з цих пунктів лише на підставі доступного пакета джерел не можна.