Anthropic hat nach eigenen Angaben mehrere groß angelegte, industrielle Destillationsangriffe auf sein KI-Modell Claude aufgedeckt und unterbrochen. Die Angriffe gingen von sieben Laboren in China aus, darunter Alibaba, Moonshot, DeepSeek, Z.ai (auch bekannt als Zhipu) und MiniMax. Das Unternehmen bezeichnet die Kampagnen als die bislang größten und ausgeklügeltsten Versuche, die Fähigkeiten eines westlichen Frontier-Modells unrechtmäßig zu extrahieren und nachzubauen.
Bei der sogenannten Wissensdestillation (Knowledge Distillation) handelt es sich grundsätzlich um eine legitime Trainingsmethode für maschinelles Lernen. Dabei fungiert ein großes, leistungsstarkes KI-Modell als „Lehrer“, um ein kleineres, weniger leistungsfähiges oder schnelleres „Schülermodell“ zu trainieren und dessen Fähigkeiten zu kopieren. Die illegale Destillation hingegen ist eine industriell betriebene Kampagne, bei der die Fähigkeiten eines Modells heimlich extrahiert und ohne Genehmigung in einem anderen Modell repliziert werden. Typischerweise kommen dabei Netzwerke aus gefälschten Konten zum Einsatz, die mit gestohlenen Kreditkarten, Anmeldedaten und API-Schlüsseln erstellt wurden.
Westliche Frontier-KI-Labore, darunter die von Google und OpenAI, haben wiederholt auf Destillationsangriffe gegen ihre Modelle hingewiesen. Anthropic betont, dass die nicht autorisierten Labore „zunehmend ausgeklügelte Methoden“ anwenden, um die Abwehrmechanismen zu umgehen und die Fähigkeiten von Claude zu ernten – darunter agentische Fähigkeiten und Tool-Nutzung, Programmierung, Datenanalyse und logisches Schlussfolgern – und das durch Tricks mit Prompt-Manipulation. „DeepSeek, Xiaomi und Moonshot speisten Gespräche zwischen ihren eigenen Modellen und ihren Nutzern in Claude ein“, erklärte Anthropic. „Diese Labore verwendeten dann Claudes Antworten als Trainingsdaten, um die Fähigkeiten von Claude zu destillieren. Einige dieser Austausche enthielten sensible Informationen, darunter von einzelnen Nutzern, großen multinationalen Unternehmen und staatlich verbundenen Akteuren.“
Das KI-Unternehmen stellte fest, dass diese Labore in der Regel über Proxy-Dienste, auch als Transfer- oder Relaisstationen bezeichnet, auf seine Modelle zugreifen. Diese Dienste erzeugen tausende neuer Konten unter fiktiven Identitäten, mit gefälschten oder gestohlenen Kreditkarten sowie illegal erworbenen API-Schlüsseln, die legitimen Unternehmen oder Personen gehören. Laut Anthropic beschaffen sich nicht autorisierte KI-Labore auch Transkripte von Nutzer-Austauschen mit US-Frontier-Modellen von Drittanbietern, die solche Gespräche ohne Wissen oder Zustimmung der Nutzer speichern. „In anderen Fällen leiteten nicht autorisierte Labore Anfragen ihrer Nutzer ohne deren Wissen oder Erlaubnis an Claude um, um die Austausche zwischen Nutzern und Claude für das Training zu ernten“, so Anthropic.
Seit Februar 2026 hat das Unternehmen sechs illegale Destillationskampagnen identifiziert, die von chinesischen KI-Laboren durchgeführt wurden, um ihre eigenen Modelle voranzubringen:
Die sechs identifizierten Destillationskampagnen im Detail
GTG-16005 (151 Millionen Austausche zwischen Mai und Juli 2026): Ein Cluster von Betreibern, die mit Alibaba in Verbindung stehen, zielte auf die Chain-of-Thought- (CoT) Reasoning-Transkripte von Claude Opus 4.6 und 4.7 ab. Dies wurde als der „größte Destillationsangriff, den wir je gemessen haben“, bezeichnet. Auf dem Höhepunkt wurden rund drei Millionen Austausche pro Tag von über 3.500 betrügerischen Konten aus gestartet, die auf agentische Aufgaben, Softwareentwicklung, Kernelentwicklung und Langzeitaufgaben abzielten.
GTG-16002 (23 Millionen Austausche zwischen Mai und Juli 2026): Moonshot AI leitete heimlich Kundenanfragen an Claude um, anstatt sie mit Kimi zu verarbeiten, und zeigte den Nutzern anschließend die Antworten von Claude. Parallel dazu wurde ein Teil dieser Austausche erfasst und gespeichert, um das eigene CoT-Modell zu trainieren. Über einen Zeitraum von zehn Tagen leitete Moonshot fast 300.000 Kundenanfragen über ein Proxy-Dienstnetzwerk mit 5.380 betrügerischen Konten an Anthropic weiter, die meisten davon in Singapur und Japan.
GTG-16001 (mehr als 12,1 Millionen Austausche über 14 Tage im Juli 2026): DeepSeek wandte denselben Ansatz wie Moonshot an, leitete Austausche stillschweigend an Claude weiter, ohne seine Kunden zu informieren, und extrahierte CoT-Transkripte.
GTG-16006 (mehr als 3,4 Millionen Austausche über 17 Tage im Juni und Juli 2026): Zhipu (alias Z.ai) betrieb eine CoT-Extraktionspipeline und spielte Claudes Reasoning-Spuren erneut in Claude ein, um seine Modelle zu trainieren. Die Aktivität erfolgte durch Rotation über 273 betrügerische Konten.
GTG-16008 (mehr als 400.000 Austausche über 20 Tage im März und April 2026): Xiaomi spielte Nutzerkonversationen und Codierungs-Sitzungen aus seinen eigenen MiMo-Modellen über die Codierungs-Harnesses OpenClaw und OpenCode in Claude ein, um Trainingsdaten für zukünftige Modelle zu verstärken.
GTG-16012: SenseTime kaufte Transkripte von Nutzer-Austauschen mit Claude von Drittanbieter-Datenhändlern.
GTG-16003: MiniMax baute über eine Briefkastenfirma seinen eigenen Proxy-Dienst auf, der Zugang zu Modellen von Anthropic und OpenAI anbot, vermutlich um Austausche zwischen Nutzern und US-Frontier-Modellen zu sammeln und damit seine Modelle zu trainieren.
Anthropic betont: „Die Verbreitung von Proxy-Diensten, um die Zugangsbeschränkungen von Anthropic zu umgehen, hat einen Sekundärmarkt geschaffen, über den Labore geerntete Austausche zwischen Nutzern und Claude kaufen oder anderweitig erwerben können. Einige Proxy-Netzwerke bieten sowohl Nutzern in nicht unterstützten Regionen Zugang zu Claude als auch speichern Austausche, um sie an andere Labore zu verkaufen.“
Um illegale Destillation zu bekämpfen, sperrt das Unternehmen Reseller-Konten oder Konten, die aus nicht unterstützten Regionen wie China, Iran und Russland operieren, wenn die Nutzer ihre Identität nicht verifizieren. Um es nicht autorisierten Laboren zu erschweren, Claudes Fähigkeiten zu destillieren, wurde das Modell aktualisiert: Es fasst seine internen Überlegungen vor der Antwort zusammen, wodurch gestohlene Transkripte für das Training weniger nützlich werden. „Mit Fable 5.1 haben wir preserved thinking eingeführt, das verhindert, dass neue API-Konten den System-Prompt, die Tools oder die Nachrichten ändern, die Claudes Reasoning in mehrteiligen Konversationen vorausgehen. Dieses Reasoning ist verschlüsselt, aber die Bearbeitung des Kontexts davor ist eine gängige Technik, die Angreifer einsetzen, um Claude zur Preisgabe zu bewegen.“
Die Enthüllung erfolgt vor dem Hintergrund, dass Anthropic außerdem eine Reihe von Konten sperrte, die versuchten, seine Modelle zur Überwachung eigener Bürger oder zur Erforschung von Krankheiten einzusetzen, die biologische Waffen unterstützen könnten. Erst in dieser Woche beschuldigten US-amerikanische Cybersicherheits- und Geheimdienstbehörden chinesische KI-Unternehmen der „systematischen Extraktion“ von proprietären Funktionen und Fähigkeiten amerikanischer Frontier-Modelle durch Destillationsangriffe.
Die Kampagnen zeigen, dass die Technologie zur Modell-Destillation längst nicht mehr nur eine akademische Methode ist, sondern zu einem strategischen Instrument im globalen KI-Wettbewerb geworden ist. Während die chinesischen Labore offenbar massiv westliche KI-Fähigkeiten nachbauen, verschärft sich die technologische und regulatorische Konfrontation zwischen den USA und China. Für die Zukunft ist absehbar, dass Frontier-Modelle zunehmend mit Schutzmechanismen ausgestattet werden müssen, die nicht nur den direkten Zugriff, sondern auch die indirekte Extraktion über Proxy-Ketten und Datenhändler unterbinden – ein Wettrüsten, das beide Seiten mit immer raffinierteren Methoden führt.
