NSA, CISA, FBI warnen China-basierte KI-Unternehmen vor dem Destillieren von US‑Frontier‑Modellen

Die National Security Agency, die Cybersecurity and Infrastructure Security Agency und das Federal Bureau of Investigation veröffentlichten am 8. September 2026 eine gemeinsame Cybersicherheitswarnung, in der sie davor warnen, dass China-basierte Unternehmen für künstliche Intelligenz systematisch proprietäre Fähigkeiten aus US‑Frontier‑KI‑Modellen durch industriell skalierte Wissensdestillations‑Kampagnen extrahieren, die seit mindestens Ende 2024 laufen.

In der Warnung, bezeichnet als AA26-251A, erklären die Behörden, dass diese Kampagnen „den Kern bilden – nicht nur ein Zusatz“ der KI‑Entwicklungsstrategie der Unternehmen. Laut der Warnung, vermutlich mit Kenntnis der chinesischen Regierung, haben DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun und Z.AI Milliarden von Tokens aus Millionen von Austausch‑ und Anfragen an US‑Frontier‑Modelle extrahiert, darunter Varianten von Claude, GPT, Gemini und Grok. Die Behörden stellen fest, dass diese Aktivitäten gegen die Nutzungsbedingungen der US‑Unternehmen verstoßen und die technologische Führungsposition der USA gefährden.

Die Ankündigung der Warnung beschreibt Wissensdestillation als eine Machine‑Learning‑Technik, bei der ein weniger leistungsfähiges Modell mit den Ausgaben eines größeren, leistungsfähigeren Modells trainiert wird. Obwohl es sich um ein legitimes Trainingsverfahren handelt, könne es laut CISA missbraucht werden, um Fähigkeiten von Wettbewerbern in kürzerer Zeit und zu geringeren Kosten zu erlangen, als sie rechtmäßig zu entwickeln. „Wir fordern KI‑Unternehmen nachdrücklich auf, sofortige Maßnahmen zu ergreifen, um ihre Plattformen vor Wissensdestillations‑Kampagnen zu schützen, die die Fortschrittslücke zu amerikanischen Unternehmen schließen könnten“, sagte CISA‑Handlungsdirektor Nick Andersen.

Aktivität, die DeepSeek, Moonshot AI und anderen zugeschrieben wird

Laut der Warnung führt DeepSeek seit mindestens Ende 2024 eine organisierte Destillations‑Kampagne gegen US‑Frontier‑Modelle durch, um synthetische Trainingsdaten für seine Modelle zu erzeugen, darunter R1, das Anfang 2025 veröffentlicht wurde. Die Behörden geben an, dass DeepSeek die Fähigkeiten zum logischen Schließen, spezialisierte Optimierungen und domänenspezifische Funktionen ins Visier genommen hat, um Rechen‑ und Forschungskosten zu senken, und dass die öffentlich genannte Trainingskosten von 5,6 Millionen US‑$ irreführend sind, weil sie die Kosten für durch bösartige Destillation erworbene Daten nicht berücksichtigen. Zwischen Ende 2024 und Mitte 2025, so die Warnung, destillierte DeepSeek von Claude 3.7, Claude Sonnet 4, Claude Sonnet 4.5, Claude Opus 4.1, Gemini 2.5 Pro Preview, Gemini 2.5 Flash Preview, GPT‑4, GPT‑4o, GPT‑4 Mini, GPT‑4 Nano, GPT‑5 und Grok 4, um seine R1‑ und V3‑Modelle zu trainieren.

Die Warnung gibt an, dass Moonshot AI seit mindestens Mitte 2025 eine breit angelegte Destillations‑Kampagne durchgeführt hat, bei der umfangreiche Claude‑Fable‑5‑Daten extrahiert wurden, um das Kimi‑K3‑Modell zu trainieren, sowie GPT‑4o‑Daten für das Kimi‑K2‑Modell. Zu den anvisierten Fähigkeiten gehörten überwachte Feinabstimmungs‑Optimierung, Reinforcement Learning, Software‑Engineering und Mathematik, die aus einer Reihe von Claude‑, GPT‑, Gemini‑ und Grok‑Modellen stammen. Moonshot AI nutzte Millionen von Austauschvorgängen, die auf agentisches Schließen und Werkzeugnutzung, Codierung und Datenanalyse, Entwicklung von Computer‑Nutzungs‑Agenten und Computer‑Vision abzielten, so die Warnung.

Ende 2025 destillierte Alibaba laut der Warnung Claude‑4, Claude Opus, Claude Sonnet und GPT‑5, um das Software‑Engineering, den Kundenservice‑Dialog sowie die Bild‑ und Charaktererstellung in seiner Qwen‑Modellfamilie zu verbessern. Im selben Zeitraum destillierte MiniMax die Fähigkeiten des Chain‑of‑Thought‑Schließens, Reinforcement Learning, überwachte Feinabstimmung und Software‑Engineering, um sein M2‑Modell aus Claude Code, Claude Sonnet 4, Claude Opus, Gemini 1, Gemini 2.5 Pro und Gemini 3 Pro zu verbessern. Laut der Warnung nutzte MiniMax außerdem Claude Code für die interne Softwareentwicklung und setzte Prompt‑Injektionen ein, um Claude Code glauben zu lassen, es sei ein MiniMax‑Produkt.

Zwischen Ende 2025 und Anfang 2026 destillierte StepFun laut der Warnung Daten aus Claude Opus 4.1 und 4.5, Claude Sonnet 4.5, Claude Haiku 4.5, GPT‑5 Mini, GPT‑5 Pro, GPT‑5.1, GPT‑5.1 Codex und GPT‑5.2, um die Codierungs‑ und agentischen Funktionen seines Step 4‑Modells zu verbessern. Bis Mitte 2026 hatte Z.AI laut der Warnung Milliarden von Tokens aus GPT‑5.5‑Daten und Claude Opus 4.8‑Daten destilliert, um Chain‑of‑Thought‑Schließfähigkeiten zu entwickeln.

Taktiken und Techniken

Die Warnung gibt an, dass die Unternehmen Destillations‑Anfragen über native Application‑Programming‑Interfaces, entfernte Cloud‑Anbieter und Drittanbieter‑Aggregatoren leiten, die Benutzermetadaten verschleiern, und dass sie einen Graumarkt von API‑Proxys, die als Transfer‑Stationen bezeichnet werden, nutzen, um geografische Beschränkungen zu umgehen, Schutzmaßnahmen zu umgehen und die Rückverfolgbarkeit zu untergraben. Kosteneinsparungen ergeben sich laut der Warnung aus dem Masseneinkauf von Premium‑Abonnements, die von Entwicklerteams gemeinsam genutzt werden, und fortgeschrittene Taktiken umfassen die Extraktion von Chain‑of‑Thought‑Schlussfolgerungen, automatisches Failover zwischen Pfaden bei Blockierungsversuchen sowie Qualitätsbewertungs‑Frameworks, die zur Erkennung defensiver Gegenmaßnahmen entwickelt wurden.

Die Behörden ordneten die Aktivität dem MITRE‑ATLAS‑Framework zu, das die Phasen des Angreifer‑Lebenszyklus von der Ressourcenentwicklung bis zur Exfiltration abdeckt, einschließlich der Erstellung betrügerischer Konten und Jailbreak‑Prompts, die Modelle zwingen, verborgene Chain‑of‑Thought‑Schlüsse zu offenbaren. Die Warnung gibt an, dass DeepSeek Prompts einsetzte, die Modelle anweisen, sich die interne Argumentation hinter abgeschlossenen Antworten vorzustellen und zu formulieren, und dass MiniMax die Austauschvorgänge innerhalb von 24 Stunden nach Veröffentlichung auf ein neues Claude‑Modell umleitete.

Die Warnung beschreibt außerdem vier als neu bezeichnete Techniken: das Umgehen regionaler Beschränkungen in Kombination mit der Ausnutzung von Abonnements, eine zentralisierte Infrastruktur für die Anfragenweiterleitung, automatisierte Bereinigung von Anfragen‑Metadaten sowie systematische Quoten‑ und Kostenoptimierung. Zu den in der Warnung aufgeführten Erkennungsindikatoren gehören gemeinsam genutzte Konten, die von mehreren IP‑Adressen und User‑Agents aus verwendet werden, durchgängige Nutzung rund um die Uhr ohne menschliche Schwankungen, anomale Abonnement‑zu‑Nutzungs‑Verhältnisse und neue Abonnements, die sofort mit maximaler Nutzung laufen.

Empfohlene Gegenmaßnahmen

Die Behörden empfehlen US‑KI‑Unternehmen, drei sofortige Maßnahmen zu ergreifen: die umfassende Erkennung und Abmilderung anomaler und bösartiger Prompts, Konten, Netzwerke und Verhaltensweisen zu implementieren; gezielte Antwortänderungen einzuführen, die verdächtige bösartige Destillationsversuche subtil modifizieren; und einen organisationsübergreifenden Austausch von Informationen zwischen Modell‑Anbietern, Cloud‑Plattformen und API‑Aggregatoren aufzubauen.

Antwortänderungen können laut der Warnung differenzielle Privatsphäre oder das Bereitstellen heruntergestufter Modelle für verdächtige Destillationsanfragen umfassen, und Unternehmen sollten diese Änderungen je nach Anfrage variieren, um die Bewertung der Antwortqualität zu erschweren. Die Warnung rät davon ab, Nutzer, die eines bösartigen Destillationsversuchs verdächtigt werden, über die Änderungen zu informieren, während gleichzeitig festgehalten wird, dass KI‑Sicherheitsforscher und Dritt‑Evaluatoren über Modelländerungen informiert werden sollten.

Die Warnung führt Gegenmaßnahmen aus dem MITRE‑ATLAS auf, darunter Begrenzungen der Abfrage‑Rate, Kontrollen des Zugriffs auf Produktionsmodelle, AI‑Telemetrie‑Logging, Ausgabe‑Obfuskation, adversarielle Red‑Team‑Übungen, Modell‑Härtung, Ensembles und Beschränkungen für die Veröffentlichung von Modell‑Artefakten. Sie verweist zudem auf die NIST‑Taxonomie für adversarielle Machine‑Learning‑Methoden, einschließlich differenzieller Privatsphäre mit ihrem Rausch‑zu‑Nutzen‑Abwägung, Vor‑ und Nach‑Training‑Interventionen sowie Prompt‑Instruktions‑ und Formatierungstechniken.

Die Warnung fordert eine koordinierte Reaktion seitens der US‑Regierung, der Privatwirtschaft und verbündeter Nationen und stellt fest, dass Branchenoffenlegungen Proxy‑Netzwerke dokumentieren, die gleichzeitig Zehntausende betrügerischer Konten verwalten. Sie weist betroffene Organisationen an, eine Beschwerde beim Internet Crime Complaint Center des FBI einzureichen.