NSA, CISA, FBI Peringatkan Perusahaan AI Berbasis China Menyuling Model Frontier AS

Badan Keamanan Nasional (NSA), Badan Keamanan Siber dan Infrastruktur (CISA), serta Federal Bureau of Investigation (FBI) merilis sebuah advis keamanan siber bersama pada 8 September 2026, memperingatkan bahwa perusahaan kecerdasan buatan berbasis China secara sistematis mengekstrak kemampuan proprietari dari model AI frontier AS melalui kampanye penyulingan pengetahuan berskala industri yang telah berjalan setidaknya sejak akhir 2024.

Dalam advis tersebut, yang diberi label AA26-251A, badan-badan tersebut menyatakan bahwa kampanye ini “menjadi inti—bukan sekadar pelengkap” dari strategi pengembangan AI perusahaan. Menurut advis, kemungkinan dengan pengetahuan pemerintah China, DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun, dan Z.AI mengekstrak miliaran token melalui jutaan pertukaran dan permintaan dari model frontier AS, termasuk varian Claude, GPT, Gemini, dan Grok. Badan-badan tersebut menyatakan bahwa aktivitas ini melanggar ketentuan penggunaan perusahaan AS dan mengancam kepemimpinan teknologi AS.

Pengumuman CISA tentang advis tersebut announcement of the advisory menjelaskan penyulingan pengetahuan sebagai teknik pembelajaran mesin yang melatih model yang kurang mampu dengan menggunakan output dari model yang lebih besar dan lebih kuat. Meskipun merupakan metode pelatihan yang sah, CISA mengatakan teknik ini dapat disalahgunakan untuk memperoleh kemampuan dari pesaing dalam waktu lebih singkat dan biaya lebih rendah dibandingkan mengembangkannya secara sah. “Kami sangat mendesak perusahaan AI untuk mengambil langkah segera dalam melindungi platform mereka dari kampanye penyulingan pengetahuan yang mengancam menutup kesenjangan kemajuan yang dicapai oleh perusahaan Amerika,” kata Nick Andersen, Direktur Sementara CISA.

Aktivitas yang Ditetapkan pada DeepSeek, Moonshot AI, dan Lainnya

Menurut advis, DeepSeek telah melaksanakan kampanye penyulingan terorganisir terhadap model frontier AS setidaknya sejak akhir 2024 untuk menghasilkan data pelatihan sintetis bagi modelnya, termasuk R1 yang dirilis pada awal 2025. Badan-badan tersebut menyatakan bahwa DeepSeek menargetkan kemampuan penalaran, optimasi khusus, dan fungsi domain‑spesifik untuk mengurangi biaya komputasi dan penelitian, dan bahwa biaya pelatihan yang dikutip secara publik sebesar $5,6 juta menyesatkan karena tidak mencakup biaya data yang diperoleh melalui penyulingan jahat. Antara akhir 2024 dan pertengahan 2025, advis menyebutkan, DeepSeek menyuling dari Claude 3.7, Claude Sonnet 4, Claude Sonnet 4.5, Claude Opus 4.1, Gemini 2.5 Pro Preview, Gemini 2.5 Flash Preview, GPT‑4, GPT‑4o, GPT‑4 Mini, GPT‑4 Nano, GPT‑5, dan Grok 4 untuk melatih model R1 dan V3‑nya.

Advis menyatakan bahwa Moonshot AI telah menjalankan kampanye penyulingan luas setidaknya sejak pertengahan 2025, mengekstrak data signifikan Claude Fable 5 untuk melatih model Kimi‑K3‑nya dan data GPT‑4o untuk melatih model Kimi‑K2‑nya. Kemampuan yang ditargetkan meliputi optimasi fine‑tuning terawasi, pembelajaran penguatan, rekayasa perangkat lunak, dan matematika, yang diambil dari berbagai model Claude, GPT, Gemini, dan Grok. Moonshot AI menggunakan jutaan pertukaran yang menargetkan penalaran agenik dan penggunaan alat, pengkodean dan analisis data, pengembangan agen penggunaan komputer, serta visi komputer, menurut advis.

Pada akhir 2025, advis menyebutkan, Alibaba menyuling Claude‑4, Claude Opus, Claude Sonnet, dan GPT‑5 untuk meningkatkan rekayasa perangkat lunak, dialog layanan pelanggan, serta pembuatan gambar dan karakter dalam keluarga model Qwen‑nya. Pada periode yang sama, MiniMax menyuling kemampuan penalaran rantai‑pemikiran, pembelajaran penguatan, fine‑tuning terawasi, dan rekayasa perangkat lunak untuk meningkatkan model M2‑nya dari Claude Code, Claude Sonnet 4, Claude Opus, Gemini 1, Gemini 2.5 Pro, dan Gemini 3 Pro. Menurut advis, MiniMax juga menggunakan Claude Code untuk pengembangan perangkat lunak internal dan menggunakan injeksi prompt untuk mencoba menipu Claude Code agar mempercayai bahwa ia adalah produk MiniMax.

Antara akhir 2025 dan awal 2026, advis menyatakan, StepFun menyuling data dari Claude Opus 4.1 dan 4.5, Claude Sonnet 4.5, Claude Haiku 4.5, GPT‑5 Mini, GPT‑5 Pro, GPT‑5.1, GPT‑5.1 Codex, dan GPT‑5.2 untuk meningkatkan fungsi pengkodean dan agenik pada model Step 4‑nya. Pada pertengahan 2026, Z.AI telah menyuling miliaran token data GPT‑5.5 dan Claude Opus 4.8 untuk mengembangkan kemampuan penalaran rantai‑pemikiran, menurut advis.

Taktik dan Teknik

Advis menyatakan bahwa perusahaan-perusahaan mengarahkan permintaan penyulingan melalui antarmuka pemrograman aplikasi (API) asli, penyedia cloud jarak jauh, dan agregator pihak ketiga yang menyamarkan metadata pengguna, serta menggunakan pasar gelap proksi API yang dikenal sebagai stasiun transfer untuk melewati pembatasan geografis, menghindari perlindungan, dan merusak keterlacakan. Penghematan biaya berasal dari pengadaan massal langganan premium yang dibagi di antara tim pengembang, menurut advis, dan taktik lanjutan mencakup ekstraksi penalaran rantai‑pemikiran, failover otomatis antar jalur selama upaya pemblokiran, serta kerangka evaluasi kualitas yang dirancang untuk mendeteksi tindakan pertahanan.

Badan-badan tersebut memetakan aktivitas ini ke kerangka kerja MITRE ATLAS sepanjang fase siklus hidup lawan, mulai dari pengembangan sumber daya hingga eksfiltrasi, termasuk pembuatan akun palsu dan prompt jailbreak yang memaksa model mengungkapkan penalaran rantai‑pemikiran tersembunyi. Advis menyatakan bahwa DeepSeek menggunakan prompt yang menginstruksikan model untuk membayangkan dan mengartikulasikan penalaran internal di balik respons yang selesai, dan bahwa MiniMax mengalihkan pertukaran ke model Claude baru dalam waktu 24 jam setelah peluncurannya.

Advis juga merinci empat teknik yang dianggapnya baru: penghindaran pembatasan regional yang digabungkan dengan eksploitasi langganan, infrastruktur perutean permintaan terpusat, sanitasi metadata permintaan otomatis, serta optimasi kuota dan biaya secara sistematis. Indikator deteksi yang tercantum dalam advis meliputi akun bersama yang digunakan dari banyak alamat IP dan agen pengguna, penggunaan berkelanjutan sepanjang waktu tanpa variasi manusia, rasio langganan‑ke‑penggunaan yang tidak wajar, serta langganan baru yang langsung berjalan pada penggunaan maksimum.

Mitigasi yang Direkomendasikan

Badan-badan tersebut merekomendasikan perusahaan AI AS mengambil tiga tindakan segera: menerapkan deteksi dan mitigasi komprehensif terhadap prompt, akun, jaringan, dan perilaku yang anomali serta berbahaya; menyebarkan perubahan respons yang ditargetkan yang secara halus mengubah jawaban terhadap upaya penyulingan berbahaya yang dicurigai; serta membangun berbagi intelijen lintas organisasi di antara penyedia model, platform cloud, dan agregator API.

Perubahan respons dapat mencakup privasi diferensial atau penyajian model yang diturunkan untuk permintaan penyulingan yang dicurigai, kata advis, dan perusahaan harus memvariasikan perubahan tersebut antar permintaan untuk mempersulit evaluasi kualitas respons. Advis menyarankan agar tidak memberi tahu pengguna yang dicurigai melakukan penyulingan berbahaya ketika respons diubah, sambil menyatakan bahwa peneliti keamanan AI dan evaluator pihak ketiga harus diberitahu tentang perubahan model.

Advis mencantumkan mitigasi yang diambil dari MITRE ATLAS, termasuk batas laju kueri, kontrol akses ke model produksi, pencatatan telemetri AI, pengaburan output, red‑teaming adversarial, penguatan model, ensemble, dan pembatasan pelepasan artefak model. Ia juga mengutip taksonomi pembelajaran mesin adversarial NIST, termasuk privasi diferensial dengan trade‑off kebisingan‑versus‑manfaat, intervensi pra‑ dan pasca‑pelatihan, serta teknik instruksi dan pemformatan prompt.

Advis menyerukan respons terkoordinasi di seluruh pemerintah AS, industri swasta, dan negara sekutu, menyatakan bahwa pengungkapan industri mendokumentasikan jaringan proksi yang mengelola puluhan ribu akun palsu secara bersamaan. Ia mengarahkan organisasi yang terdampak oleh kampanye tersebut untuk mengajukan keluhan ke Internet Crime Complaint Center FBI.