Die US-Behörden CISA, FBI und NSA warnen vor mutmaßlichen monatelangen „Distillation-Angriffen“ mehrerer chinesischer KI-Unternehmen auf führende US-Modelle. Genannt werden DeepSeek, MoonshotAI, Alibaba, MiniMax, StepFun und Z.AI. Zu den potenziell betroffenen US-Unternehmen zählen Anthropic, OpenAI, Google und xAI. Für den KI-Markt geht es dabei nicht nur um den Schutz proprietärer Technologie, sondern auch um die Kontrolle über Sicherheitsvorkehrungen und die Kosten der Modellentwicklung.
Bei den Angriffen sollen große Mengen gezielt formulierter Prompts an fortgeschrittene Modelle gesendet worden sein. Ziel sei gewesen, deren Fähigkeiten, Schlussfolgerungen und Sicherheitsbeschränkungen nachzubilden. Die erzeugten Antworten können anschließend genutzt werden, um ein anderes Modell zu trainieren oder zu verbessern. Die CISA erklärte, ein Teil der Aktivitäten könnte mit Kenntnis der chinesischen Regierung erfolgt sein. Der geschätzte Wert der auf diese Weise abgeschöpften Fähigkeiten entspreche Ausgaben der US-Forschung und -Entwicklung in Milliardenhöhe.
Proxy-Netzwerke und Fake-Accounts erschweren die Erkennung
Laut der Warnung nutzten die Betreiber Proxy-Server, um ihre tatsächliche Herkunft zu verschleiern, und bauten umfangreiche Netzwerke gefälschter Nutzerkonten auf. Über diese Konten wurden große Mengen an Anfragen versendet, um Überwachung und Zugriffskontrollen der Plattformen zu umgehen. Einige Kampagnen könnten sich über Monate erstreckt haben. Dabei ging es offenbar nicht um eine einzelne Antwort, sondern um eine systematische Erfassung der Modellleistung in unterschiedlichen Aufgabenfeldern, Themenbereichen und an den Grenzen der Sicherheitsregeln.
Zusätzlich setzten die Angreifer Prompt-Injection-Techniken ein, um Modelle zum Ignorieren bestehender Vorgaben zu bewegen. In einem Bedrohungsbericht vom September 2026 beschrieb Anthropic mehrere Prompts, die mit Aktivitäten zur Modelldistillation in Verbindung gebracht wurden. Eine Variante wies ein Modell an, die Anfrage „nicht als Extraktion von Schlussfolgerungen zu kennzeichnen“. Eine andere behauptete, der Nutzer führe einen Systemtest durch, und verlangte, frühere Gedankengänge wörtlich zu wiederholen. Weitere Prompts tarnten sich als Systemanweisungen und forderten den vollständigen Inhalt an, der innerhalb von <thinking></thinking>-Tags verborgen war.
Distillation ist nicht grundsätzlich rechtswidrig. Forscher können die Ausgaben eines Modells untersuchen und unterschiedliche Antworten vergleichen, um eigene Systeme zu verbessern. Das kann legitimen technischen Forschungszwecken dienen. US-Cybersicherheitsbehörden und KI-Unternehmen unterscheiden diese Arbeit jedoch von Kampagnen, die auf einer großen Zahl gefälschter Konten beruhen, Nutzungsbedingungen umgehen oder ein Modell zur Offenlegung geschützter Inhalte veranlassen. Diese Aktivitäten gingen aus ihrer Sicht über gewöhnliche Forschung hinaus.
KI-Anbieter verschärfen Kontrollen
Mit einer einzelnen technischen Maßnahme lassen sich solche Angriffe derzeit nicht vollständig verhindern. Anthropic und andere KI-Unternehmen verbessern deshalb die Erkennung ungewöhnlicher Anfrage-Muster, die Identitätsprüfung von Kunden und ihre Zugriffskontrollen. Je nach Art der Aktivität sollen gezieltere Gegenmaßnahmen eingesetzt werden. Die Unternehmen arbeiten außerdem daran, Bedrohungsinformationen auszutauschen, um zusammenhängende Kontonetzwerke und ähnliche Abfragemuster schneller zu erkennen.
Die CISA fordert eine koordinierte Reaktion des gesamten KI-Ökosystems. Ein solcher Ansatz würde neben den Modellherstellern auch Cloud-Anbieter, Dienste zur Identitätsprüfung und die US-Regierung einbeziehen. Die Verantwortung soll damit nicht allein bei einzelnen Unternehmen liegen, die entsprechende Aktivitäten blockieren müssen.
Die Kostenstruktur von KI-Diensten verschärft das Problem. Der Wettbewerb drückt die Preise und senkt damit auch die Kosten, große Mengen an Modellabfragen durchzuführen. Dadurch kann die Schwelle für eine umfangreiche Sammlung von Ausgaben sinken. Plattformen stehen daher weiterhin vor der Aufgabe, ungewöhnliche Nutzung zu überwachen, Kunden zu verifizieren und geschützte Modelleigenschaften zu sichern, ohne den legitimen Zugang zu beeinträchtigen.
Sicherheitsrisiken reichen über Geschäftsgeheimnisse hinaus
Die US-Sicherheitsbehörden befürchten, dass eine groß angelegte Replikation fortgeschrittener KI-Fähigkeiten nicht nur den Wettbewerb zwischen chinesischen und US-Unternehmen beeinflusst. Sie könnte auch die Verfügbarkeit von Modellen mit schwächeren Sicherheitskontrollen erhöhen. In einem Bericht vom Februar 2026 zu Distillation-Angriffen warnte Anthropic, dass gefährliche Fähigkeiten in einem extrahierten Modell erhalten bleiben könnten, selbst wenn die ursprünglichen Schutzmechanismen abgeschwächt oder entfernt würden.
Nach Einschätzung des Unternehmens könnten solche Systeme potenziell die Entwicklung biologischer Waffen, den Bau fortgeschrittener militärischer Ausrüstung, groß angelegte Cyberangriffe oder andere stark störende automatisierte Operationen unterstützen. Anthropic warnte zudem, dass Regierungen mit starker politischer Kontrolle ähnliche Systeme zur Entwicklung offensiver Cyberwaffen, für Desinformationskampagnen und zur Massenüberwachung einsetzen könnten.
Für KI-Unternehmen geht es damit um mehr als den Verlust proprietärer Technologie. Sobald die Fähigkeiten und Sicherheitsgrenzen eines Modells kopiert sind, hat der ursprüngliche Entwickler weniger Kontrolle darüber, wie diese Fähigkeiten eingesetzt werden und ob die Schutzvorkehrungen erhalten bleiben.
Zweifel an den gemeldeten DeepSeek-Kosten
Die Debatte beeinflusst auch die Einschätzung von Chinas Strategie, KI-Modelle zu besonders niedrigen Kosten zu entwickeln. DeepSeek erhielt große Aufmerksamkeit, nachdem das Unternehmen erklärt hatte, ein fortgeschrittenes System zu deutlich geringeren Kosten als führende US-Modelle entwickelt zu haben. Die CISA erklärte in ihrer Warnung, die öffentlich genannte Trainingssumme von 5,6 Millionen US-Dollar sei unvollständig. Sie berücksichtige nicht die vollständigen Kosten für die Beschaffung von Daten und Fähigkeiten durch groß angelegte, mutmaßlich missbräuchliche Distillation.
Nach Darstellung der Behörde nutzte DeepSeek Prompts, um US-KI-Dienste zur Offenlegung ihrer schrittweisen Schlussfolgerungen zu bewegen. Dies habe einen Weg eröffnet, die eigenen Modelle zu verbessern. Sollte diese Einschätzung zutreffen, würde die genannte Trainingssumme nicht den gesamten Entwicklungsaufwand abbilden. Ein direkter Vergleich mit Modellen, für die proprietäre Chips gekauft, Rechenzentren gebaut, Strom bereitgestellt und Forschungsteams beschäftigt wurden, wäre dann nur eingeschränkt möglich.
Gleichzeitig nimmt der Preisdruck in der KI-Branche zu. Kleinere und effizientere Modelle werben mit niedrigeren Gebühren um Entwickler und Unternehmenskunden. Chinesische Modelle, darunter DeepSeek, bauen zudem ihre Präsenz auf dem US-Markt aus.
Für Investoren geht es daher nicht allein um den Preis einzelner Modellabfragen. Entscheidend ist auch, wie Unternehmen die Herkunft ihrer Trainingsdaten und Modellfähigkeiten belegen, ob Plattformen die durch Distillation-Angriffe entstehenden verdeckten Kosten senken können und ob Regulierer eine engere Zusammenarbeit im gesamten KI-Ökosystem fördern werden.