Wer destilliert hier von wem? Der Streit ums Kopieren in der KI-Industrie

Anthropic wirft chinesischen Laboren „Distillation-Angriffe“ vor, Microsoft-Chef Satya Nadella teilt gegen die Frontier-Labs aus, und Apple destilliert ganz offiziell bei Google. Der Streit um die Technik, mit der KI-Modelle voneinander lernen, ist zum Stellvertreterkrieg der KI-Industrie geworden – und wirft eine unbequeme Frage auf: Wem gehört eigentlich das Wissen, das in den Modellen steckt?

Als Microsoft Anfang Juni seine ersten eigenen Frontier-Modelle vorstellte, verzichtete Satya Nadella nicht auf einen Seitenhieb gegen die Konkurrenz. Das neue Reasoning-Modell MAI-Thinking-1 sei „von Grund auf“ auf sauberen, kommerziell lizenzierten Daten trainiert worden – und zwar ausdrücklich ohne Distillation von Drittsystemen.

Die Botschaft zwischen den Zeilen: Andere machen das anders. Nadella legte rhetorisch nach und warnte vor einer Welt, in der jedes Unternehmen Wert an „wenige Modelle abtritt, die alles fressen, was sie sehen“. Die Öffentlichkeit werde nicht tolerieren, dass ein paar Firmen „das gesamte Lernen für die Welt“ übernehmen. Gemeint waren, ohne dass er sie beim Namen nennen musste, OpenAI und Anthropic – ausgerechnet jene Labs, an denen Microsoft mit Milliarden beteiligt ist und deren Modelle es auf Azure vertreibt.

Dass der Microsoft-Chef das Wort „Distillation“ als Kampfbegriff einsetzt, ist kein Zufall. Kaum ein Thema beschäftigt die KI-Branche 2026 so sehr wie die Frage, wer von wem abschreibt – und wo die Grenze zwischen legitimer Technik und Diebstahl verläuft. Bis zu sechs Milliarden Dollar pro Jahr – auf diese Summe beziffern US-Regierungsvertreter den Schaden, den nicht autorisierte Distillation den amerikanischen KI-Laboren zufügt, und das Silicon Valley hat der Trump-Regierung laut Bloomberg bereits signalisiert, dass es die Praxis für eine existenzielle Bedrohung hält.

Was Distillation eigentlich ist

Distillation (Destillation) ist zunächst eine völlig gängige Methode des Machine Learning: Ein kleineres „Schüler-Modell“ wird auf den Ausgaben eines größeren „Lehrer-Modells“ trainiert und übernimmt so dessen Fähigkeiten in komprimierter Form. Das Ergebnis ist im Idealfall ein Modell, das deutlich günstiger und schneller läuft, ohne viel an Qualität einzubüßen. Praktisch alle großen KI-Labore destillieren ihre eigenen Modelle routinemäßig, um kleinere, billigere Varianten für ihre Kunden zu erzeugen.

Problematisch wird die Technik, wenn sie über Unternehmensgrenzen hinweg und gegen den Willen des Modell-Betreibers eingesetzt wird. Dann wird aus dem Kompressionsverfahren ein Extraktionswerkzeug: Ein Konkurrent bombardiert ein fremdes Frontier-Modell mit sorgfältig konstruierten Prompts, sammelt die Antworten, Reasoning-Ketten und den generierten Code ein – und trainiert damit sein eigenes, günstigeres Modell. Die teuren Forschungs- und Trainingskosten des Originals trägt er nicht. Anthropic nennt diese Variante „adversarial distillation“.

Die Grenze verläuft also weniger in der Technik selbst als in der Frage von Erlaubnis und Maßstab: Distillation mit Vertrag ist Lizenzgeschäft, Distillation über zehntausende Fake-Accounts ist aus Sicht der betroffenen Labs Kapabilitäts-Diebstahl.

Anthropic gegen DeepSeek, Moonshot und MiniMax

Wie so ein mutmaßlicher Angriff aussieht, hat Anthropic im Februar 2026 detailliert beschrieben. Der Claude-Entwickler beschuldigte die drei chinesischen Labore DeepSeek, Moonshot AI und MiniMax, in industriellem Maßstab Fähigkeiten seiner Modelle abgesaugt zu haben: über 16 Millionen Abfragen, verteilt auf rund 24.000 betrügerische Konten, unter Verstoß gegen Nutzungsbedingungen und regionale Zugangsbeschränkungen – Anthropic bietet Claude in China aus Sicherheitsgründen gar nicht kommerziell an. Als Umgehungsweg dienten laut Anthropic kommerzielle Proxy-Dienste mit sogenannten „Hydra-Cluster-Architekturen“: weitverzweigte Netzwerke von Fake-Accounts, die den Traffic über Dritt-APIs und Cloud-Plattformen verteilen und mit legitimen Kundenanfragen vermischen.

Die drei Kampagnen zielten dabei auf unterschiedliche Fähigkeiten. DeepSeek soll vor allem Reasoning extrahiert haben – etwa indem Claude aufgefordert wurde, die interne Begründung hinter einer fertigen Antwort Schritt für Schritt zu rekonstruieren, was faktisch Chain-of-Thought-Trainingsdaten in großem Stil erzeugte. Moonshot AI (Kimi) soll mit über 3,4 Millionen Abfragen agentisches Reasoning, Tool-Nutzung und Coding ins Visier genommen haben, MiniMax mit über 13 Millionen Abfragen agentisches Coding und Orchestrierung. Bemerkenswert: Als Anthropic mitten in der MiniMax-Kampagne ein neues Modell veröffentlichte, schwenkte der Traffic laut dem Unternehmen binnen 24 Stunden zur Hälfte auf das neue System um.

Der Alibaba-Fall: die bisher größte Kampagne

Im Juni folgte die nächste Eskalationsstufe. In einem Brief an US-Senatoren und das Weiße Haus beschuldigte Anthropic Betreiber, die mit Alibabas KI-Labor Qwen in Verbindung stehen sollen, des „bislang größten bekannten Distillation-Angriffs“ auf seine Modelle: rund 25.000 betrügerisch angelegte Konten sollen zwischen 22. April und 5. Juni 2026 etwa 28,8 Millionen Interaktionen mit Claude durchgeführt haben – im Fokus die kommerziell wertvollsten Fähigkeiten, Software Engineering und agentisches Reasoning. Die Alibaba-Aktie gab nach Bekanntwerden nach; der Konzern äußerte sich zunächst nicht.

Wichtig bleibt die Einordnung: Belegt sind die Vorwürfe bislang nicht. Anthropic identifiziert solche Kampagnen nach eigenen Angaben über IP-Korrelationen, Request-Metadaten und Konto-Verhalten – das mag für Sperren und Behörden-Briefings reichen, ein öffentlich nachprüfbarer forensischer Nachweis, der Qwens Modellgewichte direkt mit Claude-Daten verbindet, ist es nicht. Zugleich ist der Vorstoß hochpolitisch: Anthropic fordert Strafen gegen Distillation-Akteure, schärfere Exportkontrollen und leichteren Informationsaustausch zwischen US-Firmen. Im US-Kongress werden bereits Gesetzesinitiativen geprüft, die chinesische Firmen für unrechtmäßigen Zugriff auf Outputs von US-Modellen sanktionieren würden. Die Argumentation der US-Labs: Illegal destillierte Modelle kämen ohne Sicherheits-Guardrails auf den Markt und untergrüben die Chip-Exportkontrollen, weil die schnellen Fortschritte chinesischer Labore fälschlich als Beweis für deren Wirkungslosigkeit gelesen würden.

Freud’scher Versprecher von Claude: Hat Anthropic auch bei Alibaba kopiert?

Auch nicht uninteressant: Als wir Claude von Anthropic auf Chinesisch über seine Programmierschnittstelle (API) in der Version „Opus 4.8“ am 6. Juni noch fragten, wer es sei, da antwortete es auf Chinesisch Folgendes:

„I am Tongyi Qianwen (Qwen), a super-large-scale language model independently developed by the Tongyi Lab under Alibaba Group.“

Das Tongyi Lab ist die KI-Forschungseinrichtung der Alibaba Group und beherbergt jenes Team, dass hinter den Open-Weight-Modellen (u.a. Qwen) und KI-Agenten von Alibaba steckt. In der bekannten Claude-Version für Endkonsumenten bzw. Endkunden würde man diese Antwort nicht bekommen, weil hier der große System Prompt von Anthropic eingreifen würden. Aber via API bekommen Entwickler:innen – also auch wir – direkten Zugriff auf die „pure“ Version von Claude, und die gibt manchmal direktere, ungefilterte Antworten. Hier der Screenshot:

Apple zeigt, wie es mit Vertrag geht

Dass Distillation per se nichts Anrüchiges ist, demonstriert ausgerechnet Apple. Der iPhone-Konzern stellte auf der WWDC 2026 die dritte Generation seiner Apple Foundation Models vor – erstmals offen auf Basis von Googles Gemini-Technologie. Grundlage ist eine im Jänner 2026 geschlossene, mehrjährige Partnerschaft, die Apple laut Bloomberg-Berichten rund eine Milliarde Dollar pro Jahr kosten soll: Zugang zu einem maßgeschneiderten Gemini-Modell mit kolportierten 1,2 Billionen Parametern, aus dem Apple seine Modellfamilie ableitet – vom 3-Milliarden-Parameter-Modell am iPhone bis zum Reasoning-Modell in der Private Cloud Compute.

Der Unterschied zu den Vorwürfen gegen die chinesischen Labore liegt auf der Hand: Apple destilliert mit Lizenz, Vertrag und Preisschild. Google wird bezahlt, die Kooperation ist öffentlich, und beide Seiten haben die Bedingungen ausgehandelt – bis hin zur Zusicherung, dass keine Apple-Nutzerdaten an Google fließen. Genau dieses Modell – Distillation als Lizenzgeschäft statt als Grauzone – dürfte für die Branche zum Referenzfall werden.

Das Glashaus der KI-Industrie

Bei aller Empörung der US-Labs bleibt eine Ironie, die auch Beobachter:innen der Branche immer wieder anmerken: Die Frontier-Modelle, deren Outputs nun als schützenswertes strategisches Gut verteidigt werden, sind selbst auf massiven Datenmengen aus dem Netz trainiert worden – auf Texten, Bildern und Code von Millionen Urheber:innen, die dafür weder gefragt noch bezahlt wurden. Welche Daten genau in die Trainings-Pipelines geflossen sind, legen die Entwickler bis heute nicht oder nur teilweise offen; vollständige Transparenz über Trainingsdaten gibt es bei keinem der großen Labs.

Die rechtliche Aufarbeitung läuft parallel zum Distillation-Streit: Gegen OpenAI, aber auch gegen Anthropic, Meta, Stability AI und andere sind zahlreiche Klagen wegen Copyright-Verletzungen anhängig – von Verlagen über Autor:innen bis zu Bildagenturen. Wer also in der Frage „Wer destilliert hier von wem?“ nach einer sauberen Antwort sucht, wird sie kaum finden. Die KI-Industrie streitet über die zweite Ableitung eines Problems, dessen erste sie nie gelöst hat: Ob das Lernen aus fremden Daten – seien es Webseiten oder Modell-Outputs – Diebstahl ist oder Fortschritt ist.