US-Geheimdienste werfen Chinas KI-Firmen vor, Claude, GPT und Gemini kopiert zu haben
Trending Topics auf Google als bevorzugte Nachrichtenquelle festlegen.
NSA, FBI und CISA werfen DeepSeek, Alibaba, Moonshot AI, MiniMax, StepFun und Z.ai vor, die Fähigkeiten amerikanischer Spitzenmodelle im industriellen Maßstab abgezogen zu haben. Peking weist die Anschuldigungen zurück.
Die Aufholjagd der chinesischen KI-Labore hat viele überrascht: Modelle wie DeepSeek V4, Kimi K3 oder Qwen liegen in Benchmarks nahe an den Spitzenmodellen aus dem Silicon Valley, kosten in der Nutzung aber oft nur einen Bruchteil. Die US-Regierung liefert dafür nun eine Erklärung, die den chinesischen Erfolg als Diebstahl umdeutet.
In einem gemeinsamen Advisory (AA26-251A) beschuldigen die National Security Agency, das FBI und die Cybersecurity and Infrastructure Security Agency sechs chinesische KI-Unternehmen, seit mindestens Ende 2024 systematisch die Fähigkeiten amerikanischer Frontier-Modelle extrahiert und in eigene Modelle übertragen zu haben. Genannt werden DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun und Z.ai. Betroffen seien Claude von Anthropic, GPT von OpenAI, Gemini von Google und Grok von xAI. Die Kampagnen seien „aggressiv, bösartig und gezielt“ gelaufen, und zwar „wahrscheinlich mit Kenntnis der chinesischen Regierung“, wie es in der Warnung der CISA heißt. Direkte staatliche Steuerung behaupten die Behörden nicht.
Was den einzelnen Unternehmen vorgeworfen wird
Das Advisory geht ungewöhnlich weit ins Detail. DeepSeek soll Reasoning-Fähigkeiten und domänenspezifisches Wissen für seine Modelle R1 und V3 abgeschöpft haben. Bemerkenswert ist eine Nebenbemerkung der Behörden zum vielzitierten Trainingsbudget von 5,6 Millionen US-Dollar: In dieser Zahl seien die Kosten für die auf diesem Weg beschafften Daten nicht enthalten.
Moonshot AI soll für seine Kimi-Modelle Millionen von Interaktionen mit Claude und GPT-4o abgezogen haben. Alibaba habe für die Qwen-Familie Daten aus Claude und GPT-5 genutzt, vor allem für Software Engineering und Kundenservice-Funktionen. MiniMax habe es auf Chain-of-Thought- und Reinforcement-Learning-Daten abgesehen und dabei auch Prompt Injections gegen Claude Code versucht. StepFun soll Reasoning- und Coding-Fähigkeiten kopiert haben, Z.ai bis Mitte 2026 „Milliarden von Tokens“ aus GPT-5.5 und Claude Opus.
Tausende Fake-Accounts und graue Proxy-Dienste
Technisch beschreiben die Behörden ein arbeitsteiliges System. Die Anfragen seien über massenhaft angelegte oder gekaufte Accounts, geteilte Premium-Abos, VPNs, Cloud-Anbieter und sogenannte Transfer Stations gelaufen, also API-Proxies, die geografische Sperren und Nutzungslimits aushebeln. Solche Zugänge werden laut Advisory teilweise ganz offen über chinesische Marktplätze wie Taobao und Xianyu gehandelt. Drittanbieter-Aggregatoren hätten zusätzlich Metadaten entfernt, um die Herkunft der Anfragen zu verschleiern.
Über diese Accounts seien „hochkoordinierte Anfragen mit identischen oder ähnlichen Prompt-Texten“ verschickt worden, teils über Tage oder Monate hinweg und in Größenordnungen von Tausenden bis Millionen Requests pro Themenbereich. Dazu kamen Jailbreak-Prompts, die die Modelle dazu bringen sollten, ihre verborgenen Gedankenketten offenzulegen, sowie automatische Failover-Mechanismen, die bei Sperren sofort auf andere Zugangswege umschalteten. Die Angreifer:innen hätten sogar eigene Bewertungsframeworks betrieben, um zu erkennen, ob ein Anbieter bereits Gegenmaßnahmen aktiviert hat.
Die umstrittenste Empfehlung: absichtlich schlechtere Antworten
Den US-Anbietern raten die Behörden zu schärferer Verhaltens- und Infrastrukturerkennung: Traffic genauer beobachten, neue Accounts drosseln, die sofort ihr Limit ausreizen, und verdächtige Muster über Plattformgrenzen hinweg abgleichen.
Der heikelste Vorschlag betrifft die Reaktion darauf. Statt auffällige Accounts zu sperren, sollen die Modelle ihre Antworten unbemerkt modifizieren, also für die Angreifer:innen gezielt ungenauer und fehlerhafter werden. Wie Ars Technica anmerkt, hat das eine unangenehme Kehrseite: Wer fälschlich als Angreifer:in eingestuft wird, bekommt schlechtere Antworten, ohne es zu erfahren. Für Entwickler:innen, die produktiv auf diesen APIs aufbauen, wäre das ein kaum kalkulierbares Risiko.
Peking weist die Vorwürfe zurück
Aus China kam prompt ein Dementi. Mao Ning, Sprecherin des Außenministeriums, erklärte alle Beteiligten sollten ihre Kooperation stärken, um eine „offene, inklusive, förderliche und ethische Entwicklung von KI für das Wohl der Menschheit“ zu garantieren. Die USA sollten von „haltlosen Anschuldigungen“ absehen.
Der Zeitpunkt ist kein Zufall: Das Advisory fällt mit geplanten Gesprächen zwischen Washington und Peking über KI-Sicherheit zusammen, an denen unter anderem Finanzminister Scott Bessent teilnehmen soll. Die Vorwürfe wirken damit auch wie eine Verhandlungsposition.
Neu sind die Vorwürfe nicht
Für die Branche ist das Thema ein alter Bekannter. Anthropic hatte bereits im Frühjahr DeepSeek, Moonshot und MiniMax beschuldigt, über rund 24.000 gefälschte Accounts mehr als 16 Millionen Anfragen an Claude gestellt zu haben, später kam der Vorwurf gegen Alibabas Qwen mit 28,8 Millionen Interaktionen dazu.
Die Einordnung fällt trotzdem schwer, denn Distillation ist als Methode völlig normal, sie wird nur üblicherweise mit Erlaubnis eingesetzt, siehe Apples Milliardendeal mit Google. Und die Modelle, deren Outputs jetzt schützenswert sein sollen, wurden ihrerseits auf Daten trainiert, für die niemand um Erlaubnis gefragt hat. Selbst OpenAI-Chef Sam Altman hat zuletzt abgewinkt: Distillation stehe nicht einmal auf seiner Liste der zehn größten Sorgen.
