Die Vorwürfe gegen Alibaba, Moonshot AI und DeepSeek lassen sich leicht als Streit um geistiges Eigentum lesen. Technisch ist der Vorgang konkreter: Es geht um eine Pipeline, in der ein fremdes Modell als Lehrsystem benutzt wird, um Eingaben, Antworten und teilweise Begründungsspuren in großem Umfang zu erzeugen. Diese Daten können anschließend als Trainingsmaterial für eigene Modelle dienen.
Anthropic beschreibt die Vorgänge als „unerlaubte Destillation“ seiner Claude-Modelle. Nach Angaben des Unternehmens liefen die Kampagnen zwischen Dezember 2025 und August 2026. Alibaba zugeordnete Operationen sollen zwischen Mai und Juli 2026 mehr als 151 Millionen Interaktionen mit Claude erzeugt haben. Moonshot AI soll im selben Zeitraum auf mehr als 23 Millionen Destillationsinteraktionen gekommen sein. DeepSeek wird mit mehr als 12 Millionen Angriffen über 14 Tage im Juli 2026 in Verbindung gebracht. NSA, CISA und FBI haben am 8. September 2026 zudem einen gemeinsamen Cybersecurity Advisory veröffentlicht, der mehrere chinesische KI-Unternehmen, darunter DeepSeek, Moonshot AI und Alibaba, im Zusammenhang mit industriellen Destillationskampagnen nennt.
Die beschuldigten Unternehmen und die chinesische Regierung weisen die Vorwürfe zurück und bezeichnen sie als faktisch und rechtlich unbegründet. Für die technische Analyse ist diese politische Ebene nicht der Ausgangspunkt. Entscheidend ist die Systemlogik: Wie wird aus einem kommerziellen Chatmodell eine Trainingsquelle für ein anderes Modell?
Destillation ist kein einfacher Download
Ein großes Sprachmodell lässt sich nicht wie eine Datei kopieren. Die Gewichte, also die eigentlichen Parameter des Modells, liegen beim Betreiber. Externe Nutzer sehen nur die Schnittstelle: Eingabe hinein, Antwort heraus. Destillation nutzt genau diese Grenze. Das Ziel ist nicht, das Originalmodell direkt zu stehlen, sondern dessen Verhalten über viele Interaktionen nachzubilden.
Technische Kette einer Modell-Destillation
Vereinfachte Darstellung der von Anthropic beschriebenen Architektur: Konten oder Nutzeranfragen werden über eine Routing-Schicht an Claude geleitet, Antworten werden protokolliert und als Trainingsdaten für eigene Modelle genutzt.
Dafür braucht ein Angreifer drei Dinge: viele Anfragen, kontrollierte Aufgaben und eine saubere Protokollierung der Antworten. Die Anfragen können aus synthetisch erzeugten Prompts, realen Nutzerfragen oder speziell konstruierten Tests bestehen. Die Antworten des Lehrmodells werden gespeichert. Anschließend werden eigene Modelle darauf trainiert, bei ähnlichen Eingaben ähnliche Ausgaben zu erzeugen.
Im kleinen Maßstab ist das ein bekanntes Verfahren der Modellkompression. Ein größeres Modell erzeugt Trainingsdaten für ein kleineres. Problematisch wird es, wenn die Quelle ein fremdes, kommerzielles Modell ist, die Nutzung gegen Vertragsbedingungen verstößt, Konten verschleiert werden oder reale Nutzerdaten ohne informierte Zustimmung durch fremde Systeme laufen. Genau diese Kombination beschreibt Anthropic.
Die erste Schicht: Konto-Farmen statt normaler API-Nutzung
Bei der Alibaba zugeordneten Kampagne spricht Anthropic von mehr als 3.500 betrügerischen Konten. Der Zweck einer solchen Verteilung ist technisch naheliegend. Ein einzelner Account würde durch Volumen, Muster und Kosten auffallen. Viele Konten verteilen Last, umgehen einfache Limits und erschweren Attribution.
Die gemeldete Spitze von fast 3 Millionen Interaktionen pro Tag zeigt, dass es nicht um punktuelle Tests ging. In dieser Größenordnung entsteht eine industrielle Datenfabrik. Prompts müssen generiert, an Claude geschickt, Antworten empfangen, normalisiert, dedupliziert und in Trainingsformate gebracht werden. Die Infrastruktur dahinter ähnelt weniger einem Chatbot als einer Batch-Verarbeitung: Warteschlangen, Rate-Limit-Management, Fehlerbehandlung, Konto-Rotation, Speicherung und Qualitätsfilter.
Für Modellanbieter ist das schwerer zu erkennen als klassischer Missbrauch. Die einzelnen Anfragen können harmlos wirken. Erst die Aggregation zeigt das Muster: ungewöhnliche Aufgabenverteilungen, wiederholte Prompt-Schablonen, koordinierte Aktivität über viele Konten, ähnliche Zeitfenster, systematische Abdeckung bestimmter Fähigkeiten.
Die zweite Schicht: Nutzeranfragen als verdeckter Rohstoff
Der schwerere Teil der Vorwürfe betrifft Moonshot AI und DeepSeek. Anthropic sagt, Moonshot habe in einem Zeitraum von zehn Tagen fast 300.000 Kundenanfragen, hauptsächlich an Claude Opus, weitergeleitet. Insgesamt seien zwischen Mai und Juli 2026 mehr als 23 Millionen Destillationsinteraktionen erfasst worden. Nutzer von Kimi hätten geglaubt, mit Kimi zu interagieren, tatsächlich aber Antworten von Claude erhalten. Einige dieser Anfragen sollen sensible Daten wie internen Firmencode enthalten haben.
Technisch entsteht dadurch eine andere Architektur als bei einer reinen Konto-Farm. Hier sitzt zwischen Nutzer und fremdem Modell eine Routing-Schicht. Der Nutzer stellt eine Frage im Produkt von Moonshot oder DeepSeek. Das System entscheidet, ob die Anfrage vom eigenen Modell beantwortet wird oder an Claude Opus weitergeht. Die Antwort kommt zurück, wird dem Nutzer als Produktausgabe angezeigt und kann zugleich in internen Logs landen.
Diese Konstruktion hat zwei Effekte. Erstens verbessert sie kurzfristig die Produktqualität, weil ein stärkeres Modell im Hintergrund einspringt. Zweitens erzeugt sie Trainingsdaten aus echten Nutzungssituationen. Das ist wertvoller als rein synthetische Prompt-Sammlungen, weil reale Nutzer andere Fehlerfälle, Code-Fragmente, Unternehmenskontexte und mehrdeutige Aufgaben liefern.
Der Datenschutzpunkt liegt nicht in einer abstrakten Möglichkeit, sondern in der Weiterleitung selbst. Wenn ein Nutzer einem Dienst Quellcode, Vertragsentwürfe oder interne Analysen anvertraut, rechnet er nicht automatisch damit, dass diese Eingabe über ein anderes, nicht sichtbares Modell verarbeitet wird. Selbst wenn die Ausgabe gut ist, ändert sich die Verarbeitungskette.
Die dritte Schicht: Chain-of-Thought als Trainingssignal
Besonders empfindlich ist der Vorwurf, Kimi und DeepSeek hätten Claude Opus genutzt, um Chain-of-Thought-Argumentationsketten zu erfassen. Gemeint sind Zwischenschritte, mit denen ein Modell komplexe Aufgaben zerlegt, prüft und zu einer Antwort gelangt. Solche Spuren sind für das Training wertvoll, weil sie nicht nur das Ergebnis zeigen, sondern eine Form von Problemlösungsstruktur.
Für moderne KI-Modelle ist das relevant. Ein Datensatz aus Frage und Endantwort kann ein Modell auf Stil und Ergebnis trimmen. Ein Datensatz mit Zwischenschritten kann zusätzlich beibringen, wie Aufgaben intern aufgelöst werden sollen: welche Annahmen geprüft werden, welche Rechenwege entstehen, welche Alternativen verworfen werden. Ob diese Ketten immer das tatsächliche interne Denken eines Modells abbilden, ist eine eigene technische Frage. Als Trainingsmaterial können sie dennoch nützlich sein.
Damit verschiebt sich die Schutzfläche. Es reicht nicht, die Modellgewichte zu schützen. Auch Ausgaben, Begründungsspuren, Tool-Nutzung und Interaktionsverläufe werden zu sicherheitsrelevanten Objekten. Ein Modellanbieter muss nicht nur verhindern, dass jemand Server kompromittiert. Er muss erkennen, wann legitime Schnittstellen in eine Extraktionsmaschine verwandelt werden.
Warum Abwehr hier schwierig bleibt
Die naheliegende Antwort sind Nutzungsbedingungen, Sperren und Missbrauchserkennung. Technisch genügt das nur begrenzt. Destillation nutzt die erlaubte Grundfunktion eines KI-Produkts: Fragen stellen und Antworten erhalten. Die Grenze zwischen intensiver Nutzung, Benchmarking, Forschung, Produktintegration und Extraktion ist nicht immer an einer einzelnen Anfrage sichtbar.
Erkennungssysteme müssen deshalb Verhaltensmuster über Konten, Zeiträume und Prompt-Klassen korrelieren. Sie können prüfen, ob Aufgaben systematisch Fähigkeiten abdecken, ob viele Konten identische Strukturen nutzen, ob Antwortdaten wahrscheinlich maschinell gesammelt werden oder ob Routing-Muster auf einen Weiterverkauf der Modellleistung hindeuten. Je stärker Anbieter solche Muster erkennen, desto stärker werden Angreifer versuchen, Anfragen natürlicher aussehen zu lassen.
Für Unternehmen, die KI-Dienste nutzen, ist der operative Punkt einfacher. Sie müssen wissen, welcher Modellanbieter tatsächlich in der Verarbeitungskette sitzt. Ein Produktname reicht nicht aus. Relevant sind Subprozessoren, Fallback-Modelle, Logging-Regeln und Trainingsnutzung. Gerade bei Code, Kundendaten oder internen Dokumenten ist die sichtbare Oberfläche eines Chatbots nicht die eigentliche Vertrauensgrenze.
Die Vorwürfe gegen Alibaba, Moonshot und DeepSeek sind deshalb mehr als ein Lizenzstreit, aber weniger mystisch als ein „Diebstahl des Denkens“. Sie beschreiben eine Architektur: viele Konten, verdeckte Weiterleitung, massenhaft gespeicherte Antworten, Training eigener Modelle auf fremden Ausgaben. Wenn diese Darstellung zutrifft, liegt der Kern nicht in einem einzelnen Trick. Er liegt in der Industrialisierung einer Schnittstelle, die ursprünglich für Nutzung gebaut wurde und plötzlich als Produktionsanlage für Trainingsdaten dient.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
