NSA, FBI und die US-Cybersicherheitsbehörde CISA werfen sechs chinesischen KI-Unternehmen vor, Fähigkeiten amerikanischer Spitzenmodelle durch systematische Destillation zu extrahieren. Die gemeinsame Warnung vom 8. September 2026 nennt DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun und Z.AI. Nach Darstellung der Behörden handelt es sich nicht um vereinzelte Versuche, sondern um aggressive und gezielte Kampagnen im industriellen Maßstab.
Betroffen seien proprietäre Funktionen und Fähigkeiten von Modellen wie Claude, GPT, Gemini und Grok. Die chinesischen Anbieter sollen dafür nicht nur reguläre Programmierschnittstellen verwenden, sondern Anfragen auf Cloud-Dienste, Drittanbieter und einen Graumarkt aus Zugangshändlern verteilen. Die US-Behörden vermuten zudem, dass die chinesische Regierung von diesen Aktivitäten weiß. China weist die Anschuldigungen zurück und führt die Fortschritte seiner KI-Industrie auf technische Eigenständigkeit zurück.
Der operative Kern der Warnung liegt weniger in der bekannten Technik der Destillation als in der Verteilung der Zugriffe. Ein Modellanbieter kann auffällige Abfragen auf der eigenen Plattform sperren. Schwieriger wird es, wenn Konten, Clouds und Vermittler gemeinsam eine Kampagne bilden, die erst in der Gesamtschau erkennbar wäre.
Destillation ist nicht automatisch ein Angriff
Bei der Modell-Destillation lernt ein kleineres Modell von den Ausgaben eines größeren Systems. Es sendet Anfragen an das Lehrmodell und verwendet dessen Antworten als Trainingsmaterial. Entwickler nutzen dieses Verfahren auch legitim, etwa um ein eigenes großes Modell in eine kompaktere und günstigere Variante zu überführen.
Wie verteilte Modell-Destillation ablaufen soll
Die Grafik zeigt den von US-Behörden beschriebenen Weg von amerikanischen Frontier-Modellen über verteilte Zugangskanäle und massenhafte Abfragen bis zu synthetischen Trainingsdaten für konkurrierende Modelle.
Der Vorwurf der US-Behörden richtet sich deshalb nicht gegen das Verfahren an sich. Entscheidend sind Umfang, Zweck und Zugangsweg. Kommerzielle Modellanbieter untersagen in ihren Nutzungsbedingungen üblicherweise, ihre Ausgaben zum Aufbau konkurrierender Modelle zu verwenden. Laut der Warnung umgehen die genannten chinesischen Unternehmen solche Regeln, geografische Sperren und technische Schutzmaßnahmen gezielt.
Damit ist zugleich eine wichtige Grenze der Meldung markiert: Die Behörden erheben konkrete Anschuldigungen, über die vorliegenden Informationen wird aber keine unabhängige technische Beweisführung veröffentlicht. Auch die rechtliche Einordnung ist nicht mit einem Verstoß gegen Nutzungsbedingungen erledigt. Vertragsbruch, unzulässige Umgehung und Diebstahl geistigen Eigentums sind unterschiedliche Vorwürfe und müssen jeweils belegt werden.
Der Zugang wird über mehrere Ebenen verteilt
Nach Darstellung von NSA, FBI und CISA laufen die Abfragen über native APIs, entfernte Cloud-Anbieter und Drittanbieter-Aggregatoren. Einige dieser Vermittler verschleierten automatisch Metadaten der Nutzer. Hinzu kämen sogenannte Transfer Stations: Proxy-Dienste, die den Zugang zu amerikanischen Modellen weiterverkaufen, teilweise günstiger als die offiziellen Anbieter.
Diese Struktur erfüllt mehrere Zwecke. Sie kann geografische Beschränkungen umgehen, die Herkunft der Anfragen verdecken und ein großes Abfragevolumen auf viele Konten verteilen. Ein einzelner Anbieter sieht dann womöglich nur einen Ausschnitt. Eine hohe Auslastung unmittelbar nach der Eröffnung eines Kontos kann zwar ein Warnsignal sein, reicht allein aber nicht zum Nachweis einer Destillationskampagne.
Die Behörden empfehlen deshalb eine anbieterübergreifende Abwehr. Modellhersteller, Cloud-Plattformen und API-Aggregatoren sollen Auffälligkeiten korrelieren und Informationen über verteilte Kampagnen austauschen. Außerdem schlagen sie vor, Antworten bei mutmaßlich bösartigen Destillationsversuchen subtil zu verändern, um den Wert der gesammelten Trainingsdaten zu verringern.
Das ist technisch heikel. Ein Schutzsystem muss automatisierte Trainingsabfragen von legitimer, intensiver API-Nutzung unterscheiden. Werden Antworten absichtlich verändert, braucht der Anbieter hohe Sicherheit, dass tatsächlich Missbrauch vorliegt. Andernfalls kann die Abwehr auch reguläre Kunden treffen und die Verlässlichkeit einer kostenpflichtigen Schnittstelle beeinträchtigen.
DeepSeek und Alibaba machen den Vorwurf wirtschaftlich relevant
Besonders folgenreich sind die Anschuldigungen gegen DeepSeek. Das Unternehmen soll Destillation eingesetzt haben, um synthetische Trainingsdaten für Modelle einschließlich R1 und V3 zu erzeugen. Nach Ansicht der US-Behörden würde das die Darstellung infrage stellen, DeepSeek habe seine Systeme mit vergleichsweise geringem Rechenaufwand entwickelt.
Diese Frage reicht über einen Vertragsstreit hinaus. DeepSeeks Angaben hatten Investoren verunsichert, weil sie Zweifel am Bedarf für milliardenschwere KI-Infrastruktur auslösten. Falls ein Teil der Leistungsfähigkeit durch massenhafte Abfragen bereits trainierter US-Modelle entstand, wäre der geringe eigene Trainingsaufwand kein sauberer Beleg dafür, dass Rechenzentren und Beschleuniger grundsätzlich weniger wichtig werden. Ein Teil der Kosten wäre vielmehr beim Anbieter des Lehrmodells angefallen.
Alibaba soll seinerseits industrielle Destillation genutzt haben, um die Qwen-Modellfamilie zu verbessern. Einige Qwen-Modelle stehen kostenlos zum Download und zur Nutzung bereit. Damit entsteht ein asymmetrischer Wettbewerb: Amerikanische Anbieter finanzieren teures Training und verkaufen kontrollierten API-Zugang, während frei verfügbare Konkurrenzmodelle nach dem Vorwurf indirekt von den Ausgaben dieser Systeme profitieren.
API-Schutz wird zur gemeinsamen Infrastrukturaufgabe
Die Warnung beschreibt damit eine Schwäche des Geschäftsmodells geschlossener KI-Plattformen. Ihre Modelle bleiben zwar auf den Servern des Betreibers, ihre Fähigkeiten werden aber über Antworten nach außen geliefert. Jede API-Abfrage ist beides: ein verkauftes Produkt und potenzielles Trainingsmaterial für ein anderes System.
Ratenlimits, Identitätsprüfungen und geografische Sperren helfen nur innerhalb der Sichtweite eines einzelnen Anbieters. Sobald Vermittler Anfragen bündeln, Metadaten verbergen oder Zugänge weiterverkaufen, verschiebt sich der Schutz proprietärer Modelle in Richtung Betrugserkennung und gemeinsamer Bedrohungsanalyse. Das setzt allerdings voraus, dass konkurrierende Modellanbieter, Clouds und Aggregatoren Signale miteinander teilen können, ohne legitime Kundendaten unkontrolliert weiterzugeben.
Neue Sanktionen oder Exportbeschränkungen sind in der vorliegenden Warnung nicht angekündigt. Die Vorwürfe erhöhen jedoch den politischen Druck, chinesische KI-Anbieter und Zugangskanäle schärfer zu kontrollieren. China wiederum hat ähnliche Vorwürfe gegen amerikanische Unternehmen erhoben und Gegenmaßnahmen angedeutet, falls die Anschuldigungen zu weiteren Verboten führen.
Für Modellanbieter ist die unmittelbarste Konsequenz nüchterner: Sie müssen nicht nur einzelne Konten überwachen, sondern Muster erkennen, die über mehrere Plattformen verteilt sind. Genau darin liegt der praktische Vorteil der beschriebenen Transfer Stations. Sie machen aus einer technisch simplen Lernmethode ein Problem, das kein Anbieter allein vollständig sehen kann.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
