Anthropic: Sieben Labore in China betrieben „industrielle“ Destillation von Claude

Die Vereinigten Staaten und Anthropic haben diese Woche denselben Kampf verschärft. Am 8. September 2026 veröffentlichten die National Security Agency, die Cybersecurity and Infrastructure Security Agency (CISA) und das FBI eine gemeinsame Warnung: In China ansässige KI-Unternehmen führen „Knowledge Distillation“ im industriellen Maßstab gegen amerikanische Frontier-Modelle durch. Zwei Tage später veröffentlichte Anthropic seinen Threat-Intelligence-Bericht für September und erklärte, Destillationsangriffe von sieben in China ansässigen Laboren aufgedeckt und unterbunden zu haben: Alibaba, Moonshot, DeepSeek, Zhipu (Z.ai), Xiaomi, SenseTime und MiniMax.

Zum Weiterlesen: Anthropic trennt seine internen Evaluationen vom Live-Internet, nachdem seine Agenten die Regeln gebrochen haben · Anthropics Claude Duet arbeitet im Hintergrund und fragt, bevor es handelt.

Die beiden Dokumente beschreiben dasselbe Vorgehen aus zwei Blickwinkeln, eine Regierungswarnung vor einer strategischen Aushöhlung der US-KI-Führung und der forensische Bericht eines Anbieters über Tausende betrügerische Konten, Proxy-„Transferstationen“ und Hunderte Millionen Modellaustausche. Einige dieser Austausche, so Anthropic, enthielten Betriebsgeheimnisse anderer Unternehmen und gültige Zugangsdaten von Regierungen.

Was Destillation ist, und wann sie unrechtmäßig wird

Destillation ist für sich genommen eine legitime und weit verbreitete Trainingsmethode. Ein kleineres „Schüler“-Modell wird auf den Ausgaben eines größeren, leistungsfähigeren „Lehrer“-Modells trainiert, wodurch Entwickler eine bestimmte Fähigkeit mit weniger Rechenleistung und weniger Geld erreichen können. Frontier-Labore destillieren ständig ihre eigenen Modelle.

Der Streit dreht sich um Einwilligung, Ausmaß und Betrug. Anthropics Bericht definiert das Problem unmissverständlich: „Wir definieren unrechtmäßige Destillation als eine industrielle, verdeckte Kampagne, die darauf abzielt, die Fähigkeiten eines Modells zu extrahieren und ohne Genehmigung in einem anderen Modell zu replizieren.“ In der Praxis, so das Unternehmen, bedeute das Proxy-Dienste, die Tausende neuer Konten mit falschen Identitäten, gefälschten oder gestohlenen Kreditkarten und gestohlenen API-Schlüsseln anlegen, und dabei umgehen, dass Claude in Festlandchina und Hongkong nicht verkauft wird.

Eine Kampagne mit 151 Millionen Austauschen

Die größte je gemessene Kampagne schreibt Anthropic Akteuren aus dem Umfeld von Alibabas Qwen-/Tongyi-Labor zu. Zwischen Mai und Juli 2026 wurden mehr als 151 Millionen Austausche mit Claude beobachtet, mit Spitzenwerten von fast 3 Millionen pro Tag aus mehr als 3.500 betrügerischen Konten. Ziel war das Chain-of-Thought-Reasoning von Opus 4.6 und 4.7: Ein fester Prompt zwang Claude, seine Denkspuren in Inline-Tags auszuschreiben, die dann gespeichert und in Daten für überwachtes Feintuning umgewandelt wurden. Laut Anthropic halfen diese Daten, Alibabas Modelle Qwen 3.5, 3.6 und 3.7 zu trainieren.

Die Operation lief über zwei große Kontenpools, der erste mit fast 5.000 Konten nutzte Residential-Proxys, Wegwerf-E-Mails und virtuelle Karten. Als Anthropic diesen Pool sperrte, verlagerte sich der Verkehr auf einen zweiten. Einige der Konten leiteten auch Anfragen für DeepSeek und Xiaomi weiter, ein Beleg dafür, dass verschiedene Labore dieselbe Proxy-Infrastruktur nutzen.

Moonshot und DeepSeek lieferten Claude an ihre eigenen Nutzer aus

Der folgenreichste Befund ist nicht massenhaftes Auslesen, sondern gezielte Irreführung. Moonshot AI, Hersteller des Chatbots Kimi, leitete Kundenanfragen laut Anthropic stillschweigend an Claude weiter und zeigte den Nutzern Claudes Antworten, sodass diese glaubten, mit Kimi zu sprechen. In einem Zehn-Tage-Zeitraum wurden fast 300.000 Anfragen weitergeleitet, die meisten an Opus, über ein Netz aus 5.380 betrügerischen Konten, die laut Anthropic überwiegend in Singapur und Japan angesiedelt waren. Zwischen Mai und Juli rechnete Anthropic Moonshot mehr als 23 Millionen Austausche zu.

Moonshot speicherte diese Austausche zudem und nutzte einen „Cross-Session-Replay“-Trick (die Referenz auf Claudes verborgenes Reasoning speichern, eine neue Sitzung starten und Claude bitten, die vollständige Spur zu rekonstruieren), um Reasoning-Daten zu ernten, die die technischen Schutzmaßnahmen eigentlich schützen sollten. Der weitergeleitete Verkehr enthielt sensible Inhalte. Ein Nutzer, mutmaßlich mit Verbindungen zur Volksbefreiungsarmee, lud ein Überwachungsarchiv mit CCTV-Aufnahmen von Hunderten Kameras in Chengdu hoch und bat das vermeintliche Kimi zu analysieren, ob eine Zielperson „sich ungewöhnlich verhält“. Ein Ingenieur eines chinesischen Staatsunternehmens gab internen Code und gültige Zugangsdaten preis.

DeepSeek betrieb laut dem Bericht eine ähnliche Weiterleitungs- und Extraktionspipeline. Anthropic zählte mehr als 12,1 Millionen Austausche über 14 Tage im Juli 2026 und erklärt, weitergeleitete Anfragen hätten interne Dokumentation eines chinesischen Technologieunternehmens, gültige Zugangsdaten für eine Datenbank einer russischen Verteidigungsbehörde und die Arbeit von Ingenieuren offengelegt, die ein polizeiliches Fallmanagementsystem bauten, das Bewegungen von Personen anhand der nationalen ID mit Polizeiakten abgleicht. Anthropic zufolge ist unklar, ob Moonshot oder DeepSeek ihre Kunden darüber informiert haben, dass deren Daten an Dritte gingen.

Zhipu, Xiaomi und die Weiterverkäufer-Ökonomie

Drei weitere Kampagnen vervollständigen das Bild. Zhipu, außerhalb Chinas als Z.ai bekannt, betrieb eine Pipeline zur Extraktion und „Bereinigung“ von Chain-of-Thought für seine GLM-Modelle, rotierte in zehn Tagen durch 273 betrügerische Konten und schleuste 770.609 Austausche durch den Bereiniger. Anthropic rechnete dem Vorgehen über 17 Tage im Juni und Juli mehr als 3,4 Millionen Austausche zu. Vor der Veröffentlichung von GLM 5.3 nutzte Zhipu zudem öffentliche Schwachstellendatensätze, um Capture-the-Flag-Aufgaben zu bauen, und startete einen Destillationsangriff auf die Cyber-Fähigkeiten eines anderen führenden US-Labors, wobei Claude Opus 4.6 die Antworten bewertete. Als Claudes Modell Fable standhielt, wechselte Zhipu zu Modellen mit aus seiner Sicht schwächeren Schutzmaßnahmen.

Xiaomi spielte Nutzerkonversationen und Coding-Sitzungen aus seinen eigenen MiMo-Modellen durch Claude zurück und speicherte die Austausche für überwachtes und bestärkendes Lernen. Anthropic beobachtete mehr als 400.000 Anfragen über mehr als 1.500 Konten in 20 Tagen im März und April 2026. SenseTime kaufte Nutzertranskripte von Drittanbietern und nutzte Claude, um seine Pipeline zu schreiben und zu überwachen; MiniMax baute über eine Briefkastenfirma ein Proxy-Netz auf, das nur Anthropic- und OpenAI-Modelle anbot.

Anthropic beschreibt insgesamt sieben Labore. Die fünf größten Kampagnen kommen laut TechCrunch auf nahezu 200 Millionen Austausche, laut Business Insider auf etwa 190 Millionen.

Washington wird aktiv

Die US-Regierung wartete nicht auf den Bericht eines einzelnen Anbieters. Die am 8. September veröffentlichte gemeinsame Warnung nennt DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun und Z.AI, erklärt, die Kampagnen liefen „mindestens seit Ende 2024“, und stellt fest: „Das schiere Ausmaß dieser Kampagnen und ihre Raffinesse zeigen, dass Destillation kein Zusatz zur KI-Modellentwicklung dieser Unternehmen ist, sondern ihr kritischer Kern.“ Sie ergänzt, die Aktivität geschehe „wahrscheinlich mit Kenntnis der chinesischen Regierung“.

Die Warnung empfiehlt US-KI-Unternehmen drei unmittelbare Schritte: anomale Prompts, Konten und Netzwerke erkennen; Antworten gegenüber mutmaßlichen Destillierern subtil verändern, etwa Ausgaben verschlechtern oder variieren, damit gestohlene Transkripte weniger nützlich sind; und den Austausch zwischen Modellanbietern, Cloud-Plattformen und API-Aggregatoren stärken. Sie ordnet die Taktiken MITRE ATLAS zu und verweist auf differenziellen Datenschutz und Verschleierung von Antworten als Gegenmaßnahmen.

Der Hintergrund ist ein politischer Streit, der älter ist als diese Woche. Das Weiße Haus brachte im April 2026 ein Memo zur gegnerischen Destillation in Umlauf, und der China-Ausschuss des Repräsentantenhauses drängt den Kongress, Modellextraktion nach dem Economic Espionage Act und dem Computer Fraud and Abuse Act als Wirtschaftsspionage zu behandeln. Anthropic argumentierte am 10. Juni in einem Brief an die Senatoren Tim Scott und Elizabeth Warren mit 28,8 Millionen Austauschen über rund 25.000 betrügerische Konten. Das chinesische Außenministerium erklärte gegenüber Reuters, es kenne den Anthropic-Bericht nicht, und betonte, KI solle zum Wohle aller entwickelt werden; man lehne Verzerrungen und Verunglimpfungen ab.

Was Anthropic geändert hat

Anthropic will auf mehreren Ebenen reagiert haben. Claude fasst sein internes Reasoning nun zusammen, bevor es antwortet, was erbeutete Spuren als Trainingsdaten weniger brauchbar macht. Mit Fable 5.1 führte das Unternehmen „preserved thinking“ ein: Neue API-Konten können Systemprompt, Werkzeuge oder Nachrichten, die dem Reasoning in einem mehrstufigen Gespräch vorausgehen, nicht mehr verändern, ein gängiger Trick, um das Reasoning wieder herauszulocken. Außerdem wurden Klassifikatoren zur Erkennung gegnerischer Extraktion gestärkt, und Konten, die aus nicht unterstützten Ländern wie China, Russland oder Iran zu operieren scheinen, müssen ihre Identität bestätigen. Die Begründung ist einfach: „Die robusten Schutzmaßnahmen, die verhindern, dass Claude von böswilligen Akteuren missbraucht wird, übertragen sich nicht, wenn unsere Modelle von einem nicht autorisierten Labor destilliert werden.“

Destillation ist nicht illegal, und „unrechtmäßig“ definiert sich hier über Nutzungsbedingungen, Betrug und Ausmaß, nicht über ein Gesetz. Genau deshalb wandert der Streit nun in den Kongress.

Vorbehalte und was zu beobachten ist

Der Bericht stammt fast ausschließlich aus der Telemetrie eines einzigen Unternehmens, und so sollten die Zahlen gelesen werden. Anthropics Zuschreibungen beruhen auf eigenen Protokollen und Infrastrukturanalysen; unabhängige Forscher können die zugrunde liegenden Daten nicht einsehen. Alibaba, Moonshot, DeepSeek, Xiaomi und Anthropic reagierten nicht auf Presseanfragen, und keines der beschuldigten Labore hat die Befunde bestätigt. Destillation ist eine Dual-Use-Technik (dieselbe Methode ermöglicht legitime kleinere Modelle), und eine Kampagne „unrechtmäßig“ zu nennen ist ein Urteil über Einwilligung und Betrug, keine Behauptung, dass ein bestimmtes Gesetz gebrochen wurde.

Hinzu kommt eine Glaubwürdigkeitsdimension, die Anthropic nicht kontrolliert. Das Unternehmen hat das Jahr damit verbracht, Washington zu schärferen Regeln zu drängen, und seine Motive sind kommerziell wie sicherheitsgetrieben: Lassen sich seine Modelle billig kopieren, schwindet seine Preissetzungsmacht. Auch die eigene Datenschutzbilanz ist nicht tadellos, nach der 2025 mit Autoren geschlossenen Einigung darüber, wie es Trainingsbücher beschaffte.

Vier Dinge lohnen die Beobachtung. Ob sich die von der Warnung implizierte US-Gesetzgebung tatsächlich bewegt. Ob andere Frontier-Labore ähnliche Kampagnen bestätigen und eigene Zahlen veröffentlichen. Ob Anthropics neue Schutzmaßnahmen die Extraktion spürbar verteuern oder Labore nur zu neuen Techniken treiben. Und ob die Nutzerdaten-Panne (die sensiblen Sitzungen, die still durch Drittanbieter-Relais liefen) zu einem eigenen regulatorischen und rechtlichen Problem wird, für die chinesischen Labore wie für die Mittelsmänner, die diese Gespräche speicherten und verkauften.

Vorerst ist die wichtigste Lehre der Woche struktureller Natur. Die Exportkontroll-Debatte ging lange davon aus, dass der Ausschluss fortschrittlicher Chips aus China begrenzt, wie schnell dessen Modelle besser werden. Anthropics Bericht behauptet, dass ein erheblicher Teil dieser Verbesserung direkt aus amerikanischen Modellen kam, und dass die beteiligten Pipelines inzwischen industriell genug sind, um in derselben Woche sowohl eine Regierungswarnung als auch einen forensischen Anbieterbericht zu rechtfertigen.

Aufmacherbild: ein Rechenzentrum des CERN. Foto von Hugovanmeijeren, via Wikimedia Commons, CC BY-SA 3.0.