OpenAI erklärt, eine Kampagne zur Extraktion von Schlussfolgerungen mit Verbindung zu Moonshot-AI-Umfeld vereitelt zu haben

OpenAI gab am 30. September 2026 bekannt, eine koordinierte Kampagne vereitelt zu haben, die das verborgene Schlussfolgern extrahieren sollte, das seine Modelle zur Problemlösung nutzen, und verwies auf Personen aus dem Umfeld von Moonshot AI, dem chinesischen Entwickler der Modellfamilie Kimi. In einem Beitrag mit dem Titel „Disrupting a coordinated model-distillation campaign“ erklärte das Unternehmen, die Aktivität habe in der ersten Juli-Woche begonnen und geendet, als es die Operation am 28. Juli abschaltete.

Zum Weiterlesen: OpenAI verlegt das Frontier-Training vom offenen Internet auf eine zwischengespeicherte Kopie des Webs · OpenAI-Umsatz unter den Erwartungen schickt KI-Aktien auf Talfahrt.

Die Offenlegung fiel in einen wachsenden Streit über Destillation, die Praxis, die Ausgaben eines Modells zum Training eines anderen zu nutzen. OpenAI nennt diesen Fall gegnerische Destillation, weil die Betreiber gegen die Nutzungsbedingungen verstoßen und auf Schlussfolgerungen abgezielt hätten, die das Unternehmen bewusst verbirgt.

Was laut OpenAI geschah

OpenAI erklärt, es habe erstmals am 1. Juli geringe Aktivität bemerkt. Das Volumen blieb klein bis zum 24. und 25. Juli, als es 16.000 Anfragen von mehr als 4.000 Nutzern erfasste, die einem relevanten Extraktionsmuster entsprachen. Eine genauere Prüfung ergab zusammenhängende Prompt-Aktivität über einen Cluster von mehr als 15.000 Konten. Bis zum 28. Juli, so OpenAI, sei die Operation vollständig vereitelt gewesen.

Das Unternehmen fügte diesen Zahlen eine Fußnote bei: Sie beschreiben versuchte, nicht notwendigerweise erfolgreiche Extraktionen. OpenAI hat nicht gesagt, wie viel Schlussfolgern die Betreiber gegebenenfalls zurückgewonnen haben, und diese Lücke zieht sich durch die gesamte Offenlegung.

Das Ziel war spezifisch. OpenAI verbirgt zunehmend das Schlussfolgern, das ein Modell vor seiner Antwort erzeugt, also gingen die Betreiber eine Stelle an, an der dieses Schlussfolgern noch auftauchen kann: die verschlüsselten Daten, mit denen ein Modell seinen internen Zustand zwischen Nachrichten weitergibt.

Die Methode: verschlüsseltes Schlussfolgern, zwischen Gesprächen verschoben

OpenAI nannte die Technik neuartig. Die Betreiber kopierten verschlüsselte Schlussfolgerungsdaten aus einem Gespräch, eröffneten dann ein separates Gespräch und baten das Modell, den Inhalt zu entschlüsseln und im Klartext auszuschreiben. Laut dem Unternehmen brachen die Betreiber nicht die Verschlüsselung, kompromittierten keine Datenbank und erreichten keine gespeicherten Nutzergespräche. Stattdessen manipulierten sie Modellinteraktionen in einem Ausmaß, das gegen die Nutzungsbedingungen verstieß.

Die unmittelbare Ursache war ein Fehler: Das System erlaubte es einem Nutzer, verschlüsselte Daten aus einem Gespräch zu nehmen und in einem anderen zu entschlüsseln. OpenAI erklärt, es habe diesen Weg geschlossen und Prüfungen hinzugefügt, um gestreamte Ausgaben zurückzuhalten, die Schlussfolgern preisgeben könnten.

Die Schwachstelle war nicht allein OpenAIs. Forscher bei MATS Research, dem ELLIS Institute Tübingen und Synk meldeten im August 2026 eine ähnliche Architekturschwachstelle und fanden, dass verschlüsselte Schlussfolgerungsspuren innerhalb des Ökosystems eines einzelnen Anbieters über Sitzungen, Nutzer und Modelle hinweg wiedergegeben werden konnten. Ein schwächeres und weniger abgesichertes Modell, so die Forscher, lasse sich dazu bringen, die Spur eines stärkeren Modells zu entschlüsseln, ohne das stärkere Modell direkt zu jailbreaken. The Hacker News berichtete, OpenAI habe die Ergebnisse der Forscher nachgestellt und die Angriffspfade bestätigt. OpenAI hat erklärt, dieselbe Schwachstelle existiere in anderen KI-Modellen.

Warum der Fehler über einen Anbieter hinaus zählt

Die Kampagne legt ein Spannungsfeld im Design offen. Anbieter begannen, ihr Schlussfolgern zu verbergen, weil es kopiert werden kann und weil es Informationen offenbaren kann, die ein Modell sonst zurückhält. Ein Modell muss dieses Schlussfolgern aber weiterhin zwischen Zügen weitergeben, also verschlüsselt das System es und gibt es an den Client zurück. Der Fehler, den OpenAI behob, steckte in dieser Übergabe.

The Hacker News berichtete, die externen Forscher hätten die verschlüsselten Spuren als „vollständig kompatibel und austauschbar zwischen verschiedenen Sitzungen, Nutzern und Modellen innerhalb des Ökosystems eines Anbieters“ beschrieben. Wenn das zutrifft, ist die Schwäche nicht spezifisch für OpenAI oder ein Modell. Sie ist eine Eigenschaft davon, verschlüsseltes Schlussfolgern als übertragbaren Zustand zu behandeln, und sie bringt jedes Labor, das so verfährt, in dieselbe Kategorie. OpenAIs Hinweis, die Schwachstelle existiere anderswo, passt zu dieser Sicht.

Die Zuordnungslücke

OpenAI ordnet ein Kerncluster der Aktivität Personen aus dem Umfeld von Moonshot AI zu, dem Entwickler der Modellfamilie Kimi. Es erklärt zugleich, es sei unklar, ob all die beobachtete Aktivität von einem einzigen Akteur stamme, was Raum für unbeteiligte Nutzer lässt, die zufällig dasselbe Muster auslösten.

Das Unternehmen veröffentlichte keine technischen Belege für die Verbindung zu Moonshot. CyberScoop berichtete, der Blogbeitrag nenne weder technische Belege noch eine Begründung für die Zuordnung. OpenAI sagte der Redaktion, es werde „aus Sicherheitsgründen“ nicht mehr teilen. Moonshot reagierte nicht sofort auf Bitten von CyberScoop oder CNBC um Stellungnahme.

Diese Lücke ist wichtig. „Personen aus dem Umfeld von Moonshot AI“ ist enger gefasst als „Moonshot AI hat das getan“, und OpenAIs eigene Formulierung hält beides getrennt. Die Implikation ist ernst, doch die öffentliche Aktenlage ist bislang eine Anschuldigung ohne die zugrunde liegenden Belege.

Kontext: ein wachsender Streit über Destillation

OpenAIs Offenlegung traf auf einen Streit, der sich seit Monaten aufbaute. Am 8. September 2026 veröffentlichten CISA, die NSA und das FBI eine gemeinsame Stellungnahme, AA26-251A, die eine Destillation im industriellen Maßstab durch in China ansässige KI-Unternehmen beschrieb. Die Stellungnahme nennt DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun und Z.AI. Sie besagt, Moonshot AI habe erhebliche Daten von Claude Fable 5 extrahiert, um sein Modell Kimi-K3 zu trainieren, und Daten von GPT-4o, um Kimi-K2 zu trainieren, und sie beschreibt „Transferstationen“, Proxy-Netzwerke, die Zugang zu Frontier-Modellen weiterverkaufen und Käufern helfen, regionale Beschränkungen und Schutzmaßnahmen zu umgehen.

Destillation selbst ist nicht das Ziel, und die Stellungnahme sagt das auch. Ein kleineres Modell auf den Ausgaben eines größeren zu trainieren, ist eine Standard- und nützliche Technik in der KI-Forschung. Was die Stellungnahme und OpenAI beschreiben, ist eine andere Aktivität: die Ausgaben eines Rivalen in industriellem Maßstab zu sammeln, gegen die Nutzungsbedingungen, um eine Fähigkeitslücke schnell zu schließen.

Die Stellungnahme empfahl drei breite Antworten: bessere Erkennung anomaler Prompts, Konten und Netzwerke; Änderungen, die den Wert mutmaßlicher Destillationsanfragen still verringern; und Informationsaustausch zwischen Anbietern, Cloud-Plattformen und API-Aggregatoren, damit verteilte Kampagnen sichtbar werden.

OpenAIs Darstellung entspricht einem Muster, das die Bundesstellungnahme beschreibt: betrügerische Konten, geteilte Abonnements und Proxy-Infrastruktur, mit Anfragen über mehrere Anbieter verteilt, sodass kein einzelnes Unternehmen die ganze Kampagne sieht. Deshalb fordert die Stellungnahme, Aktivitäten unternehmensübergreifend zu korrelieren.

Zwei Tage nach der Bundesstellungnahme veröffentlichte Anthropic seinen Bedrohungsbericht für September 2026. In einem Fall, den es als GTG-16002 verfolgte, erklärte Anthropic, Moonshot AI habe Kundenanfragen still an Claude weitergeleitet, statt sie mit Kimi zu bearbeiten, und dann Claudes Antworten Nutzern angezeigt, die glaubten, mit Kimi zu sprechen. In einem Zeitraum von zehn Tagen, so Anthropic, leitete Moonshot fast 300.000 Kundenanfragen über ein Netzwerk aus 5.380 betrügerischen Konten. Anthropic erklärte zudem, Moonshot habe eine Pipeline gebaut, um Claudes Schlussfolgerungstranskripte aus den gespeicherten Austauschen zu extrahieren.

Zuvor hatte Michael Kratsios, Direktor des White House Office of Science and Technology Policy, Moonshot beschuldigt, in großem Maßstab Destillation zu betreiben und eingeschränkte Nvidia-Chips erworben zu haben, um Kimi K3 zu bauen, wie Quartz anmerkte. Moonshot hat die jüngsten Vorwürfe nicht öffentlich beantwortet.

Der Streit dreht sich auch um Ökonomie. Frontier-Labore behandeln verborgenes Schlussfolgern zunehmend als das Asset, das eine Antwort vom Modell eines Wettbewerbers trennt, weshalb es inzwischen zurückgehalten wird. Destillation bietet eine Abkürzung darum herum: das Schlussfolgern eines anderen Labors ernten, dagegen trainieren und Jahre von Versuch und Irrtum überspringen.

Was OpenAI geändert hat

OpenAI beschrieb seine Reaktion in Schichten. Es sperrte betrügerische Konten oder schränkte sie ein, verschärfte Registrierungs- und Infrastrukturkontrollen und erweiterte die Überwachung zusammenhängender Netzwerke. Es verstärkte zudem den Schutz des verborgenen Schlussfolgerns, den Fix, der verhindern soll, dass jemand, der das verschlüsselte Schlussfolgern eines anderen Nutzers besitzt, dessen Inhalt wiederherstellt.

Das Unternehmen erklärte, es habe seine Erkenntnisse mit dem Frontier Model Forum, einer Branchengruppe, und über staatliche Informationsaustauschkanäle geteilt. Es erklärte, seine Arbeit laufe in drei Bereichen weiter: stärkere technische Schutzmaßnahmen gegen Extraktion, bessere Erkennung und Durchsetzung gegen koordinierte Kampagnen und ein tieferer Austausch von Bedrohungsinformationen zwischen Industrie und Staat. Der Beitrag nennt nicht, wie viele Konten gesperrt wurden, welche Modelle betroffen waren oder ob OpenAI Moonshot AI direkt kontaktiert hat.

Die Betreiber haben unsere Verschlüsselung nicht gebrochen, keine Datenbank kompromittiert und keinen direkten Zugriff auf gespeicherte Nutzergespräche erlangt.

Das ist OpenAIs eigene Beschreibung der Kampagne, aus seinem Beitrag vom 30. September.

Vorbehalte

• Die Juli-Zahlen sind Versuche, keine bestätigten Erfolge. OpenAIs Fußnote ist eindeutig, und das Unternehmen hat nicht gesagt, was die Kampagne tatsächlich erlangte.
• Die Zuordnung endet vor dem Unternehmen. OpenAI verbindet ein Kerncluster mit Personen aus dem Umfeld von Moonshot AI, nicht mit der Firma als Institution, und erklärt, einiges von dem Beobachteten könne unzusammenhängend sein.
• Es sind keine technischen Belege öffentlich. Die stärkste Quelle für die Verbindung zu Moonshot ist OpenAIs eigene Darstellung, wiederholt von Medien, die zugleich das Fehlen stützender Details vermerken.
• Der Fix ist möglicherweise nicht überall vollständig. The Decoder berichtete, externe Forscher hätten gefunden, dass dieselbe Technikklasse wochenlang weiter auf Cloud-Plattformen funktionierte, mit einigen Schutzmaßnahmen, die spät kamen. Wenn das zutrifft, ist die Schwäche ein gemeinsames Architekturproblem und nicht ein gepatchter Fehler.

Was zu beobachten ist

Drei Dinge werden prägen, wohin das als Nächstes führt.

Erstens, Moonshots Reaktion. Das Unternehmen hat sich bislang bedeckt gehalten. Ein Dementi, eine technische Widerlegung oder anhaltendes Schweigen wiegen jeweils anders, und keines davon würde die zugrunde liegende Frage für sich klären.

Zweitens, ob OpenAI mehr veröffentlicht. Seine Weigerung, Belege „aus Sicherheitsgründen“ zu teilen, ist verständlich, solange Angreifer aktiv sind, doch ein nicht zugeordneter Befund ist für den Rest der Branche schwer umsetzbar. Das Frontier Model Forum ist der wahrscheinlichste Ort, an dem zuerst mehr Details auftauchen.

Drittens, Regulierung. Die Bundesstellungnahme rahmt Destillation bereits als nationale Sicherheitsfrage, und die politische Aufmerksamkeit für die chinesische Modellentwicklung steigt weiter. Neue Regeln oder Durchsetzung könnten folgen, und sie würden eine Branche treffen, die Destillation bislang über Nutzungsbedingungen und Kontosperren geregelt hat.

Keine dieser drei Entwicklungen würde die zentrale Tatsachenfrage klären, nämlich ob OpenAIs Belege außerhalb des Unternehmens Bestand hätten. Bis es mehr veröffentlicht, ist die Offenlegung der Bericht eines Labors über einen realen technischen Fehler, verbunden mit einer Zuordnung, die noch keine Außenstehende prüfen konnte.

Titelbild: OpenAI-Chef Sam Altman. Bild: Village Global / Wikimedia Commons, CC BY 2.0.