Fast 200 Millionen Interaktionen mit Claude
Anthropic berichtet von fünf Kampagnen, die gezielt Fähigkeiten seiner Claude-Modelle extrahiert haben sollen. Insgesamt ordnet das Unternehmen fast 200 Millionen Interaktionen solchen Destillationsangriffen zu.
Im Mittelpunkt standen demnach logisches Denken, Coding, Datenanalyse sowie die Nutzung von Werkzeugen durch KI-Agenten. Die gewonnenen Antworten sollten laut Anthropic als Trainingsmaterial für kleinere Modelle dienen.
„In den vergangenen Monaten haben unautorisierte Labore zunehmend ausgefeilte Methoden entwickelt, um Schutzmechanismen zu umgehen und die Fähigkeiten von US-Spitzenmodellen abzugreifen.“
Sinngemäße Übersetzung einer Aussage aus dem Anthropic-Bericht.
Wie Modelldestillation funktioniert
Bei der Modelldestillation überträgt man Fähigkeiten eines großen Modells auf ein kleineres Modell. Dazu werden dessen Antworten als Beispiele für überwachtes Nachtrainieren verwendet, auch Supervised Fine-Tuning genannt. Das kleinere Modell lernt dabei aus vorgegebenen Eingaben und den dazu erzeugten Musterantworten.
Die beschriebenen Kampagnen zielten speziell auf die Chain of Thought. Gemeint sind interne Denkschritte, die ein Modell zwischen Aufgabenstellung und Antwort erzeugt. Anthropic zeigt standardmäßig nur zusammengefasste Denkblöcke an, nicht die vollständigen internen Spuren.
Laut Bericht gelang die Umgehung unter anderem durch getarnte Übersetzungsanfragen. Ein verwendeter Prompt forderte sinngemäß dazu auf, den vorherigen Arbeitsspeicher in natürliches Japanisch ausschließlich mit Katakana-Zeichen zu übertragen. Damit sollte Claude zur Ausgabe zuvor verborgener Denkinhalte bewegt werden.
Alibaba-Kampagne dominiert die Zahlen
| Kampagne | Interaktionen | Konten | Zeitraum und Spitzenwert |
|---|---|---|---|
| Alle fünf Kampagnen | Fast 200 Millionen | Nicht genannt | Über mehrere Monate |
| Alibaba zugeordnet | 151 Millionen | 3.500 | Mai bis Juli 2026, fast 3 Millionen pro Tag |
| Moonshot AI zugeordnet | Knapp 300.000 | 5.000 | Innerhalb von 10 Tagen |
Die größte Kampagne ordnet Anthropic Alibaba zu. Zwischen Mai und Juli 2026 seien 151 Millionen Interaktionen registriert worden. Auf dem Höhepunkt lag das Volumen bei fast 3 Millionen Zugriffen pro Tag.
Die Anfragen verteilten sich auf 3.500 Konten, verwendeten aber einen einheitlichen Prompt zur Extraktion der Denkspuren. Anthropic geht deshalb von einer koordinierten Aktion aus, die Trainingsdaten für die Qwen-Modellfamilie erzeugen sollte.
Ob und in welchem Umfang diese Daten tatsächlich in Qwen eingeflossen sind, ist nicht belegt. Auch ein messbarer Qualitätsgewinn der Endmodelle lässt sich aus den veröffentlichten Zahlen nicht ableiten.
Moonshot AI soll vor allem Opus angesprochen haben
Eine weitere Kampagne schreibt Anthropic Moonshot AI zu, dem Entwickler von Kimi. Innerhalb von zehn Tagen seien knapp 300.000 Anfragen über 5.000 Konten an Claude übermittelt worden. Diese Zugriffe hätten sich vor allem auf das Modell Opus konzentriert.
Ein Teil der Anfragen betraf laut Anthropic die Auswertung von Überwachungsvideos. Dabei sollte Claude beurteilen, ob sich eine beobachtete Person auffällig verhält. Der Bericht vermutet einen Bezug zum chinesischen Militär, eine unabhängige Bestätigung dafür liegt jedoch nicht vor.
OpenAI hatte zuvor vergleichbare Aktivitäten DeepSeek zugeschrieben. Die breitere Auseinandersetzung um Modelldestillation durch chinesische KI-Anbieter zeigt, dass Trainingsdaten inzwischen nicht nur aus öffentlichen Quellen stammen, sondern auch über kommerzielle Modell-APIs erzeugt werden.
Cloud-APIs werden zur Quelle für Trainingsdaten
Für Unternehmen ist der Fall aus zwei Richtungen relevant. Einerseits können Modell-APIs in großem Umfang für Rückentwicklung und automatisierte Datengewinnung missbraucht werden. Andererseits zeigt die Zahl der beteiligten Konten, wie leicht sich Zugriffsmengen auf viele Identitäten verteilen lassen.
Bei eigenen KI-Diensten gewinnen deshalb getrennte API-Schlüssel, Zugriffslimits, Anomalieerkennung und eine klare Zuordnung von Kosten zu Anwendungen an Bedeutung. Das betrifft nicht nur Modellentwickler. Auch interne KI-Schnittstellen können durch kompromittierte Konten oder unkontrollierte Automatisierung hohe Lasten und Kosten verursachen.
Welche konkreten technischen oder rechtlichen Maßnahmen Anthropic gegen die identifizierten Konten und Akteure ergriffen hat, ist bislang nicht bekannt. Ebenso ist offen, ob Alibaba, Moonshot AI oder DeepSeek die jeweiligen Vorwürfe bestätigt oder bestritten haben.
Lokale Modelle werden strategisch interessanter
Destillation kann den Abstand zwischen großen proprietären Modellen und kompakteren Alternativen verkürzen. Der konkrete Qualitätstransfer ist in diesem Fall zwar nicht beziffert. Die Größenordnung der Kampagnen zeigt jedoch, welchen wirtschaftlichen Wert Anbieter den Denkfähigkeiten führender Modelle beimessen.
Für Unternehmen im DACH-Raum spricht das für regelmäßige Vergleichstests statt einer dauerhaften Bindung an ein einzelnes KI-Abo. Für klar abgegrenzte Aufgaben wie Coding, Datenanalyse oder interne Wissensabfragen können kleinere, lokal betriebene Modelle mittelfristig eine wirtschaftliche Alternative werden.
Passende Hardware wird ebenfalls leistungsfähiger. So ermöglichen etwa lokale KI-Workstations mit großem HBM-Speicher den Betrieb umfangreicher Modelle außerhalb externer Clouds. Das kann laufende API-Kosten und die Abhängigkeit vom Anbieter reduzieren, erfordert aber eigene Infrastruktur, Modellpflege und Sicherheitsprozesse.
Entscheidend bleibt die Herkunft der Modellfähigkeiten. Offen verfügbare oder günstigere Modelle sind nicht automatisch unproblematisch, wenn Trainingsmethoden, Datenquellen und Rechte ungeklärt bleiben. Bei sensiblen Anwendungen gehören deshalb technische Eignung, Datenschutz, Lizenzbedingungen und Nachvollziehbarkeit gemeinsam in die Beschaffungsentscheidung.