Anthropic hat Alibaba beschuldigt, die größte illegale Modelldestillationskampagne aller Zeiten durchgeführt zu haben, die Teil einer Welle von Extraktionsangriffen aus sieben in China ansässigen KI-Laboren ist, die das Unternehmen nach eigenen Angaben seit Februar 2026 entdeckt und gestört hat. Die Vorwürfe erscheinen im Threat Intelligence Report von Anthropic vom September 2026, der am Donnerstag veröffentlicht wurde und einen ganzen Abschnitt den Versuchen im industriellen Maßstab widmet, Claudes Fähigkeiten zu klonen.
Die Offenlegung ist die bisher detaillierteste öffentliche Darstellung einer Praxis, die sich in aller Stille zu einem der umstrittensten Probleme der KI-Branche entwickelt hat. Für alle, die [aktuelle KI-Nachrichten] (https://aibuzzwire.news) verfolgen, liest sich der Bericht als eine Eskalation im anhaltenden Kampf zwischen US-Grenzlaboren und chinesischen Konkurrenten darüber, wer die leistungsfähigsten Modelle kontrolliert – und wie diese Fähigkeiten erlangt werden.
Was Anthropic sagt, Alibaba hat es getan
Dem Bericht zufolge fügten Betreiber, die mit Alibabas Qwen oder Tongyi Lab verbunden sind, in jede Anfrage eine feste Eingabeaufforderung ein, die Claude dazu zwang, vor der Antwort die gesamte Gedankenkette in Inline-Text-Tags zu schreiben. Diese Argumentationsprotokolle wurden dann gespeichert und in überwachte Feinabstimmungsdaten umgewandelt, die laut Anthropic zum Trainieren von Qwen 3.5, 3.6 und 3.7 verwendet wurden.
Der Umfang ist auffällig. Laut Anthropic zielte die Kampagne auf die Gedankenketten-Transkripte von Opus 4.6 und 4.7 ab, erreichte ihren Höhepunkt mit fast 3 Millionen Austauschen pro Tag, die von mehr als 3.500 betrügerischen Konten aus gestartet wurden, und belief sich zwischen Mai und Juli 2026 auf über 151 Millionen beobachtete Austausche. Das Unternehmen gibt an, dass die Operation zwei Pools von fast 5.000 betrügerischen Konten durchlief, die private Proxys, Wegwerf-E-Mail-Adressen und virtuelle Kartenzahlungen nutzten, um ihre Transaktionen zu verbergen Spuren. Als Anthropic den ersten Pool verbot, verlagerte sich der Verkehr einfach auf den zweiten.
Über die Destillation hinaus wird Alibaba in dem Bericht vorgeworfen, Claude auch dazu genutzt zu haben, seine eigene KI-Forschung und -Entwicklung voranzutreiben, einschließlich des Aufbaus von Lernumgebungen zur Verstärkung und Modellarchitekturforschung. Laut Anthropic wurde festgestellt, dass einige Konten auch Anfragen von DeepSeek und Xiaomi weiterleiten, was darauf hindeutet, dass dieselben Proxy-Netzwerke mehrere Organisationen bedienen.
Moonshot bediente Claude statt Kimi
Die Vorwürfe gegen Moonshot AI, den Hersteller der Kimi-Modellfamilie, sind vielleicht die ungewöhnlichsten. Anthropic berichtet, dass Moonshot Kundenanfragen stillschweigend an Claude weitergeleitet hat, anstatt sie mit seinen eigenen Modellen zu bearbeiten – und dann Claudes Antworten Benutzern angezeigt hat, die glaubten, mit Kimi zu sprechen.
In einem Fall zählte Anthropic fast 300.000 Kundenanfragen, die innerhalb von nur zehn Tagen an Anthropic weitergeleitet wurden, wobei die überwiegende Mehrheit an Opus weitergeleitet wurde. Die Operation lief über ein Proxy-Netzwerk von 5.380 betrügerischen Konten, von denen sich die meisten offenbar in Singapur und Japan befanden. Zwischen Mai und Juli 2026 führt Anthropic der Kampagne mehr als 23 Millionen Börsen zu.
Moonshot baute auch etwas auf, das Anthropic als sitzungsübergreifenden Replay-Angriff bezeichnet: Es speichert die verschlüsselte „Denksignatur“, die Claude anstelle der rohen Argumentation zurückgibt, startet dann eine neue Sitzung und fordert Claude auf, diese Signatur wieder in die vollständige Argumentationsspur umzuwandeln. Anthropic sagt, dass DeepSeek die gleiche Technik verwendet hat und dass neue Abwehrmaßnahmen dagegen eingesetzt werden.
Der Bericht weist auf eine schwerwiegende Datenschutzdimension hin: Benutzeranfragen, die Moonshot umleitete, enthielten vertrauliche Informationen, deren Weitergabe an Dritte die Kunden niemals zugestimmt hatten. Beispiele hierfür sind ein Benutzer, der wahrscheinlich der chinesischen Volksbefreiungsarmee angehört und CCTV-Überwachungsdaten einer Zielperson aus Hunderten von Kameras in Chengdu analysiert, sowie ein Ingenieur eines großen chinesischen Staatsunternehmens, dessen interner Code und Live-Zugangsdaten ohne sein Wissen an Claude weitergegeben wurden.
DeepSeeks Relay-Betrieb
Anthropic sagt, DeepSeek habe ähnliche Taktiken eingesetzt, indem es Benutzeranfragen stillschweigend an Claude Opus weitergeleitet und Argumentationsspuren über dieselbe sitzungsübergreifende Wiedergabemethode gesammelt habe. Berichten zufolge identifizierte das Unternehmen Ziele, indem es eingehende Anfragen auf Zeichenfolgen überprüfte, die mit Codierungssystemen von Drittanbietern wie Claude Code, dem Claude Agent SDK und OpenCode verknüpft waren, und dann markierte Benutzeranfragen zur Weiterleitung auswählte.
Das Ausmaß, das DeepSeek zugeschrieben wird: über 12,1 Millionen Austausche, die in nur 14 Tagen im Juli 2026 beobachtet wurden. Die übermittelten Daten enthüllten, was die Benutzer sicherlich als privat ansahen. Zu den Beispielen von Anthropic gehören ein Mitarbeiter eines chinesischen Technologieunternehmens, der die interne Dokumentation für ein Flaggschiff-KI-Programm analysiert, ein IT-Betreiber, der mit Daten einer mit dem Verteidigungsministerium verbundenen russischen Regierungsbehörde arbeitet, deren Anfragen Live-Datenbank-Zugangsdaten offenlegten, und Ingenieure eines städtischen Büros für öffentliche Sicherheit in China, das ein Tool entwickelt, das die Bewegungen von Einzelpersonen anhand von Polizeiakten anhand der nationalen ID-Nummer verfolgt.
Zhipu, Xiaomi und das breitere Muster
Der Bericht führt auch eine Kampagne zur Extraktion von Gedankenketten auf Zhipu AI zurück, das sich außerhalb Chinas als Z.ai vermarktet. Anthropic sagt, dass Zhipu seine Pipeline gegen Opus 4.8 laufen ließ, indem es im Juni innerhalb von zehn Tagen 273 betrügerische Konten durchlief und dabei 770.609 Börsen über seinen CoT-Extraktionsreiniger und über 3 Millionen Börsen insgesamt im gleichen Zeitraum zählte.
DeepSeek, Xiaomi und Moonshot werden separat beschuldigt, Gespräche zwischen ihren eigenen Benutzern und Modellen als Trainingsdaten in Claude eingespeist zu haben. Anthropic sagt, dass diese Sitzungen Namen, E-Mail-Adressen, Unternehmensdaten und andere sensible Informationen von Hunderten von Endbenutzern in mindestens einem Dutzend Sprachen enthielten – ein Großteil davon wurde über Modell-Routing-Dienste Dritter weitergeleitet, die bei Benutzern in den USA und Europa beliebt sind – und dass die Praktiken wahrscheinlich im Widerspruch zu Datenschutzgesetzen und den eigenen Nutzungsbedingungen der Labore stehen.
Warum die Destillation so schwer zu stoppen ist
Die Destillation selbst ist eine legitime und weit verbreitete Trainingsmethode: Ein kleineres „Schüler“-Modell lernt aus den Ergebnissen eines größeren „Lehrer“-Modells. Was Anthropic als illegal definiert, ist die verdeckte Version im industriellen Maßstab – gefälschte Konten, die auf gestohlenen Kreditkarten, Zugangsdaten und API-Schlüsseln sowie gekauften Benutzerprotokollen von Proxy-Diensten basieren, die Gespräche ohne Wissen der Benutzer speichern.
Die im Bericht dokumentierten Extraktionsversuche reichen von unverblümt bis kreativ. Ein Labor führte ein Experiment mit 12.000 Anfragen durch, wobei jede Anfrage eine andere Technik verwendete, um herauszufinden, welche Claudes Argumentation extrahieren würden. Ein anderer wies das Modell an, sein bisheriges Arbeitsgedächtnis in Katakana-Japanisch zu „übersetzen“, um Anti-Destillationsfilter zu umgehen.
OpenAI hat Destillationsangriffe seit Anfang 2025 öffentlich gemeldet und Google hat Anfang des Jahres einen Threat-Tracker zu gegnerischer Destillation veröffentlicht. Der Beitrag von Anthropic ist Umfang und Spezifität: benannte Labore, benannte Modelle und harte Zahlen.
Anthropic sagt, dass alle sieben Laborangriffe auf die allgemein verfügbaren Modelle abzielten und dass keine Versuche gegen die eingeschränkten Mythos 5- oder Mythos Preview-Systeme beobachtet wurden, die nicht für die Öffentlichkeit zugänglich sind. Es wird außerdem darauf hingewiesen, dass Modelle, die aus Grenzsystemen destilliert wurden, keine ihrer Sicherheitsleitplanken übernehmen – und dass eigene Untersuchungen darauf hindeuten, dass die Destillation gefährliche Fähigkeiten in biologischen und Cyber-Domänen verbessern kann, selbst wenn die gesammelten Austauschdaten wenig über diese Themen enthalten.
Das Unternehmen gibt an, dass jede der beschriebenen Kampagnen unterbrochen wurde, dass die Sicherheitsmaßnahmen als Reaktion darauf verstärkt wurden und dass Informationen gegebenenfalls an Behörden und Industriepartner weitergegeben wurden. Ob die Benennung von Namen die Wirtschaftlichkeit des Klonens von Grenzmodellen verändert – oder lediglich ein bereits in vollem Gange befindliches Wettrüsten dokumentiert –, hängt davon ab, was als nächstes passiert.
---
Der KI einen Schritt voraus seinErhalten Sie die neuesten KI-Nachrichten, Analysen und Durchbrüche – alles an einem Ort.
Weitere KI-Neuigkeiten lesen →
