Milliarden Tokens abgeschöpft: Behörden warnen vor KI-Destillation im großen Stil
NSA, CISA und FBI veröffentlichten am 8. September 2026 eine gemeinsame Warnung vor industriell organisierter KI-Destillation. Die Mitteilung der NSA beschreibt verteilte Zugriffe auf US-amerikanische Spitzenmodelle, die über Modellanbieter, Cloud-Plattformen und weitere Infrastruktur liefen, um eine zentrale Erkennung zu erschweren.
Die Behörden werfen DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun und Z.AI vor, seit mindestens Ende 2024 Milliarden Tokens über Millionen Anfragen beziehungsweise Austauschvorgänge extrahiert zu haben. Die gemeinsame technische Warnung nennt dabei Varianten von Claude, GPT, Gemini und Grok. Es handelt sich um Anschuldigungen der US-Regierung, nicht um gerichtlich festgestellte Verantwortlichkeit.
China wies die Vorwürfe am 9. September als unbegründet zurück. Das Handelsministerium bezeichnete Destillation laut Associated Press als weltweit verbreitete Praxis; DeepSeek, Alibaba, Moonshot AI und Z.AI reagierten zunächst nicht auf Anfragen der Nachrichtenagentur.
So wird aus API-Zugriffen eine industrielle Kampagne
Die Warnung beschreibt keine einzelne Sicherheitslücke, sondern eine arbeitsteilige Zugriffskette. Native APIs, entfernte Cloud-Anbieter und Drittanbieter-Aggregatoren bilden mehrere Zugangswege. Hinzu kommen Proxy-Dienste, die in dem Dokument als „transfer stations“ bezeichnet werden und geografische Beschränkungen sowie Kontrollen der Anbieter umgehen sollen.
Konten und Abonnements bilden eine weitere Verteilungsebene. Nach Darstellung der Behörden liefen ähnliche Anfragen über zahlreiche Identitäten, IP-Adressen, Anbieter und gemeinsam genutzte Premium-Zugänge. Zentrale Routing-Systeme sollen Kontingente, Kosten und Verfügbarkeit überwacht und bei einer Drosselung automatisch auf einen anderen Pfad gewechselt haben.
Gesammelt wurden demnach nicht wahllos beliebige Antworten. Die beschriebenen Kampagnen zielten unter anderem auf Schlussfolgerungsfähigkeit, Programmierung, Datenanalyse, Werkzeugnutzung und visuelle Verarbeitung. Solche Ausgaben können als synthetische Trainingsdaten dienen, mit denen ein anderes Modell an Fähigkeiten und Antwortverhalten des abgefragten Systems angenähert wird.
Legitime Destillation und missbräuchliche Extraktion
Knowledge Distillation ist zunächst eine reguläre Methode des maschinellen Lernens: Ein leistungsfähiges Lehrermodell erzeugt Ausgaben, mit denen ein kleineres Schülermodell trainiert wird. Das Verfahren kann Modelle effizienter machen. Große Datenmengen oder automatisierte Anfragen allein belegen daher noch keinen Missbrauch.
Die US-Behörden ziehen die Grenze anhand von Zugang und Verhalten. Als missbräuchlich stufen sie unter anderem gefälschte oder geteilte Konten, die Umgehung regionaler Beschränkungen und Schutzmaßnahmen, Verstöße gegen Nutzungsbedingungen sowie die systematische Extraktion geschützter Funktionen ein. Auch das automatisierte Entfernen organisatorischer Merkmale aus Metadaten wird als Verschleierungstechnik beschrieben.
Damit bleibt die technische Erkennung von der geopolitischen Zuschreibung zu trennen. Ein Betreiber kann koordinierte Konten, wiederkehrende Prompt-Folgen oder automatisierte Pfadwechsel feststellen, ohne daraus allein die Identität oder staatliche Kenntnis eines Akteurs ableiten zu können. Die Behauptung, die Aktivitäten seien wahrscheinlich der chinesischen Regierung bekannt gewesen, ist eine Einschätzung der herausgebenden US-Behörden.
Diese Signale sollen Betreiber korrelieren
Ein einzelner hoher Verbrauch reicht nicht als Nachweis, weil auch Forschung, Evaluationen und schnell wachsende Geschäftskunden erhebliche Last erzeugen können. Aussagekräftiger wird das Muster, wenn Kontoentwicklung, Netzwerkherkunft, Anfrageinhalt, zeitlicher Verlauf und Wechsel zwischen mehreren Zugangswegen zusammenpassen.
- Konten und Identitäten: gemeinsam genutzte Zugänge mit wechselnden IP-Adressen oder User-Agents, ähnliche Registrierungs- und Zahlungsdaten sowie neue Abonnements, die unmittelbar mit maximaler Auslastung beginnen.
- Anfrageverhalten: Betrieb rund um die Uhr ohne menschlich typische Pausen, wiederkehrende oder nahezu identische Prompt-Folgen und über längere Zeit gleichförmige Aufgabenserien.
- Durchsatz und Kontingente: ein Missverhältnis zwischen Einzelabonnement und unternehmensähnlichem Volumen, dauerhaft ausgeschöpfte Quoten und eine auffällige Optimierung auf Cache-Nutzung statt auf vielfältige Aufgaben.
- Netzwerk und Routing: zeitlich korrelierte Aktivität über verschiedene Anbieter, Konten und Endpunkte sowie koordinierte Pfadwechsel nach Preisänderungen, Rate Limits oder Sperren.
- Metadaten: das plötzliche Verschwinden zuvor stabiler Organisationsmerkmale oder deren Ersatz durch generische und wechselnde Kennungen.
Die Priorität liegt deshalb auf einer gemeinsamen Sicht über API-, Identitäts-, Abrechnungs- und Netzwerkdaten. Aggregatoren und Cloud-Dienste spielen dabei eine besondere Rolle: Gehen Herkunfts- und Routinginformationen verloren, zerfällt eine zusammenhängende Kampagne in scheinbar unabhängige Kundenzugriffe.
Die empfohlenen Reaktionen und ihre Grenzen
Als erste Schutzschicht nennt die Warnung stärkere Identitätsprüfung, verhaltensbasierte Erkennung und die Überwachung von Abonnement-zu-Nutzungs-Verhältnissen, sofortiger Maximalauslastung neuer Konten sowie unternehmensähnlichem Durchsatz. Hinzu kommt der Austausch von Erkennungsdaten zwischen Modellanbietern, Cloud-Plattformen und API-Aggregatoren, damit verteilte Aktivitäten gemeinsam zugeordnet werden können.
Bei mit hoher Sicherheit erkannten Destillationsversuchen sollen Anbieter auch gezielte Änderungen ihrer Antworten erwägen. Genannt werden unter anderem geringere Argumentationstiefe, variierende Antwortmuster, Differential Privacy oder weniger leistungsfähige Modelle. Solche Eingriffe sind jedoch riskant: Fehler bei der Einstufung können legitime Kunden, Sicherheitsforschung und unabhängige Evaluationen beeinträchtigen.
Für Betreiber in Deutschland, Österreich und der Schweiz ist die Warnung relevant, wenn ihre Infrastruktur Modellzugriffe vermittelt oder Konto-, Zahlungs-, Routing- und Netzwerkdaten verarbeitet. Die unmittelbaren Empfehlungen richten sich zwar an US-Unternehmen, die beschriebene Erkennung funktioniert aber nur über die Grenzen einzelner Anbieter und Regionen hinweg.
Offen bleibt, wie vollständig die öffentlich zusammengefasste Telemetrie die Vorwürfe trägt: Die Behörden nennen zahlreiche Muster, veröffentlichen aber nicht sämtliche zugrunde liegenden Datensätze. Ebenso ist noch nicht bekannt, welche Anbieter infolge der Warnung Konten sperren, Informationen austauschen oder ihre technischen Kontrollen ändern werden. Bestätigt sind damit die Veröffentlichung der Warnung und ihre technischen Befunde; Zuschreibung und politische Bewertung bleiben umstritten.
Lesen Sie auch:
Newsletter abonnieren
Erhalten Sie die neuesten Nachrichten zu Web3, KI und Krypto direkt in Ihren Posteingang.