Anthropic beschrieb am 10. September 2026 sieben Kampagnen, bei denen mit chinesischen KI-Firmen verbundene Betreiber Claude über betrügerische Konten, Proxy-Dienste und koordinierte Abfragen genutzt haben sollen. Die NSA, CISA und das FBI hatten bereits am 8. September sechs Unternehmen genannt und die Vorgänge als industrielle Wissensdestillation gegen US-KI-Unternehmen eingeordnet. Im Mittelpunkt stehen nicht einzelne Testanfragen, sondern die behauptete massenhafte Sammlung von Modellantworten für konkurrierende Systeme.
Anthropic schrieb den Betreibern mit Alibaba-Verbindung für den Zeitraum Mai bis Juli 2026 mehr als 151 Millionen Claude-Austausche zu. Für Moonshot AI nannte das Unternehmen mehr als 23 Millionen Austausche und fast 300.000 Kundenanfragen, die innerhalb eines Zeitraums von zehn Tagen über Claude geleitet worden sein sollen. DeepSeek soll in 14 Tagen im Juli mehr als 12,1 Millionen Austausche erzeugt haben.
Was passiert ist
Anthropic nannte in seiner September-Darstellung Alibaba, Moonshot AI, DeepSeek, Zhipu/Z.AI, Xiaomi, MiniMax und SenseTime. Die gemeinsame Empfehlung von NSA, CISA und FBI führte dagegen DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun und Z.AI auf. Die beiden Listen überschneiden sich, sind aber nicht identisch.
Die US-Behörden datierten den Beginn systematischer Kampagnen auf mindestens Ende 2024. Anthropic bezog seine Darstellung auf Aktivitäten, die zwischen Dezember 2025 und August 2026 unterbrochen worden seien. Dabei ging es laut den beteiligten Behörden und Anthropic um Zugänge über native Programmierschnittstellen, Cloud-Anbieter, Drittanbieter-Aggregatoren und Proxy-Dienste.
Als mutmaßliche Umgehungsmethoden wurden betrügerische Konten, gemeinsam genutzte Zahlungsdaten, verschleierte Standorte, automatisches Ausweichen auf andere Zugänge, manipulierte Prompts und Versuche zur Extraktion von Reasoning-Daten beschrieben. Die US-Behörden schätzten zudem, die Aktivitäten seien wahrscheinlich mit Wissen der chinesischen Regierung erfolgt. Diese Formulierung beschreibt eine behördliche Einschätzung, nicht die direkte Steuerung jeder einzelnen Kampagne durch Peking.
Was Modell-Destillation bedeutet
Bei der Modell-Destillation lernt ein kleineres Studentenmodell aus Antworten eines leistungsfähigeren Lehrermodells. Die Methode ist in der KI-Entwicklung üblich und für sich genommen weder legal noch illegal. Der aktuelle Streit dreht sich um den von Anthropic und den US-Behörden behaupteten Zugriff über gefälschte Identitäten, Proxy-Netzwerke und koordinierte Abfragen sowie um die vermutete Nutzung der gesammelten Daten.
Anthropic zufolge zielten die Abfragen unter anderem auf Schlussfolgerungen, Tool-Nutzung, Programmierung, agentische Arbeitsabläufe, Computerbedienung, Datenanalyse, Computer Vision und Softwareentwicklung. Einige Prompts sollen außerdem versucht haben, detaillierte Reasoning-Spuren oder charakteristische Antwortmuster herauszulocken.
Die größten Kampagnen im Überblick
Anthropic beschrieb folgende Aktivitäten mit unterschiedlichen Zeiträumen und Größenordnungen:
| Zugeschriebener Akteur | Zeitraum | Von Anthropic beschriebene Aktivität | Behauptete Nutzung |
| Mit Alibaba verbundene Betreiber | Mai–Juli 2026 | Mehr als 151 Millionen Claude-Austausche über mehr als 3.500 betrügerische Konten | Daten sollen die Entwicklung von Qwen unterstützt haben |
| Moonshot AI | Mai–Juli 2026 | Mehr als 23 Millionen Claude-Austausche; fast 300.000 Kundenanfragen in zehn Tagen | Abfragen sollen über Kimi an Claude weitergeleitet und für die Modellverbesserung genutzt worden sein |
| DeepSeek | 14 Tage im Juli 2026 | Mehr als 12,1 Millionen Claude-Austausche | Fähigkeiten und Antwortdaten sollen für ein konkurrierendes Modell extrahiert worden sein |
| Zhipu/Z.AI | 17 Tage im Juni und Juli 2026 | Mehr als 3,4 Millionen Austausche über 273 wechselnde Konten | Anthropic brachte die Kampagne mit der Extraktion von Reasoning-Daten in Verbindung |
| Xiaomi | 20 Tage im März und April 2026 | Mehr als 400.000 Austausche | MiMo-Unterhaltungen und Programmiersitzungen sollen über Claude wiedergegeben worden sein |
Die Zahlen stammen aus den jeweiligen Beschreibungen von Anthropic und beziehen sich auf verschiedene Kampagnen und Zeitfenster. Sie lassen sich deshalb nicht ohne Weiteres zu einer einzigen Gesamtsumme addieren. Für Alibaba, Moonshot AI und DeepSeek ergeben allein die genannten Mindestwerte mehr als 186,1 Millionen Austausche; weitere Kampagnen und nicht bezifferte Aktivitäten sind darin nicht enthalten.
Warum weitergeleitete Kundenanfragen besonders brisant wären
Die Vorwürfe gegen Moonshot AI und DeepSeek betreffen nicht nur synthetische Testprompts. Anthropic erklärte, einige echte Kundenanfragen seien ohne Wissen der Nutzer über Claude geleitet worden. Bei Moonshot AI soll dies fast 300.000 Anfragen innerhalb von zehn Tagen betroffen haben. Das bleibt eine zugeschriebene Aktivität und keine Aussage über jede Anfrage oder jeden Nutzer der genannten Dienste.
Anthropic erklärte außerdem, weitergeleitete Sitzungen hätten teilweise Namen, E-Mail-Adressen und Unternehmensmaterial enthalten. Damit würde aus einem Streit über Modelltraining auch eine Frage des Datenschutzes und der Vertraulichkeit von Kundendaten. Die mögliche Reichweite hängt dabei von den tatsächlich weitergeleiteten Sitzungen und deren Inhalt ab.
Der technische Hebel liegt in der Programmierschnittstelle: Ein Betreiber muss nicht zwangsläufig Zugriff auf die Hardware eines US-KI-Unternehmens erhalten, um Antworten eines leistungsfähigen Modells automatisiert abzurufen. Die US-Behörden argumentierten, dass sich auf diesem Weg Fähigkeiten in Form von Ausgaben übertragen lassen. Genau deshalb greifen reine Beschränkungen für den Export physischer Chips an dieser Stelle nur eingeschränkt.
Was Anthropic geändert hat
Anthropic erklärte, die beschriebenen Kampagnen unterbrochen und mehrere Schutzmaßnahmen eingeführt zu haben. Dazu gehören Verhaltensklassifikatoren, Sperren auf Konto- und Organisationsebene, strengere Identitätsprüfungen, der Austausch von Erkenntnissen mit anderen Anbietern sowie Änderungen, die die Detailtiefe von Reasoning-Ausgaben reduzieren.
Im Februar 2026 hatte Anthropic bereits drei frühere Kampagnen mit mehr als 16 Millionen Claude-Austauschen und ungefähr 24.000 betrügerischen Konten beschrieben. Die September-Darstellung ordnete diese Fälle in eine breitere Serie von Aktivitäten ein, die auch Claude Haiku, Sonnet und Opus betrafen; in einem Fall wurde eine Modellklasse namens Fable oder Mythos genannt.
Der politische Streit verschärft sich
Die gemeinsame Empfehlung von NSA, CISA und FBI vom 8. September 2026 stellte die Vorgänge in einen nationalen Sicherheitskontext und empfahl unter anderem bessere Erkennung, gezielte Reaktionen und den Austausch von Informationen. Ein Memorandum des Weißen Hauses vom 23. April 2026 hatte adversariale Destillation amerikanischer KI-Modelle bereits als Sicherheitsproblem eingeordnet.
Chinas Handelsministerium wies die US-Vorwürfe am 9. September 2026 als unbegründet zurück und kündigte Gegenmaßnahmen an, falls chinesische KI-Unternehmen unter diesem Vorwand unterdrückt würden. Für den Stand bis zum 12. September 2026 lag keine gerichtliche Feststellung oder strafrechtliche Verurteilung der genannten Unternehmen wegen der behaupteten Destillation vor.
