Am 8. September 2026 haben NSA, FBI und CISA sechs in China ansässige KI-Unternehmen mit mutmaßlichen industriellen Destillationskampagnen gegen US-amerikanische KI-Anbieter in Verbindung gebracht. Genannt werden DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun und Z.AI. Anthropic ordnet außerdem Millionen von Claude-Austauschen Alibaba-nahen Betreibern, Moonshot AI und DeepSeek zu. Der Vorwurf dreht sich um Zugang und Autorisierung – nicht um einen nachgewiesenen Diebstahl von Quellcode oder Modellgewichten.
Der US-Vorwurf in Kürze
CISA, NSA und FBI beschreiben Kampagnen, die laut ihrer gemeinsamen Warnung mindestens seit Ende 2024 laufen und Modelle wie Claude, GPT, Gemini und Grok ins Visier nehmen. Als mögliche Zugangswege nennen die Behörden native APIs, Cloud-Anbieter, Drittanbieter-Aggregatoren und sogenannte Transferstationen. Die beschriebenen Methoden umfassen unter anderem betrügerische Konten, gemeinsam genutzte Premium-Abonnements, Proxys, Wegwerf-E-Mail-Adressen, virtuelle Kartenzahlungen und bereinigte Metadaten.
Die sechs genannten Unternehmen sind:
- DeepSeek
- Moonshot AI, der Entwickler von Kimi
- Alibaba, verbunden mit Qwen
- MiniMax
- StepFun
- Z.AI
Die Behörden werfen diesen Unternehmen nicht pauschal dieselbe konkrete Handlung vor. Außerdem sind die sechs Namen aus der US-Warnung nicht automatisch identisch mit den sieben China-nahen Laboren, die Anthropic in einem eigenen Bericht erwähnt.
Was KI-Destillation bedeutet
KI-Destillation ist zunächst eine normale Lehrer-Schüler-Methode: Ein leistungsfähigeres Modell erzeugt Antworten, und ein zweites Modell nutzt diese Ausgaben, um ausgewählte Fähigkeiten zu lernen. So kann ein kleineres oder effizienteres System bestimmte Verhaltensweisen nachbilden, ohne dass dafür zwangsläufig Quellcode oder Modellgewichte des Lehrermodells übertragen werden.
Der Streit beginnt daher nicht bei der Existenz der Methode, sondern bei den Bedingungen. Anthropic und die US-Behörden behaupten, dass Betreiber für die beschriebenen Kampagnen unter anderem gefälschte Konten, Umgehungen geografischer Beschränkungen, Drittanbieter-Routing und große Mengen automatisierter Anfragen eingesetzt hätten. Im Mittelpunkt stehen außerdem Reasoning-Ausgaben, Programmier- und Agentenaufgaben sowie weitere spezialisierte Fähigkeiten.
Die entscheidende Grenze verläuft zwischen erlaubter Nutzung und einem Zugriff, der laut den Vorwürfen Zugangskontrollen oder Nutzungsbedingungen umgeht. Die Methode selbst macht eine solche Nutzung nicht automatisch rechtswidrig.
Die Claude-Zahlen von Anthropic
Anthropic ordnet die folgenden Mengen von Claude-Austauschen bestimmten Betreibern oder Unternehmen zu. Es handelt sich um zugeschriebene Angaben aus Anthropic’s Sicherheitsbewertung, nicht um gerichtliche Feststellungen.
| Unternehmen oder Betreiber | Zugeschriebene Claude-Aktivität | Messzeitraum | Zusätzliche Bedingung |
| Alibaba-nahe Betreiber | Mehr als 151 Millionen Austausche | Mai bis Juli 2026 | Spitzenwert von fast 3 Millionen Austauschen pro Tag; mehr als 3.500 mutmaßlich betrügerische Konten |
| Moonshot AI | Mehr als 23 Millionen Austausche | Mai bis Juli 2026 | Fast 300.000 weitergeleitete Kundenanfragen in einem Zeitraum von zehn Tagen |
| DeepSeek | Mehr als 12,1 Millionen Austausche | 14 Tage im Juli 2026 | Anthropic ordnet die Austausche DeepSeek zu |
Die Größenordnung erklärt, warum Anthropic und die US-Behörden von industriellem Vorgehen sprechen. Sie beantwortet aber nicht automatisch jede Frage zur Identität der Betreiber, zu einzelnen Konten oder zur rechtlichen Bewertung. Genau diese Unterscheidung ist wichtig: Eine große Zahl von API-Anfragen ist ein Indiz für Umfang, aber kein Gerichtsurteil.
Warum Nutzer- und Zugriffsfragen wichtig sind
Besonders heikel ist die Behauptung, dass manche Kundenanfragen von Kimi beziehungsweise DeepSeek an Claude weitergeleitet worden sein sollen, während die Nutzer davon möglicherweise nichts wussten. Anthropic zufolge soll Moonshot AI in einem zehntägigen Zeitraum fast 300.000 Kundenanfragen über Claude geleitet haben. Für DeepSeek wird ebenfalls eine solche Weiterleitung behauptet.
Damit verschiebt sich die Frage von der Modelltechnik zum Vertrauen in den Dienst: Welches Modell verarbeitet eine Anfrage tatsächlich? Welche Berechtigungen gelten für den Zugriff? Und wussten die betroffenen Kunden, dass ihre Eingaben über einen anderen Anbieter liefen? Der Umfang einer möglichen Information der Kunden bleibt bei dieser Behauptung offen; als feststehende Tatsache lässt sich daraus keine generelle Täuschung ableiten.
Anthropic erklärte außerdem, einige der betroffenen Austausche hätten sensible Informationen von Einzelpersonen, großen multinationalen Unternehmen und staatlich verbundenen Akteuren enthalten. Das macht die Zugriffskontrolle praktisch relevant: Bei der Destillation geht es nicht nur um Modellfähigkeiten, sondern möglicherweise auch um Daten, die Nutzer in ihren Anfragen übermitteln.
Was Anbieter als Nächstes tun könnten
CISA empfiehlt Anbietern, auffälliges Verhalten zu erkennen, Informationen zwischen Modellanbietern, Cloud-Plattformen und Aggregatoren auszutauschen und Antworten bei mit hoher Sicherheit erkannten Missbrauchsfällen gezielt zu verändern. Dazu können Antworten mit geringerer Qualität oder weniger Details gehören.
Das ist eine Empfehlung für eine gezielte Reaktion – keine belegte pauschale Drosselung chinesischer Nutzer. CISA betont zugleich, dass legitime Forscher und Evaluatoren anders behandelt werden müssen als mutmaßlich böswillige Betreiber. Für Anbieter entsteht damit ein schwieriges praktisches Problem: Sie müssen zwischen ungewöhnlicher, aber erlaubter Forschung und automatisierter Extraktion unterscheiden, ohne normale Nutzer versehentlich auszubremsen.
Was feststeht – und was nicht
Fest steht, dass NSA, FBI und CISA am 8. September 2026 eine gemeinsame Warnung mit sechs genannten Unternehmen veröffentlicht haben. Fest steht auch, dass Anthropic in seinem Bericht für den Zeitraum von Dezember 2025 bis August 2026 Claude-bezogene Missbrauchsaktivitäten beschreibt und deren Unterbrechung behauptet.
Nicht feststeht dadurch, dass DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun oder Z.AI vor Gericht wegen Diebstahls oder eines konkreten Gesetzesverstoßes verurteilt wurden. Ebenso belegen die beschriebenen Vorgänge keinen Transfer von Quellcode oder Modellgewichten. Im Zentrum stehen vielmehr Modellantworten, Reasoning-Spuren und daraus gewonnene Trainingsdaten – verbunden mit dem Vorwurf, dass der Zugang dafür in großem Maßstab missbräuchlich organisiert worden sei.
Die technische Methode ist nicht der Skandal. Entscheidend ist, ob sie mit erlaubtem Zugang, echten Konten und transparenter Nutzung betrieben wird.
