Die US-amerikanische National Security Agency, die Cybersecurity and Infrastructure Security Agency und das Federal Bureau of Investigation veröffentlichten am 8. September 2026 ein gemeinsames Advisory zu mutmaßlichen industriellen Wissensdestillationskampagnen gegen US-Anbieter von Frontier-KI. Die Behörden werfen sechs in China ansässigen KI-Unternehmen vor, verteilte Konten, Cloud-Zugänge, API-Aggregatoren und Proxy-Dienste zur Sammlung von Modellausgaben für Trainingszwecke genutzt zu haben.
Die Anschuldigung ist eine Behördeneinschätzung und keine gerichtliche Feststellung. Der operative Wert des Advisory liegt in seinen Erkennungs- und Abwehrhinweisen. Es behandelt Modellextraktion als koordiniertes Sicherheitsproblem, das sich nicht mit einer einzelnen Ratenbegrenzung oder einem Hinweis auf Nutzungsbedingungen lösen lässt.
Was die Behörden behaupten
Das Advisory nennt DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun und Z.AI. Laut den Behörden extrahierten diese Unternehmen seit mindestens Ende 2024 Milliarden Token in Millionen Anfragen. Die Ziele umfassten Schlussfolgerung, Softwareentwicklung, agentische Funktionen, Computernutzung und weitere Fähigkeiten mehrerer US-Modellanbieter.
Der Bericht beschreibt mehrere Zugangswege:
- native Modell-APIs und Premium-Abonnements;
- entfernte Cloud-Plattformen und Aggregatoren;
- Kontenpools mit gemeinsamen Zahlungs- oder Registrierungsmustern;
- Proxy-Dienste, die als Transferstationen bezeichnet werden;
- automatisches Routing beim Blockieren eines Zugangswegs; und
- Qualitätsprüfungen zur Erkennung verschlechterter oder veränderter Antworten.
Das sind Aussagen der drei beteiligten Behörden. Der öffentliche Bericht legt nicht alle zugrunde liegenden Erkenntnisse offen, und die Verantwortung der genannten Unternehmen ist nicht gerichtlich festgestellt. Reuters bestätigte unabhängig die Veröffentlichung und berichtete über die US-Anschuldigungen. Das belegt die Existenz und öffentliche Einordnung des Advisory, nicht jede einzelne Attribution.
Erkennung muss Identität, Verhalten und Infrastruktur verbinden
Der Bericht empfiehlt, Muster zu beobachten, die erst gemeinsam aussagekräftig werden. Beispiele sind geteilte Konten mit vielen IP-Adressen oder User Agents, ununterbrochene Nutzung ohne normale Ruhezeiten, unternehmensweiter Durchsatz auf Einzelabonnements, sofortige Maximalnutzung neuer Konten und koordinierte Wechsel zwischen Anbietern oder Zugangswegen.
Auch Metadatenänderungen können ein Signal sein. Eine große Kampagne kann stabile Organisationsmerkmale abrupt entfernen, nachdem Verteidiger ihre Logik geteilt haben. Generische oder zufällige Angaben können frühere Muster ersetzen. Die Nutzung kann ungewöhnlich stark auf Cache-Treffer, Quotenausschöpfung oder wiederholte enge Themen statt auf normale Aufgabenvielfalt optimiert sein.
Kein einzelner Indikator beweist bösartige Destillation. Forschungsgruppen, Unternehmensevaluationen, Barrierefreiheitsdienste oder API-Wiederverkäufer können ähnliche Signale erzeugen. Anbieter brauchen einen dokumentierten Entscheidungsprozess, der Kontohistorie, Zahlungsbeziehungen, Ähnlichkeit von Prompts, Verkehrszeiten, Modellziele, Routing und Sammlungsmuster kombiniert.
Drei unmittelbare Maßnahmen bilden den Kern
Die Zusammenfassung des Advisory nennt drei Prioritäten für KI-Anbieter:
- Anomale Prompts, Konten, Netzwerke und Nutzungsmuster über Abonnement- und API-Zugänge hinweg erkennen.
- Antworten bei hochwahrscheinlich bösartigen Destillationsversuchen gezielt verändern, um ihren Trainingswert zu mindern.
- Erkenntnisse zwischen Modellanbietern, Cloud-Plattformen, API-Aggregatoren und Infrastrukturdiensten teilen, damit verteilte Kampagnen sichtbar werden.
Der ausführliche Abschnitt nennt stärkere Identitätsprüfungen, Anfrage- und Ratenlimits, Erkennung gegnerischer Eingaben, Modellensembles und vorsichtig variierte Antworten. Er verweist zudem auf Differential Privacy und weitere Maßnahmen aus öffentlichen Leitlinien zum gegnerischen maschinellen Lernen.
Antwortveränderung ist eine sensible Kontrolle. Ein Anbieter, der Ausgaben still herabstuft oder verändert, braucht eine Regel mit hoher Beweisschwelle, Audit-Nachweise, Überwachung unbeabsichtigter Kundenschäden und eine Ausnahme für legitime Sicherheitsforschung. Das Advisory verlangt selbst, Forscher und unabhängige Evaluatoren über Modelländerungen zu informieren, während Schutzmaßnahmen bestehen bleiben.
Warum dies ein Ereignis der KI-Sicherheit ist
Klassische Missbrauchskontrollen konzentrieren sich oft auf gestohlene Konten, Zahlungsbetrug, Scraping-Volumen oder Verfügbarkeit. Modelldestillation ergänzt ein anderes Schutzgut: das in den Ausgaben sichtbare Verhalten und die spezialisierte Fähigkeit eines Modells. Ein Angreifer kann die Sammlung auf gewöhnlich wirkende Konten und Wege verteilen und die Daten später zusammenführen.
Deshalb sind Inventar und Herkunft wichtig. Anbieter müssen wissen, welche Modellversion geantwortet hat, welche Richtlinien und Schutzkonfiguration galten, welcher Kanal genutzt wurde und ob verwandte Konten andere Modelle berührten. Maetras Leitfaden zum Monitoring riskanten Agentenverhaltens erklärt die Verbindung von Ereignissen über Identitäten, Werkzeuge und Wirkungen. Der Leitfaden zu Audit-Daten beschreibt Nachweise für rekonstruierbare Entscheidungen ohne unnötige sensible Inhalte.
Governance für eine defensive Reaktion
Ein belastbares Programm sollte Beobachtung, Verdacht, Beschränkung und bestätigte Durchsetzung trennen. Jede Stufe braucht Schwelle und Eigentümer.
| Stufe | Mindestnachweis |
|---|---|
| Beobachten | Nutzungsanomalie mit Konto, Route, Modell und Zeitfenster |
| Untersuchen | Korrelation von Identität, Prompt, Zahlung, Verkehr oder Sammlung |
| Beschränken | Dokumentierte Richtlinienschwelle und reversible Zugriffs- oder Ausgabelimitierung |
| Eskalieren | Unabhängige Prüfung von Attribution, Kundenauswirkung und Rechtsgrundlage |
| Teilen | Bereinigte Indikatoren mit Herkunft, Konfidenz und Ablaufdatum |
Diese Struktur ist wichtig, weil ein Fehlalarm legitime Forschung oder Unternehmensnutzung blockieren kann. Kontrollen sollten Grund, Modellversion, Signalsatz, Richtlinienversion, Prüfer, Aktion und späteres Ergebnis festhalten. Geteilte Indikatoren müssen ablaufen oder erneut geprüft werden, damit ein altes Infrastrukturmuster nicht zur dauerhaften Anschuldigung wird.
Was offen bleibt
Das Advisory bietet detaillierte Taktiken und namentliche Attribution, aber nur begrenzte öffentliche Einsicht in die Beweise für jede unternehmensbezogene Schlussfolgerung. Es nennt keine Fehlalarmraten der vorgeschlagenen Signale und belegt die Wirksamkeit veränderter Antworten nicht im Produktionsmaßstab.
Der Bericht verbindet Sicherheit, geistiges Eigentum, Nutzungsbedingungen, nationale Sicherheit und wirtschaftlichen Wettbewerb. Diese Bereiche überschneiden sich, sind aber nicht gleich. Ein Anbieter sollte Sicherheits-, Rechts-, Datenschutz-, Vertrauens- und Produktverantwortliche einbeziehen, bevor eine Nachrichtendienstbewertung zur Kontodurchsetzung wird.
Maetra-Analyse
Die stärkste Lehre ist der Bedarf an einem systemübergreifenden Nachweisgraphen. Kontenidentität ist zu eng, Prompt-Prüfung allein leicht zu umgehen. Anbieter sollten Zugangsquelle, Kontobeziehungen, Modellversion, Prompt-Familien, Antwortmenge, Timing, Zahlungssignale und nachgelagerte Sammlung verbinden.
Auch die Reaktion braucht Governance. Hochwahrscheinlich bösartige Aktivität kann stärkere Kontrollen rechtfertigen, doch die Entscheidung sollte prüfbar und möglichst reversibel sein. Dokumentieren Sie, warum die Schwelle erreicht wurde, welche Beschränkung galt, welche Kunden- oder Forschungsausnahme geprüft wurde und ob die Maßnahme wirkte.
Das gemeinsame Advisory ist eine bedeutende Entwicklung, weil es eine breite Sorge um Modellkopien in konkrete Erkennungs- und Koordinationspraktiken übersetzt. Seine Anschuldigungen verlangen weiter präzise Attribution, und seine Abwehrmaßnahmen brauchen unabhängige Wirksamkeitsmessung.