NSA, CISA und FBI beschuldigen DeepSeek, Alibaba, Moonshot AI, MiniMax, StepFun und Z.AI, seit Ende 2024 systematisch Ausgaben US-amerikanischer Spitzenmodelle abgeschöpft zu haben. Für den Nachweis liefern die Behörden bislang keine öffentlich prüfbaren technischen Belege. Peking weist die Vorwürfe scharf zurück. Für Anwender offener chinesischer Modelle bleiben Fragen zur Datenherkunft.

Der KI-Streit zwischen Washington und Peking eskaliert: Drei US-Sicherheitsbehörden werfen chinesischen Anbietern systematisches Modell-Destillieren vor, China spricht von doppelten Standards.

(Bild: Clipdealer)

In einer gemeinsamen veröffentlichten Cybersecurity Advisory (AA26-251A) beschuldigen die National Security Agency (NSA), die Cybersecurity and Infrastructure Security Agency (CISA) und das FBI sechs chinesische KI-Unternehmen, in großem Stil und gezielt Fähigkeiten US-amerikanischer Frontier-Modelle abgeschöpft zu haben. Das Verfahren, die sogenannte Knowledge Distillation, gilt in der KI-Forschung als etabliert und ist für sich genommen nicht illegal. Die Behörden werfen den Unternehmen jedoch vor, dabei planmäßig gegen Nutzungsbedingungen und regionale Zugangsbeschränkungen verstoßen zu haben

Namentlich genannt werden DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun und Z.AI. Nach Darstellung der Behörden geschah dies „wahrscheinlich mit Kenntnis der chinesischen Regierung“. Ein Beleg für diese Einschätzung wird allerdings nicht geführt.

Welche Modelle betroffen sein sollen

Die Advisory ordnet jedem Unternehmen unterschiedliche Zielmodelle zu. Laut Dokument griff DeepSeek zwischen Ende 2024 und Mitte 2025 auf Claude-Modelle (Sonnet 3.7, Sonnet 4, Sonnet 4.5, Opus 4.1), Gemini-Modelle, mehrere GPT-Versionen bis GPT-5 sowie Grok 3 Mini und Grok 4 zu, um die eigenen Modelle R1 und V3 zu trainieren. Alibaba nutzte demnach Ausgaben von Claude 4, Claude Sonnet und GPT-5. Für Z.AI nennt die Advisory GPT-5.5 und Claude Opus 4.8.

Besondere Aufmerksamkeit widmet das Dokument Moonshot AI: Das Unternehmen soll Daten des Modells Claude Fable 5 für sein Modell Kimi-K3 und GPT-4o-Daten für Kimi-K2 abgeschöpft haben. MiniMax wiederum habe Claude Code für interne Entwicklungsaufgaben eingesetzt und per Prompt Injection versucht, das Modell glauben zu machen, es handele sich um ein MiniMax-Produkt.

Die beschriebenen Zugriffswege

Laut Advisory nutzten die Unternehmen mehrere parallele Pfade: direkte Zugänge über offizielle Programmierschnittstellen, Umwege über Cloud-Anbieter und Drittanbieter-Aggregatoren. Eine zentrale Rolle spielen den Behörden zufolge sogenannte Transfer Stations, ein Graumarkt aus Proxy-Diensten, der geografische Zugangsbeschränkungen umgeht und die Herkunft von Anfragen verschleiert.

Zu den beschriebenen Techniken zählt die Advisory betrügerisch angelegte Nutzerkonten, gebündelt genutzte Premium-Abonnements über viele IP-Adressen hinweg, automatisierte Metadaten-Bereinigung sowie Prompt-Injection, mit der interne Gedankenketten (Chain-of-Thought) der Zielmodelle ausgelesen worden sein sollen. Als Beispiel für die operative Reife führen die Behörden an, MiniMax habe Anfragen innerhalb von 24 Stunden nach der Veröffentlichung eines neuen Claude-Modells umgeleitet.

Streit um DeepSeeks Trainingskosten

Die Behörden werten die Destillation als Kern, nicht als Ergänzung der Entwicklungsstrategie der genannten Firmen. Die für DeepSeek-V3 kolportierten Trainingskosten von rund 5,6 Millionen US-Dollar bezeichnet die Advisory ausdrücklich als „irreführend“, da sie die tatsächlichen Kosten der durch Destillation beschafften Daten nicht enthielten. Diese Bewertung ist eine Zuschreibung der US-Behörden und bislang nicht unabhängig verifiziert. Bei der 5,6-Millionen-Angabe handelt es sich zudem nicht um eine von DeepSeek ausgewiesene Gesamtsumme, sondern um eine Schätzung: Der DeepSeek-V3 Technical Report beziffert das vollständige Training mit 2,788 Millionen H800-GPU-Stunden und leitet daraus unter der Annahme eines Mietpreises von zwei US-Dollar pro GPU-Stunde die genannten rund 5,6 Millionen US-Dollar ab.

Peking spricht von doppelten Standards

Die chinesische Regierung reagierte umgehend und deutlich. Das Handelsministerium (MOFCOM) erklärte, die Vorwürfe seien „sachlich wie rechtlich unbegründet“. Die USA politisierten und instrumentalisierten die Destillation, die eine normale technische und kommerzielle Praxis der Branche sei, und wendeten dabei doppelte Standards an.

Als Beleg für diese doppelten Standards verweist das Ministerium darauf, dass laut eigenen Veröffentlichungen auch US-Unternehmen in erheblichem Umfang chinesische Modelle destilliert hätten. Zugleich kritisiert MOFCOM die weitreichenden geografischen Nutzungsbeschränkungen in den Nutzungsbedingungen einzelner US-Anbieter als unlauter. Für den Fall, dass Washington die Destillations-Debatte als Vorwand nutze, um chinesische Unternehmen gezielt zu benachteiligen, kündigte das Ministerium „entschlossene Gegenmaßnahmen“ an, ohne diese zu konkretisieren.

Das Außenministerium verwies auf die technologische Eigenständigkeit als Grundlage der chinesischen KI-Fortschritte. Sprecherin Mao Ning forderte die USA auf, von „unbegründeten Anschuldigungen“ abzusehen. Von den sechs namentlich genannten Unternehmen selbst lag zunächst keine gesonderte technische Stellungnahme vor; die Reaktion erfolgte über die Regierungskanäle.

Abwehr per Antwort-Manipulation

Den betroffenen US-Anbietern empfiehlt die Advisory drei Sofortmaßnahmen: eine umfassende Erkennung anomaler Konten, Anfragen und Nutzungsmuster; gezielt veränderte Antworten für verdächtige Konten, um den Nutzen einer Destillation zu mindern; sowie einen anbieterübergreifenden Austausch von Bedrohungsinformationen. Die technischen Empfehlungen stützt das Dokument auf das MITRE-ATLAS-Framework und die NIST-Systematik zur adversarialen KI-Sicherheit.

Wenn die Datenherkunft zum Compliance-Risiko wird

Für IT-Verantwortliche, die offene chinesische Modelle wie DeepSeek oder Alibabas Qwen-Reihe einsetzen oder evaluieren, wirft die Warnung zusätzliche Fragen zur Herkunft und Lizenzkonformität der Trainingsdaten auf. Dass chinesische Anbieter zunehmend auf offene Modelle als strategisches Mittel setzen, verschärft diese Frage für den Unternehmenseinsatz. Sollten sich die Vorwürfe erhärten, könnte dies für Dokumentationspflichten im Rahmen des EU AI Act relevant werden. Für Anbieter universell einsetzbarer KI-Modelle verlangt der GPAI-Verhaltenskodex ohnehin eine Offenlegung von Architektur und Trainingsdaten.

Unabhängig prüfbar sind die technischen Details zum Zeitpunkt der Veröffentlichung dieses Beitrags nicht: Die Zuschreibung stützt sich ausschließlich auf die Einschätzung der drei US-Behörden, detaillierte technische Belege hat CISA bis dahin nicht vorgelegt..

(ID:50951157)