Anthropic-Destillationsbericht erhebt Vorwürfe über eine neue Kampagne zum Kopieren von Claude
Anthropic zufolge erzeugten drei chinesische KI-Unternehmen in separaten Kampagnen mehr als 186 Millionen Claude-Interaktionen, um wertvolle Modellfähigkeiten zu extrahieren. Der Anthropic-Destillationsbericht nennt Alibaba, Moonshot AI und DeepSeek und beschreibt Taktiken, die angeblich über gewöhnliches Modelltraining hinausgingen.
Im Mittelpunkt steht der Vorwurf rund um Chain-of-Thought-Daten, also generierten Text, der Zwischenschritte des Denkens abbildet, bevor ein Modell seine endgültige Antwort liefert. Anthropic behauptet, die Unternehmen hätten dieses Material über koordinierte Konten, Proxy-Dienste und Methoden gesucht, die von Claude verborgene Reasoning-Spuren rekonstruierten.
Der Bericht wirft zudem eine unmittelbarere Frage auf. Anthropic zufolge leiteten Moonshot AI und DeepSeek Kundenanfragen teilweise an Claude weiter und gaben die daraus resultierenden Antworten als eigene aus. Falls zutreffend, verwischte diese Praxis die Grenze zwischen wettbewerblicher Modellentwicklung und der nicht offengelegten Verarbeitung von Kundendaten.
Dabei handelt es sich weiterhin um Vorwürfe von Anthropic, einem direkten Wettbewerber mit kommerziellen und politischen Interessen am Ausgang. Alibaba, Moonshot AI und DeepSeek hatten die konkreten Behauptungen bei Erscheinen des Berichts nicht öffentlich beantwortet. Die verfügbaren Belege wurden keiner unabhängigen technischen Prüfung unterzogen.
Der Streit hat daher zwei Ebenen. Die eine betrifft die Frage, ob Wettbewerber Claude-Ausgaben unzulässig für das Modelltraining abgeschöpft haben. Die andere betrifft, ob Kunden unwissentlich Quellcode, Zugangsdaten, Unternehmensdokumente oder Überwachungsinformationen an einen Drittanbieter von Modellen übermittelten.
Was Anthropic nach eigenen Angaben herausfand
Anthropic behauptet, ein koordiniertes System zur Extraktion von Fähigkeiten aufgedeckt zu haben, nicht bloß eine Handvoll Entwickler, die mit Claude-Ausgaben experimentierten.
Anthropic veröffentlichte seine neuen Erkenntnisse am 10. September 2026 in einem umfassenderen Threat-Intelligence-Bericht. Das Unternehmen erklärt, seit Februar unbefugte Kampagnen gegen seine Modelle der Opus-Klasse erkannt und unterbrochen zu haben.
Modelldestillation ist eine legitime Trainingsmethode, bei der ein Modell aus den Ausgaben eines anderen, meist leistungsstärkeren Systems lernt. KI-Entwickler nutzen sie häufig innerhalb ihrer eigenen Modellfamilien, um Fähigkeiten auf kleinere oder effizientere Modelle zu übertragen.
Der Streit beginnt, wenn ein Wettbewerber diese Ausgaben über Konten oder Zugriffsmethoden bezieht, die gegen die Regeln des Anbieters verstoßen. Das umstrittene Vorgehen kann auch Prompts umfassen, die gezielt darauf ausgelegt sind, geschütztes Reasoning oder anderes proprietäres Verhalten offenzulegen.
Anthropic bezeichnet die mutmaßlichen Operationen als unrechtmäßig, weil sie Berichten zufolge betrügerische Konten, Residential Proxies, Wegwerf-E-Mail-Adressen und indirekte Zugriffsnetzwerke nutzten. Nach Angaben des Unternehmens verschleierten diese Methoden, wer die Anfragen stellte, und umgingen regionale Beschränkungen.
Die größte im Anthropic-Destillationsbericht beschriebene Kampagne wurde Alibaba und dessen Qwen-Forschungsorganisation zugeschrieben. Anthropic behauptet, Alibaba habe zwischen Mai und Juli 2026 mehr als 151 Millionen Interaktionen erzeugt.
Auf ihrem gemeldeten Höhepunkt näherte sich die Alibaba-Operation über mehr als 3.500 betrügerische Konten 3 Millionen Interaktionen pro Tag. Die Anfragen zielten angeblich auf Softwareentwicklung, Kernel-Entwicklung, agentische Aufgaben und Arbeiten mit langen Entscheidungsfolgen.
Anthropic zufolge nutzte Alibaba zwei primäre Kontopools. Einer davon umfasste angeblich nahezu 5.000 Konten, unterstützt durch Residential Proxies, Wegwerf-E-Mail-Adressen und virtuelle Zahlungskarten.
Als Anthropic diesen Pool sperrte, verlagerte sich der Datenverkehr Berichten zufolge auf einen anderen Zugriffsweg. Diese schnelle Migration ist relevant, weil sie auf einen organisierten Prozess hindeutet, der Infrastruktur nach Durchsetzungsmaßnahmen ersetzen kann.
Anthropic wirft Alibaba außerdem vor, Claude dazu gezwungen zu haben, Reasoning-Spuren vor einer endgültigen Antwort in Text-Tags zu platzieren. Die daraus entstandenen Transkripte seien Berichten zufolge für überwachtes Fine-Tuning vorbereitet worden, bei dem ein Modell anhand von Beispielen gewünschten Verhaltens trainiert wird.
Anthropic zufolge unterstützten diese Beispiele die Entwicklung von Qwen 3.5, 3.6 und 3.7. Das Unternehmen behauptet zudem, Claude habe bei Reinforcement-Learning-Umgebungen und bei Forschung zur Modellarchitektur innerhalb Alibabas geholfen.
Diese Schlussfolgerungen beruhen auf Anthropics eigenen Telemetrie- und Attributionsprozessen. Der öffentliche Bericht liefert Beschreibungen und aggregierte Messwerte, veröffentlicht jedoch weder die zugrunde liegenden Kontodatensätze noch den vollständigen Anfragebestand.
Diese Einschränkung ist wichtig. Leser können bewerten, ob die mutmaßlichen Methoden plausibel erscheinen, aber sie können Anthropics organisatorische Attribution anhand des veröffentlichten Materials allein nicht nachvollziehen.
Der Bericht verändert dennoch den Umfang der Kontroverse. Frühere Debatten konzentrierten sich oft darauf, ob die Antworten eines Modells dem Stil eines anderen ähnelten. Anthropic beschreibt nun persistente Infrastruktur, gezielt adressierte Fähigkeitskategorien und Datenverkehr im Umfang von mehreren zehn Millionen Interaktionen.
Deshalb verdienen die jüngsten Claude-Destillationsangriffe mehr Aufmerksamkeit als gewöhnliches wettbewerbliches Benchmarking. Anthropic stellt sie als dauerhafte Extraktionsprogramme dar, die in Forschung und Training von Modellen integriert seien.
Der Anthropic-Destillationsbericht wirft ein Problem mit Kundendaten auf
Der folgenreichste Vorwurf lautet nicht, dass chinesische Labore von Claude lernten, sondern dass Kunden Claude angeblich nutzten, ohne davon zu wissen.
Anthropic zufolge leitete Moonshot AI einige Anfragen, die für seine Kimi-Modelle bestimmt waren, stillschweigend an Claude weiter. Kunden erhielten Berichten zufolge über Moonshots Dienst Claude-generierte Antworten.
Während eines Zeitraums von zehn Tagen leitete Moonshot laut Anthropic fast 300.000 Kundenanfragen weiter, überwiegend an Opus-Modelle. Der Datenverkehr lief angeblich über 5.380 betrügerische Konten, die hauptsächlich von Singapur und Japan aus betrieben worden zu sein schienen.
Anthropic behauptet, Moonshot habe zumindest einen Teil der daraus resultierenden Interaktionen gespeichert. Das Unternehmen habe anschließend Reasoning-Transkripte extrahiert, die weiteres Modelltraining unterstützen könnten.
Der Bericht beschreibt eine Technik namens Cross-Session-Replay-Angriff. Claude kann eine kryptografische Referenz auf geschütztes Reasoning zurückgeben, statt die vollständige Reasoning-Spur offenzulegen.
Diese Referenz, eine sogenannte Reasoning-Signatur, ermöglicht autorisierten Systemen, eine Unterhaltung fortzusetzen, ohne den ursprünglichen internen Text zu erhalten. Anthropic wirft Moonshot vor, diese Signaturen gespeichert, neue Sitzungen eröffnet und Claude dazu aufgefordert zu haben, das zugehörige Reasoning zu rekonstruieren.
DeepSeek soll einen ähnlichen Prozess genutzt haben. Anthropic behauptet, DeepSeek habe Anfragen identifiziert, die über Coding-Tools eingingen, darunter Claude Code, das Claude Agent SDK und OpenCode.
Ausgewählte Nutzer seien dann angeblich an Claude Opus weitergeleitet worden. Die Nutzer hätten Berichten zufolge geglaubt, DeepSeek verarbeite ihre Prompts, während Anthropics Systeme das Material tatsächlich erhielten.
Der Bericht schreibt Moonshot zwischen Mai und Juli mehr als 23 Millionen Interaktionen zu. DeepSeek werden darin separat während 14 Tagen im Juli mehr als 12,1 Millionen Interaktionen zugeschrieben.
Diese Zahlen sind nicht direkt vergleichbar, da die Beobachtungszeiträume unterschiedlich sind. Außerdem bleiben sie von Anthropic gemeldete Messwerte und keine unabhängig geprüften Gesamtsummen.
Die Datenschutzfolgen hängen nicht vollständig davon ab, ob jede Interaktion zu Trainingsdaten wurde. Bereits die Weiterleitung eines Prompts kann Informationen gegenüber einem weiteren Auftragsverarbeiter, Infrastrukturbetreiber und Rechtsraum offenlegen.
Anthropic zufolge umfasste das weitergeleitete Material Unternehmensquellcode, Zugangsdaten, interne Pläne und personenbezogene Informationen. Einige Beispiele betrafen Nutzer, die mit staatlichen oder staatsnahen Systemen arbeiteten.
Ein Moonshot-Beispiel enthielt angeblich Überwachungsinformationen von Hunderten Kameras in Chengdu. Anthropic bewertete den Nutzer als wahrscheinlich mit der Volksbefreiungsarmee verbunden und ging davon aus, dass dieser glaubte, Kimi analysiere das Material.
Ein weiteres Beispiel betraf einen Ingenieur, der ein internes System für ein großes chinesisches Staatsunternehmen entwickelte. Diese Sitzung legte Berichten zufolge internen Code und aktive Zugangsdaten mehrerer Unternehmen offen.
Die DeepSeek-Beispiele waren ähnlich sensibel. Anthropic zufolge enthielt eine Anfrage Spezifikationen und strategische Ziele für ein KI-Programm bei einem chinesischen Technologieunternehmen.
Eine andere enthielt angeblich Zugangsdaten mit Verbindung zu einer russischen Regierungsdatenbank. Eine dritte betraf Berichten zufolge Software zum Abgleich von Bewegungen einzelner Personen mit chinesischen Polizeidaten.
Anthropic schwärzte sensible Werte in seinen öffentlichen Beispielen. Das schützt die betroffenen Parteien, hindert Außenstehende jedoch zugleich daran, die Datensätze zu bestätigen oder nachzuvollziehen, wie sich die Daten bewegten.
Dem Bericht zufolge kann Anthropic nicht feststellen, ob Kunden über das Routing informiert wurden. Diese Formulierung ist bedeutsam, weil das Unternehmen zwar beobachtet, dass Datenverkehr Claude erreicht, aber keinen direkten Zugriff auf jede Kundenvereinbarung oder Offenlegung in der Benutzeroberfläche hat.
Eine verdeckte Routing-Vereinbarung wäre etwas anderes als ein Dienst, der Nutzern klar mitteilt, dass er zwischen externen Modellen auswählt. Modellrouter können nützlich sein, doch eine informierte Nutzung erfordert Offenlegung zu Anbietern, Aufbewahrung und Datenverarbeitung.
Für Entwickler reicht die praktische Lehre über jedes einzelne genannte Unternehmen hinaus. Prompts, die an Coding-Assistenten übermittelt werden, enthalten häufig Repository-Details, Konfigurationswerte, Kundeninformationen und Ausschnitte interner Dokumentation.
Ein Modellname allein belegt nicht, wo dieses Material verarbeitet wird. Teams benötigen vertragliche Antworten zu Unterauftragsverarbeitern, Routing-Logik, Speicherung, Trainingsnutzung und geografischer Verarbeitung.
Die jüngsten Vorwürfe verbinden Modellwettbewerb daher mit Sicherheit in der Lieferkette. Ein Entwickler kann einen Anbieter genehmigen und zugleich unwissentlich sensible Arbeit über die Systeme eines anderen Anbieters senden.
Wie die mutmaßlichen Claude-Destillationsangriffe funktionierten
Anthropic beschreibt einen mehrschichtigen Extraktionsprozess, der die Umgehung von Zugriffsbeschränkungen, Prompt Engineering, die Wiederherstellung von Reasoning und die Aufbereitung von Trainingsdaten kombinierte.
Eine einfach erklärte KI-Modelldestillation beginnt mit einem Lehrer und einem Schüler. Der Lehrer erzeugt nützliche Beispiele, während der Schüler aus diesen Beispielen lernt, das Verhalten des Lehrers nachzubilden.
Dieser Prozess kann autorisiert sein. Ein Labor könnte Ausgaben seines leistungsstärksten Modells verwenden, um ein kleineres Modell zu verbessern, das ihm ebenfalls gehört.
Er wird adversarial, wenn der Entwickler des Schüler-Modells seine Identität verschleiert, Zugriffsbeschränkungen umgeht oder Ausgaben entgegen vertraglichen Regeln extrahiert. Die rechtlichen Grenzen können variieren, doch die technische und sicherheitsbezogene Unterscheidung ist bedeutsam.
Anthropic zufolge benötigten die Kampagnen zunächst verlässlichen Zugang zu Claude. Da Anthropic Claude in China nicht kommerziell anbietet, stützten sich die Betreiber angeblich auf Proxy-Netzwerke und betrügerische Konten.
Ein Proxy-Netzwerk leitet Anfragen über Vermittler, die die ursprüngliche Organisation verschleiern können. Anthropic beschrieb zuvor Systeme von „Hydra-Clustern“, bei denen der Ersatz eines gesperrten Kontos den umfassenderen Betrieb nicht stilllegt.
In seinen Erkenntnissen vom Februar erklärte Anthropic, DeepSeek, Moonshot AI und MiniMax hätten gemeinsam über etwa 24.000 betrügerische Konten mehr als 16 Millionen Interaktionen erzeugt.
Die Offenlegung vom Februar schrieb Moonshot mehr als 3,4 Millionen Interaktionen und MiniMax mehr als 13 Millionen zu. DeepSeeks frühere Kampagne wurde darin als kleiner beschrieben und hatte sich teilweise auf zensursensible Antworten konzentriert.
Der Septemberbericht behauptet ein deutlich höheres Verkehrsaufkommen während späterer Kampagnen. Allein die Alibaba zugeschriebenen 151 Millionen Austausche übersteigen die im Februar veröffentlichte Gesamtzahl bei weitem.
Reine Größenordnung führt nicht automatisch zu einem besseren Modell. Der Trainingswert hängt von der Auswahl der Fragen, der Qualität der Antworten, der Filterung, der Abdeckung und davon ab, wie wirksam die gesammelten Beispiele in spätere Trainingsphasen einfließen.
Die mutmaßlichen Akteure stellten daher mehr als nur allgemeine Fragen. Anthropic zufolge konzentrierten sie ihre Anfragen auf wertvolle Fähigkeiten, darunter Programmierung, Tool-Nutzung, langfristige Planung und agentisches Schlussfolgern.
Agentisches Schlussfolgern beschreibt die Fähigkeit eines Modells, mehrere Schritte zur Erreichung eines Ziels auszuwählen und auszuführen. Diese Fähigkeit kann schwierig zu trainieren sein, weil erfolgreiche Beispiele über viele Schritte hinweg stimmige Entscheidungen erfordern.
Reasoning Traces können solche Beispiele nützlicher machen. Eine endgültige Antwort zeigt dem lernenden Modell, welches Ergebnis es nachahmen soll, während ein Zwischenschritt-Trace einen detaillierteren Trainingspfad liefern kann.
Ein angezeigter Reasoning Trace sollte jedoch nicht als perfekte Aufzeichnung der internen Berechnung eines Modells verstanden werden. Modelle können plausible Erklärungen erzeugen, die den Prozess hinter einer Antwort nicht vollständig abbilden.
Diese Unsicherheit macht die Daten nicht wertlos. Strukturierte Beispiele für Schlussfolgerungen können weiterhin nützliche Muster für überwachtes Fine-Tuning, Evaluierungen oder Reinforcement-Learning-Aufgaben liefern.
Anthropic wirft Alibaba vor, feste Anweisungen verwendet zu haben, die Claude dazu zwangen, ausführliche Schlussfolgerungen innerhalb von Inline-Tags auszugeben. Das Unternehmen erklärt, die Ausgaben seien bereinigt und in Fine-Tuning-Daten umgewandelt worden.
Moonshot und DeepSeek sollen stattdessen geschützte Reasoning-Signaturen verfolgt haben. Ihre berichtete Replay-Methode versuchte, vollständigen Text aus Referenzen wiederherzustellen, die Kontinuität bewahren sollten, ohne rohe Schlussfolgerungen offenzulegen.
Anthropic zufolge kombinierte Moonshot diese Extraktion mit Anfragen aus dem Kundenverkehr. DeepSeek soll einige Sitzungen ausgewählt haben, die mit Drittanbieter-Coding-Tools verbunden waren, und sie an Claude weitergeleitet haben.
Diese Mischung würde einem Modellentwickler zwei Vorteile bieten. Echte Kunden-Prompts liefern realistische Aufgaben, während ein leistungsfähigeres Lehrermodell detaillierte Antworten und Beispiele für Schlussfolgerungen bereitstellt.
Dieselbe Mischung schafft den schärfsten Datenschutzkonflikt des Berichts. Kunden können unwissentlich zur Quelle von Prompts, Code, Dokumenten und Feedback für eine Trainingspipeline werden.
Die Kampagnen scheinen zudem auf einen wachsenden Reseller-Markt zurückzugreifen. Anthropic zufolge bieten einige Proxy-Anbieter Zugang zu eingeschränkten Modellen an und speichern dabei Austausche, die später verkauft werden können.
Dem Bericht zufolge bediente gemeinsame Proxy-Infrastruktur mitunter mehrere Organisationen. Anthropic erklärt, dass über mit Alibaba verbundene Konten auch Anfragen beobachtet wurden, die DeepSeek und Xiaomi zugeordnet waren.
Dies belegt keine gemeinsame Kampagne dieser Unternehmen. Es deutet vielmehr darauf hin, dass gemeinsame Vermittler den Zugang erleichtern und zugleich die Attribution erschweren können.
Die technische Reaktion muss daher auf mehreren Ebenen ansetzen. Das Sperren einzelner Konten kann ein Netzwerk nicht aufhalten, das fortlaufend Ersatz erstellt.
Anthropic erklärt, es nutze Verhaltensklassifikatoren, Metadatenanalysen, die Erkennung koordinierter Konten und modellbasierte Schutzmaßnahmen. Außerdem teile das Unternehmen Indikatoren mit Cloud-Unternehmen, anderen KI-Laboren und Behörden.
Jede Maßnahme bringt Abwägungen mit sich. Eine aggressive Erkennung kann legitime Forschende oder Kunden beeinträchtigen, deren Verkehr automatisierter Datensammlung ähnelt.
Auch modellbasierte Schutzmaßnahmen können nützliche Funktionen beeinträchtigen. Eine Einschränkung der Reasoning-Kontinuität oder zusätzliche Hürden für Zugriffe mit hohem Volumen können den Wert einer API für autorisierte Anwendungen verringern.
Claude-Distillationsangriffe sind daher teilweise ein Identitätsproblem. Anbieter müssen entscheiden, wer ein Konto kontrolliert, wer letztlich von dessen Anfragen profitiert und ob mehrere Konten zu einem koordinierten Akteur gehören.
Sie sind auch ein Problem der Informationssicherheit. Anbieter müssen begrenzen, was eine Ausgabe preisgibt, ohne Modelle für legitime Arbeit weniger hilfreich zu machen.
Der Streit dreht sich auch um KI-Wettbewerb
Die Vorwürfe von Anthropic kommen zu einem Zeitpunkt, an dem chinesische Modellentwickler mit leistungsfähigen und breit verfügbaren Systemen den Wettbewerbsdruck erhöhen.
Alibabas Qwen-Familie, Moonshots Kimi-Modelle und die Systeme von DeepSeek konkurrieren mit amerikanischen Frontier-Modellen in den Bereichen Programmierung, Schlussfolgern und Unternehmenseinsatz. Ihre Fortschritte stellen die Annahme infrage, dass Beschränkungen bei Rechenkapazitäten einen dauerhaften Fähigkeitsvorsprung bewahren würden.
Distillation kann Entwicklungszyklen verkürzen, weil ein Labor hochwertige Beispiele erhält, ohne jede Phase der Forschung des Lehrermodells nachvollziehen zu müssen. Anthropic argumentiert, dass unbefugte Extraktion sowohl die Zeit als auch die Kosten verringert, die erforderlich sind, um sich Claudes Fähigkeiten anzunähern.
Dieses Argument stützt die weiter gefasste politische Position von Anthropic. Das Unternehmen hat sich für Exportkontrollen eingesetzt und betrachtet Modellfähigkeiten als strategische Güter, die Schutz erfordern.
Die Regierung der Vereinigten Staaten hat einen ähnlichen Rahmen übernommen. Im September beschuldigten FBI, National Security Agency und Cybersecurity and Infrastructure Security Agency mehrere chinesische Unternehmen, Daten in industriellem Maßstab aus amerikanischen Modellen extrahiert zu haben.
Die Regierungswarnung nannte Berichten zufolge Alibaba, DeepSeek, Moonshot AI, MiniMax, StepFun und Z.ai. Sie erklärte, die Aktivität habe seit mindestens Ende 2024 Claude, GPT, Gemini und Grok ins Visier genommen.
China wies diese Vorwürfe zurück. Sein Handelsministerium bezeichnete die Behauptungen als unbegründet und beschrieb Distillation als gängige Praxis, die von KI-Unternehmen weltweit genutzt werde.
Das Ministerium warf den Vereinigten Staaten zudem vor, ein KI-Monopol anzustreben. Seine Reaktion, über die ein Bericht von Associated Press berichtete, drohte mit Gegenmaßnahmen, falls chinesische Unternehmen weiteren Beschränkungen ausgesetzt würden.
Dieser Einwand verdeutlicht eine ungelöste Grenze. Modellentwickler in der gesamten Branche trainieren mit großen Sammlungen von Menschen geschaffenen Materials, oft ohne mit jedem Autor einzeln zu verhandeln.
Kritiker fragen daher, ob führende Labore nach dem Aufbau von Modellen auf Basis internetgroßer Datensätze ausschließliche Kontrolle über generiertes Wissen beanspruchen können. Dies ist eine ethische Herausforderung für die Position von Anthropic, beantwortet jedoch nicht die konkreten Vorwürfe zum Zugang und zum Datenschutz.
Auch gewöhnliche Distillation ist weit verbreitet. Anthropic selbst betont, dass die Methode durch Umgehung, wettbewerbliche Extraktion und Verstöße gegen Zugangsregeln problematisch werde.
Die Debatte sollte nicht auf die Behauptung reduziert werden, jedes Lernen aus Modellausgaben sei Diebstahl. Forschende vergleichen Modelle, Nutzer vergleichen Antworten und Entwickler bauen Anwendungen, die von mehreren Anbietern abhängen.
Die relevanten Fragen betreffen Autorisierung, Umfang, Verschleierung und Zweck. Betrügerische Identitäten und verdeckte Weiterleitung würden die mutmaßliche Aktivität weit über einen beiläufigen Vergleich hinausführen.
Dennoch verdient das kommerzielle Interesse von Anthropic Beachtung. Das Unternehmen profitiert, wenn politische Entscheidungsträger, Kunden und Cloud-Anbieter seine Definition illegaler Distillation übernehmen.
Strengere Identitätsanforderungen könnten Claude schützen, aber auch die Eintrittsbarrieren für unabhängige Entwickler erhöhen. Beschränkungen für synthetische Trainingsdaten könnten Unternehmen begünstigen, die bereits führende Modelle und große proprietäre Datensätze kontrollieren.
Die öffentlichen Belege können noch nicht jede Zuordnungsbehauptung klären. Anthropic verfügt über interne Telemetriedaten, doch externe Forschende haben keinen Zugang zum Rohmaterial, das sie zur Prüfung falscher Positivergebnisse oder alternativer Erklärungen benötigen.
Alibaba, Moonshot AI und DeepSeek haben ebenfalls keine detaillierten Gegenbelege vorgelegt. Schweigen bestätigt die Behauptungen von Anthropic nicht, lässt dessen technische Darstellung aber weitgehend unbeantwortet.
Eine glaubwürdige Reaktion müsste die gemeldete Kontoinfrastruktur, Anfragevolumina, mit Mitarbeitenden verknüpfte Metadaten und den zeitlichen Ablauf behandeln. Eine allgemeine Verteidigung der Modelldistillation würde die nicht offengelegte Weiterleitung von Kundendaten nicht erklären.
Wettbewerbliche Ergebnisse fügen eine weitere Komplikation hinzu. Starke Benchmark-Ergebnisse können nicht offenlegen, wie ein Modell seine Fähigkeiten erworben hat.
Ähnliche Ausgaben können aus gemeinsamen öffentlichen Daten, verbreiteten Trainingsmethoden, autorisierten synthetischen Daten oder unbefugter Extraktion entstehen. Stilähnlichkeiten sind ohne unterstützende Telemetriedaten ein schwacher Beleg.
Die Vorwürfe von Anthropic sind spezifischer, weil sie Netzwerkverhalten und interne Anfragemuster beschreiben. Spezifität ist jedoch nicht dasselbe wie unabhängiger Beweis.
Die richtige Schlussfolgerung ist enger gefasst als die politische Rahmung beider Seiten. Anthropic hat ernsthafte, technisch detaillierte Vorwürfe veröffentlicht, die externe Prüfung und direkte Antworten der genannten Unternehmen rechtfertigen.
Was die Behauptungen noch nicht belegen
Der Bericht präsentiert erhebliche interne Beobachtungen, beweist jedoch nicht unabhängig, wie jeder gesammelte Austausch ein veröffentlichtes Modell beeinflusst hat.
Anthropic erklärt, die von Alibaba extrahierten Transkripte hätten Qwen 3.5, 3.6 und 3.7 unterstützt. Außerdem verknüpft das Unternehmen den Verkehr mit Arbeiten an Reinforcement-Learning-Umgebungen und Modellarchitektur.
Das sind folgenreiche Behauptungen. Das öffentliche Dokument liefert jedoch keine Modellgewichte, Trainingsaufzeichnungen, interne Kommunikation von Alibaba oder eine reproduzierbare forensische Beweiskette.
Dieselbe Einschränkung gilt für Moonshot und DeepSeek. Anthropic kann beobachten, wie eine Anfrage bei Claude eingeht, ihre Metadaten mit Infrastruktur verknüpfen und wiederkehrende Prompt-Muster analysieren.
Das Unternehmen kann nicht jede spätere Phase innerhalb der Trainingsumgebung eines Wettbewerbers direkt beobachten. Aussagen über die letztliche Trainingsnutzung kombinieren daher Telemetriedaten mit der Attribution und Schlussfolgerung von Anthropic.
Diese Unterscheidung sollte sichtbar bleiben. Der Bericht stützt laut den Systemen von Anthropic die Behauptung, dass koordinierter Verkehr Claude erreichte.
Er ermöglicht der Öffentlichkeit nicht, die exakten Leistungsgewinne zu berechnen, die dieser Verkehr erzeugte. Er zeigt auch nicht, dass irgendein genanntes Modell hauptsächlich von Claude-Ausgaben abhing.
Modelltraining nutzt viele Datenquellen und Methoden. Synthetische Beispiele können eng begrenzte Fähigkeiten verbessern, während umfassendere Leistungsfähigkeit von Basistraining, originärer Forschung, Reinforcement Learning und menschlicher Bewertung abhängt.
Die gemeldeten Austauschzahlen können auch schlüssiger klingen, als sie sind. Ein Austausch kann ein wertvolles Reasoning-Beispiel, ein fehlgeschlagener Versuch, ein Duplikat oder eine beim Filtern verworfene Antwort enthalten.
Ohne Akzeptanzraten und Trainingsgewichtungen können Außenstehende 151 Millionen Austausche nicht in ein verlässliches Maß für Fähigkeitstransfer umrechnen.
Es besteht außerdem ein Unterschied zwischen einem Verstoß gegen Nutzungsbedingungen und einem Verstoß gegen Strafrecht. Anthropic beschreibt die Kampagnen als Angriffe, doch die rechtliche Einordnung hängt von der Rechtsordnung, den Zugangsmethoden, Verträgen und geltenden Regeln gegen Computermissbrauch ab.
Die Datenschutzvorwürfe erfordern eine eigene Überprüfung. Anthropic erklärt, sensibles Kundenmaterial gesehen zu haben, kann jedoch nicht bestätigen, welche Hinweise diese Nutzer von Moonshot oder DeepSeek erhielten.
Ein Dienst könnte die Verarbeitung durch Dritte in Bedingungen offenlegen, die Nutzer selten lesen. Das würde nicht klären, ob die Offenlegung ausreichend war, könnte aber die tatsächliche Beschreibung der Einwilligung verändern.
Der Bericht lässt zudem offen, wie viele Einzelpersonen betroffen waren. Er liefert detaillierte Beispiele und beschreibt sensible Daten von Hunderten Nutzern im Zusammenhang mit verwandten Weiterleitungsaktivitäten, veröffentlicht jedoch keine umfassende Zahl.
Anthropic hat triftige Gründe, Rohdaten zurückzuhalten. Ihre Veröffentlichung könnte Kunden offenlegen, Erkennungsmethoden preisgeben oder Akteuren helfen, Umgehungen zu entwickeln.
Dadurch entsteht ein bekanntes Problem der Sicherheitsberichterstattung. Die Belege, die für eine unabhängige Validierung am nützlichsten wären, können zugleich Schutzmaßnahmen untergraben oder Personen schaden, deren Daten erfasst wurden.
Eine sorgfältige Lesart vermeidet daher zwei Extreme. Die Behauptungen sollten nicht allein deshalb verworfen werden, weil Anthropic ein Wettbewerber ist.
Sie sollten außerdem nicht ohne Zuschreibung als feststehende Tatsachen wiederholt werden. Die Originalberichterstattung behandelt die Erkenntnisse angemessen als von Anthropic erhobene Vorwürfe.
Eine unabhängige Bestätigung könnte aus mehreren Quellen kommen. Cloud-Anbieter verfügen möglicherweise über Abrechnungs-, Konto- und Netzwerkdaten, die die beschriebene Infrastruktur stützen.
Regulierungsbehörden könnten Kundenerklärungen und grenzüberschreitende Datenverarbeitung prüfen. Die genannten Unternehmen könnten Prüfungsergebnisse, Routing-Richtlinien oder technische Erläuterungen veröffentlichen, die direkt auf die Vorwürfe eingehen.
Kunden sollten nicht abwarten, bis jeder Streit geklärt ist, bevor sie ihre Kontrollen verbessern. Organisationen können Geheimnisse in Prompts beschränken, AI-Endpunkte überwachen und genehmigte Routing-Konfigurationen vorschreiben.
Entwickler sollten alle Zugangsdaten rotieren, die an einen unsicheren Dienst übermittelt wurden. Sie sollten außerdem Protokolle auf Prompts prüfen, die Produktionstoken, Kundendaten oder unveröffentlichten Code enthalten.
Diese Vorsichtsmaßnahmen betreffen ein umfassenderes Problem als den Distillationsbericht von Anthropic. AI-Assistenten sind zunehmend in Editoren, Terminals, Browser und Geschäftsanwendungen eingebettet.
Jede Integration eröffnet einen Datenpfad. Sicherheitsteams müssen den vollständigen Pfad verstehen, nicht nur die in der Oberfläche angezeigte Marke.
Drei Signale, die als Nächstes zu beobachten sind
Die nächste Phase wird von technischer Bestätigung, Offenlegungen der Anbieter und messbaren Veränderungen in der Zugangsinfrastruktur bestimmt werden.
Das erste Signal ist eine unabhängige Bestätigung durch Cloud-Anbieter oder staatliche Ermittler. Anthropic erklärt, die Operationen hätten auf großen Kontopools, Proxys und Zahlungsmethoden beruht, die die organisatorische Kontrolle verschleiern sollten.
Infrastruktur in diesem Umfang sollte außerhalb von Anthropic Spuren hinterlassen. Bestätigende Belege würden sowohl die Zuschreibung als auch die gemeldeten Traffic-Volumina stärken.
Ein Ausbleiben solcher Bestätigung würde die Behauptungen nicht widerlegen, da Anbieter öffentliche Offenlegungen vermeiden könnten. Politische Maßnahmen, die allein auf unveröffentlichter Telemetrie eines Wettbewerbers beruhen, würden jedoch zu Recht kritisch hinterfragt.
Das zweite Signal ist eine konkrete Reaktion von Alibaba, Moonshot AI oder DeepSeek. Jedes Unternehmen muss mehr beantworten als die Frage, ob Distillation verbreitet ist.
Im Mittelpunkt stehen betrügerischer Zugang, Kunden-Routing, die Wiederverwendung von Reasoning-Signaturen, Datenspeicherung und die Nutzung von Claude-Ausgaben für das Training. Detaillierte Dementis oder unabhängige Prüfungen würden Anthropics Darstellung schwächen, falls sie diese Beobachtungen unmittelbar erklären.
Anhaltendes Schweigen würde die Unsicherheit bewahren. Auch eine allgemeine politische Zurückweisung ließe die technischen Behauptungen unbeantwortet.
Das dritte Signal ist eine sichtbare Veränderung darin, wie Anbieter von Frontier-Modellen automatisierten Zugang kontrollieren. Anthropic erklärt, Identitätsprüfungen, verhaltensbasierte Erkennung und Abwehrmaßnahmen gegen die Rekonstruktion von Reasoning zu verstärken.
Wenn andere Labore und Cloud-Plattformen ähnliche Maßnahmen übernehmen, würde dies zeigen, dass die Branche koordinierte Extraktion als gemeinsame operative Bedrohung betrachtet. Zugleich könnte dies legitimen Entwicklern in nicht unterstützten Märkten den Zugang erschweren.
Anbieter könnten strengere Verifizierung, Volumenbegrenzungen oder vertragliche Beschränkungen für synthetisches Training einführen. Sie könnten Ausgaben auch verändern, wenn Systeme Muster erkennen, die mit der Extraktion von Fähigkeiten verbunden sind.
Forscher sollten beobachten, ob diese Kontrollen die gemeldeten Kampagnenvolumina senken, ohne die normale API-Nutzung zu beeinträchtigen. Eine Abwehr, die echte Kunden blockiert, würde die Kosten auf die breitere Entwicklergemeinschaft abwälzen.
Unternehmenskunden sollten Modellanbietern eine direkte Frage stellen: Welches Unternehmen verarbeitet tatsächlich jeden Prompt? Die Antwort sollte Fallback-Modelle, Drittanbieter-Router, Speicherung, Trainingsnutzung und Verarbeitungsorte abdecken.
Entwickler können risikoarme Experimente auch von Repositories trennen, die Zugangsdaten, Kundenunterlagen oder interne Strategien enthalten. Lokale Schwärzung und genehmigte Gateways verringern den Schaden durch unerwartetes Routing.
Wissensarbeiter sollten vertrauliche Prompts wie alle anderen Daten behandeln, die an einen externen Verarbeiter gesendet werden. Eine vertraute Oberfläche garantiert keinen vertrauten Infrastrukturpfad.
Die zentrale Frage ist nicht länger, ob die Distillation von AI-Modellen existiert. Sie lautet vielmehr, ob verdeckter Zugang und nicht offengelegtes Routing zu üblichen Werkzeugen im Wettbewerb um Frontier-Modelle geworden sind.
Der Distillationsbericht von Anthropic liefert bislang die detaillierteste öffentliche Fassung dieses Vorwurfs. Seine Zahlen und Mechanismen verlangen nach Untersuchung, doch seine Schlussfolgerungen müssen weiterhin unabhängig geprüft werden.
Achten Sie in den kommenden drei Monaten auf Infrastrukturbelege, direkte Antworten der Unternehmen und strengere Kontrollen der Anbieter. Zusammen werden diese Signale zeigen, ob es sich um einen Einzelfall oder um eine dauerhafte Veränderung der AI-Sicherheit handelt.
Bis dahin sollten Leser zwei Einschätzungen getrennt halten. Anthropic hat dokumentiert, was es nach eigenen Angaben beobachtet hat, während die genannten Unternehmen diese Darstellung öffentlich nicht bestätigt haben.
Fragen Sie Anbieter, wohin Prompts gelangen, bevor Sie dem Modellnamen auf einem Bildschirm vertrauen. Für Organisationen, die mit sensiblen Aufgaben arbeiten, ist diese Frage inzwischen ebenso wichtig wie die Modellqualität.
