Laut dem Bulletin von NSA, CISA und FBI senken die chinesischen Unternehmen die Kosten ihrer Distillation-Kampagnen durch den Massenkauf von Premium-Abonnements der US-Anbieter, die anschließend innerhalb ganzer Entwicklerteams geteilt werden. Zu den fortgeschrittenen Taktiken zählen die Behörden das Extrahieren von Chain-of-Thought-Schlussfolgerungen, ein automatisches Ausweichen auf alternative Zugangswege, sobald Blockaden greifen, sowie ausgefeilte Bewertungsrahmen, mit denen sich defensive Gegenmaßnahmen erkennen lassen. Das Ergebnis seien deutlich kürzere Entwicklungszeiten und geringere Ausgaben beim Training eigener Spitzenmodelle.
Der Zugriff erfolgt den Angaben zufolge über Programmierschnittstellen, entfernte Cloud-Anbieter und Drittanbieter-Aggregatoren, die Nutzer-Metadaten verschleiern, um einer Entdeckung zu entgehen – ein Verstoß gegen die Nutzungsbedingungen der US-Anbieter. Da US-Spitzenmodelle in China offiziell nicht angeboten werden, greifen dortige Entwickler auf inländische Systeme oder alternative Zugangswege zurück: virtuelle private Netzwerke, verschleierte Konten und automatisierte Agenten, mit denen sich geografische Kontrollen umgehen lassen.
Ergänzt wird das durch einen Graumarkt von Proxys, die als Relais- oder Umschlagstationen dienen und den Zugriff über Server außerhalb des chinesischen Festlands abwickeln. Solche Dienste würden auf den chinesischen Online-Marktplätzen Taobao und Xianyu beworben. Die Operationen würden zudem bewusst über mehrere Anbieter und Plattformen verteilt, um unauffällig zu bleiben, wobei jeweils gezielt die besten Fähigkeiten und proprietären Merkmale des jeweiligen US-Modells abgeschöpft würden.
Neu sind die Vorwürfe nicht: Anthropic hatte in diesem Februar erklärt, Kampagnen im industriellen Maßstab durch DeepSeek, Moonshot AI und MiniMax identifiziert zu haben, die darauf abzielten, die Fähigkeiten von Claude unrechtmäßig zu extrahieren. Die Google Threat Intelligence Group berichtete zuletzt von einem starken Anstieg von Distillation-Kampagnen gegen Googles KI-Modelle; einzelne davon umfassten mehr als 100 Millionen Prompts und konzentrierten sich auf visuelles und auditives Verständnis sowie auf Bild- und Videogenerierung. Angreifer setzten laut Google Proxy-Infrastruktur ein und rotierten Anfragen über Tausende kompromittierter Zugangsdaten und betrügerischer Konten in verschiedenen Produktkanälen, um ihre Herkunft zu verschleiern und Sicherheitskontrollen zu umgehen.
Ismael Valenzuela, Vice President of Labs, Threat Research and Intelligence bei Arctic Wolf, ordnet das Bulletin als Missbrauch legitimen Zugangs ein und fordert eine koordinierte Antwort auf gut ausgestattete Gegner. Distillation sei in der Forschung nichts Ungewöhnliches, doch verteilten die beschuldigten Unternehmen ihre Operationen bewusst über das globale KI-Ökosystem – ähnlich den Ausweichtaktiken, die Sicherheitsteams von verteiltem Credential Stuffing oder Zahlungsbetrug kennen.
„Wenn Angreifer das fortgeschrittene Schlussfolgern und Agentenverhalten von Modellen US-amerikanischer KI-Firmen nachbilden können, ohne sich an die Gesetze und Vorschriften zu halten, an die diese Firmen gebunden sind, wird es Verteidigern schwerfallen, ihre Aktivität von legitimen Plattformen zu unterscheiden“, so Valenzuela. Das öffne die Tür für offensive Cyberoperationen, Einflusskampagnen oder autonome Werkzeuge, die unentdeckt blieben. Auch Unternehmen ohne eigenen Bezug zu Spitzenmodellen seien betroffen: Wo Kunden oder Partnern Modellzugang eingeräumt werde, würden API-Schlüssel und Dienstkonten zu wertvollen Zielen – und deren Missbrauch wirke wie legitime Nutzung.