Der Bericht der drei Behörden benennt konkrete Fälle. Zwischen Ende 2024 und Mitte 2025 soll DeepSeek Trainingsdaten und Fähigkeiten aus Claude, Gemini, GPT-4, GPT-5 und Grok 4 destilliert haben, um die eigenen Modelle R1 und V3 zu trainieren. Das abgeschöpfte Wissen umfasste unter anderem regelgesteuerte API-Aufgaben, agentische Funktionen, die Optimierung von Frage-Antwort-Verhalten, überwachtes Feintuning sowie kreatives und berufsbezogenes Schreiben.
Moonshot AI betrieb laut Bericht Destillation in ähnlichem Umfang: Für das Modell Kimi-K3 seien in erheblichem Maße Daten aus Claude Fable 5 extrahiert worden, für Kimi-K2 Daten aus GPT-4o. Vergleichbare Vorgänge dokumentieren die Behörden für alle genannten chinesischen KI-Systeme.
Die eingesetzten Taktiken, Techniken und Prozeduren ordnen NSA, CISA und FBI dem MITRE-ATLAS-Framework zu — jeweils mit Titel, Kennung und Beschreibung. Die Kette reicht von der Ressourcenentwicklung über Zugang, Ausführung, Erkundung, die Vorbereitung des KI-Angriffs, Sammlung und Exfiltration bis zur Wirkung.
Auffällig ist für die Verfasser, dass die chinesischen Unternehmen zusätzliche Techniken einsetzen, die in MITRE ATLAS bislang nicht abgebildet sind. Dazu zählen die Umgehung regionaler Zugangsbeschränkungen und der Missbrauch von Abonnements, eine zentralisierte Infrastruktur zur Weiterleitung von Anfragen, die automatisierte Bereinigung von Anfrage-Metadaten sowie eine systematische Optimierung von Kontingenten und Kosten. Gerade diese Bausteine sprechen aus Sicht der Behörden gegen zufällige Ausnutzung und für koordiniertes Vorgehen.
Die empfohlenen Gegenmaßnahmen sollen über das gesamte US-KI-Ökosystem hinweg abgestimmt werden — einschließlich Cloud-Anbietern, API-Aggregatoren und Infrastrukturbetreibern. Das Spektrum reicht von rein defensiven Schritten wie verhaltensbasierter Erkennung und Überwachung, für die der Bericht konkrete beobachtbare Muster nennt, bis zu offensiveren Antworten. Zu Letzteren heißt es: „Gezielte Änderungen als Reaktion auf Destillationsanfragen, die mit hoher Zuversicht als bösartig eingestuft werden, können Kampagnen zur Wissensdestillation spürbare Kosten auferlegen."
Empfohlen wird außerdem der Austausch von Informationen über Destillationskampagnen. „Aus mehreren Quellen korrelierte Aktivität ermöglicht eine sicherere Zuordnung bösartiger Destillationskampagnen und rechtfertigt eine Verschlechterung der Antworten bei geringem bis keinem Risiko für legitime Nutzer", schreiben die Behörden.
Als weiteres Mittel nennt der Bericht das Prinzip der differenziellen Privatsphäre. Umsetzen ließe es sich, indem den Modellausgaben „kalibriertes Rauschen" hinzugefügt wird, um Angreifer daran zu hindern, Informationen über die Zugehörigkeit von Trainingsdaten sowie andere sensible Modellinformationen zu extrahieren — etwa Entscheidungsgrenzen oder Signale, die die Rekonstruktion privater Daten erlauben würden.
Unternehmen, die KI einsetzen, sind nach Einschätzung der Behörden nicht direkt bedroht. Allerdings könnte Wissen darüber, wie eine KI-gestützte Verteidigung reagiert, Angreifern raffiniertere und schwerer erkennbare Angriffe ermöglichen. Der Kern der Warnung zielt jedoch auf die technologische Führungsrolle der USA und die davon abhängige Wirtschaft.