Die gemeinsame Warnmeldung beschreibt mehrere Techniken, mit denen US-Spitzenmodelle in großem Umfang angezapft werden sollen. Genannt werden das Extrahieren von Gedankenketten (Chain-of-Thought-Reasoning), automatisches Umschalten zwischen Zugangswegen, sobald Anfragen blockiert werden, sowie ausgefeilte Bewertungsrahmen, mit denen sich defensive Gegenmaßnahmen der Anbieter erkennen lassen.
Der Nutzen für die beschuldigten Firmen liegt laut den Behörden auf der Hand: Wer in industriellem Maßstab gegen US-Modelle destilliere, verkürze seine Entwicklungszeiten deutlich und senke die Kosten für das Training eines eigenen Spitzenmodells. Um den Aufwand während dieses intensiven Prozesses zu drücken, sollen chinesische Anbieter Premium-Abonnements der US-Modelle in großen Mengen erwerben und quer über Entwicklerteams hinweg teilen.
Zur Verschleierung würden die Anfragen über native Programmierschnittstellen, entfernte Cloud-Anbieter und Drittanbieter-Aggregatoren geleitet, die Metadaten der Nutzer automatisch verschleiern. Hinzu kommen laut Meldung sogenannte „Transferstationen" — ein Graumarkt für Proxys, der eigens dazu dient, geografische Zugangsbeschränkungen von US-KI-Modellen zu umgehen und Schutzmechanismen auszuhebeln.
Die Behörden erheben auch firmenspezifische Vorwürfe. CISA erklärt, DeepSeek habe seit mindestens Ende 2024 eine organisierte Destillationskampagne gegen Spitzenmodelle von US-Anbietern betrieben, um „synthetische Trainingsdaten für seine Modelle zu erzeugen". Das Unternehmen habe gezielt einzelne Wissensdomänen ins Visier genommen, „um proprietäre Funktionalität und Schlussfolgerungsfähigkeiten zu extrahieren und so seine Rechen- und Forschungskosten zu senken". Die öffentlich genannten Trainingskosten von 5,6 Millionen US-Dollar seien deshalb irreführend, weil sie die tatsächlichen Kosten der durch umfangreiche bösartige Destillation beschafften Daten nicht enthielten.
Moonshot AI wiederum soll „erhebliche Mengen an Claude-Fable-5-Daten zum Training seines Modells Kimi-K3 und GPT-4o-Daten für Kimi-K2" abgezogen haben. Beide Firmen sollen im Rahmen der Kampagne Modelle von Anthropic, OpenAI, Google und xAI ausgeplündert haben.
Den US-KI-Unternehmen empfehlen die beteiligten Behörden, umfassende Erkennungs- und Gegenmaßnahmen einzuführen, um auffälliges und bösartiges Verhalten aufzuspüren, Erkenntnisse mit anderen KI-Organisationen zu teilen, um breiter angelegte Kampagnen zu erkennen, und Antworten bei Verdachtsfällen so anzupassen, dass die Ausgaben für die Angreifer an Wert verlieren.
Ismael Valenzuela, Vice President für Labs, Threat Research und Intelligence bei Arctic Wolf, sagt gegenüber Dark Reading, Modellextraktion und Destillation sollten „als eigene Kategorie von Sicherheitsvorfällen behandelt werden" — statt als API-Missbrauch oder als Streit um geistiges Eigentum. „KI-Unternehmen und Organisationen sollten die rund um die Uhr laufende Überwachung von Zugriffsmustern auf KI-Schnittstellen priorisieren: auf Automatisierung im großen Maßstab, auffälliges Abernten von Prompts und verteilte Kontoerstellung", so Valenzuela. Zudem sollten Organisationen mit den Modellanbietern zusammenarbeiten und Telemetriedaten sowie Indikatoren austauschen, statt die Erkennung als Aufgabe zu betrachten, die jede Organisation für sich allein lösen müsse.