Die US-amerikanische National Security Agency (NSA), die Cybersecurity and Infrastructure Security Agency (CISA) und das FBI haben am 8. September gemeinsam eine Sicherheitswarnung veröffentlicht, die sechs chinesische KI-Unternehmen nennt. Ihnen wird vorgeworfen, per „Destillation“ in großem Maßstab proprietäre Fähigkeiten fortschrittlicher US-Modelle abzuschöpfen, um das Training eigener Produkte zu beschleunigen. In öffentlichen Berichten werden drei Namen ausdrücklich genannt: DeepSeek, Moonshot AI und Alibaba.
Laut der Warnung stammen die anvisierten Modelle von Anthropic, OpenAI, Google und SpaceX. Die betreffenden Aktivitäten fänden „höchstwahrscheinlich mit Wissen der chinesischen Regierung“ statt; die Unternehmen würden ihre Operationen bewusst verteilen, um eine Identifizierung auf einer einzigen Plattform zu vermeiden. Die US-Seite schreibt zudem, dass solche Fähigkeitszuwächse Chinas militärische und Cyberangriffs-Fähigkeiten weiter stärken könnten.
Destillation an sich ist keine Straftat
Destillation ist eine gängige Trainingsmethode: Man nutzt die Ausgaben eines größeren, teureren Modells, um ein kleineres Modell zu trainieren — das spart Zeit und Geld. Die akademische Welt setzt die Technik seit Jahren ein, auch Labore nutzen sie intern; das Komprimieren großer Modelle zu kleinen, edge-tauglichen Modellen beruht im Wesentlichen darauf.
Der Schwerpunkt der Warnung liegt nicht auf der Methode, sondern auf der Autorisierung und dem Ausmaß. Der Vorwurf der US-Seite lautet, dass diese Unternehmen dies unautorisiert und in industriellem Maßstab getan hätten. Diese Unterscheidung steht ausdrücklich im Text, geht aber in der Wiedergabe am leichtesten verloren. Fällt sie weg, wird daraus „Destillation ist gleich Diebstahl“ — das stimmt so nicht.
Was fehlt
Die öffentliche Fassung der Warnung listet keine technischen Beweise für die Vorwürfe auf — Zugriffsprotokolle, Kontozuordnungen, konkrete Zahlen zum Umfang der Abschöpfung fehlen. Die Formulierung „höchstwahrscheinlich mit Wissen der chinesischen Regierung“ ist eine Wahrscheinlichkeitsaussage, keine Feststellung. Bis Redaktionsschluss haben sich weder die genannten Unternehmen noch chinesische Behörden öffentlich geäußert, und das Dokument nennt auch keine anschließenden Vollzugs- oder Sanktionsmaßnahmen.
Für Unternehmen lässt sich nur eines mit Sicherheit sagen: Die Nutzungsbedingungen der US-Modellanbieter verbieten es schon lange, Ausgaben zum Training konkurrierender Modelle zu verwenden. Der Unterschied ist, dass dies bisher eine Vertragsklausel war, deren Durchsetzung den Plattformen selbst oblag — jetzt taucht sie in einer gemeinsamen Warnung nationaler Sicherheitsbehörden auf, was ihren Stellenwert eine Stufe höher rückt.
Der Zeitpunkt
Diese Warnung kommt vor zwei Ereignissen: China und die USA wollen Mitte September voraussichtlich über KI-Sicherheitsrisiken sprechen, und Staatschef Xi Jinping soll Ende September die USA besuchen. Am selben Tag erklärte US-Finanzminister Scott Bessent öffentlich, die Folgen wären sehr ernst, sollten die USA das Rennen um KI gegen China verlieren.
Für heimische Modellanbieter geht die unmittelbare Wirkung nicht von der Warnung selbst aus, denn sie hat keine Rechtskraft. Die Wirkung entfaltet sich nachgelagert. Wenn Produkte für den Auslandsmarkt an US-Cloud-Dienste angebunden werden, in US-App-Stores gelistet werden oder US-Unternehmenskunden gewinnen wollen, kann der Einkäufer im Compliance-Fragebogen leicht eine zusätzliche Zeile einfügen: „Enthalten Ihre Trainingsdaten Ausgaben von Modellen Dritter?“ Mehrere führende heimische Modelle drängen gerade in diesen Jahren verstärkt in den ausländischen Unternehmensmarkt, und diese Zeile lässt sich nicht einfach mit Ausflüchten ausfüllen — bei der Herkunft von Trainingsdaten gilt: Wer es nicht klar erklären kann, kann es eben nicht klären.
Eine weitere Schwierigkeit ist der Nachweis. Spuren der Destillation stecken in den Gewichten des Modells, nicht in Dateien, und Dritte haben derzeit keine anerkannte Methode, dies zu beweisen oder zu widerlegen. Die Wissenschaft hat in den letzten Jahren Vorschläge für Wasserzeichen oder Fingerabdrücke von Modellausgaben gemacht, doch die bleiben im Forschungsstadium und werden bislang nicht als Beweis anerkannt. Das ist auch der Grund, warum solche Vorwürfe meist bei Warnungen stehen bleiben und selten vor Gericht landen.
Die sichtbaren Auswirkungen für Nutzer in China sind derzeit nahezu null: Die genannten Produkte laufen wie gewohnt weiter, inländische APIs und Anwendungen bleiben unverändert. Zu beobachten ist die andere Seite — US-Modellanbieter könnten die Erkennung und Sperrung missbräuchlicher Nutzung ihrer Ausgaben verschärfen, wodurch Teams, die bei der Weiterentwicklung auf ausländische APIs angewiesen sind, künftig einem höheren Kontorisiko ausgesetzt sein könnten.
Quellen: Gemeinsame Sicherheitswarnung von NSA, CISA und FBI, Reuters, CocoLoop, United Daily News, Sing Tao Headline; die Anzahl der genannten Unternehmen richtet sich nach dem Warntext, öffentliche Berichte nennen ausdrücklich drei Namen, die übrigen drei sind nicht bekanntgegeben.