Claude als Trainingsmaschine: Anthropic meldet industrielle KI-Spionage : Sieben chinesische KI-Labore sollen Claude millionenfach abgefragt haben, um eigene Modelle zu trainieren

Was wie gewöhnlicher KI-Traffic aussieht, kann Teil einer industriellen Extraktionsmaschine sein: Anthropic berichtet von sieben groß angelegten Destillation-Kampagnen mit teils Millionen Claude-Anfragen pro Tag. Gefälschte Konten, gestohlene API-Schlüssel und Proxy-Netze sollen dabei geholfen haben, Fähigkeiten westlicher Frontier-Modelle systematisch abzuschöpfen.

Anthropic zufolge haben sieben in China ansässige KI-Labore seit Februar 2026 versucht, Fähigkeiten seiner Claude-Modelle im industriellen Maßstab zu extrahieren. Genannt werden unter anderem Alibaba, Moonshot AI, DeepSeek, Z.ai beziehungsweise Zhipu, Xiaomi, SenseTime und MiniMax. Im größten beobachteten Fall registrierte Anthropic 151 Millionen Interaktionen innerhalb von drei Monaten.

Im Zentrum steht dabei nicht der Diebstahl von Modellgewichten. Stattdessen wird das Zielmodell millionenfach mit sorgfältig ausgewählten Aufgaben konfrontiert. Seine Antworten – teilweise einschließlich komplexer Reasoning-Muster – dienen anschließend als Trainingsmaterial für ein anderes Modell. Besonders begehrt waren Anthropic zufolge agentische Fähigkeiten, Werkzeugnutzung, Softwareentwicklung, Datenanalyse und logisches Schlussfolgern.

Legitime Methode wird zum Extraktionswerkzeug

Modelldestillation (englisch: Model Distillation) ist zunächst eine reguläre Technik des maschinellen Lernens. Dabei überträgt ein leistungsfähiges „Teacher“-Modell Wissen auf ein kleineres oder effizienteres „Student“-Modell. Einen Überblick bietet unter anderem die britische Regierung in ihrer Darstellung zur Model Distillation; auch IBM erläutert die technischen Grundlagen der Knowledge Distillation.

Problematisch wird das Verfahren, wenn fremde Modelle ohne Genehmigung automatisiert ausgefragt werden, um deren Fähigkeiten nachzubilden. Statt einzelner API-Aufrufe entstehen dafür regelrechte Extraktionspipelines: Tausende Konten senden enorme Mengen synthetischer oder realer Anfragen, variieren Prompts und sammeln die Antworten als Trainingskorpus. Anthropic spricht deshalb von „zunehmend ausgefeilten Methoden“, mit denen Schutzmechanismen umgangen würden.

Tausende falsche Identitäten als Zugangsschicht

Nach Angaben von Anthropic liefen viele Zugriffe über Proxy-, Relay- oder sogenannte Transferdienste. Diese Infrastruktur soll massenhaft Konten unter erfundenen Identitäten angelegt und dafür gefälschte oder gestohlene Kreditkarten, Zugangsdaten und API-Schlüssel verwendet haben. Der technische Vorteil liegt auf der Hand: Statt Millionen Abfragen unmittelbar einem einzelnen Betreiber zuzuordnen, verteilt sich der Traffic auf Tausende scheinbar unabhängige Nutzer. Konten lassen sich rotieren, sperren und ersetzen. Damit ähnelt die Infrastruktur klassischen Botnet- und Fraud-Modellen, richtet sich hier jedoch gegen die Fähigkeiten eines KI-Modells.

Noch problematischer ist eine zweite Variante. Laut Anthropic wurden teilweise reale Anfragen von Nutzern anderer KI-Dienste heimlich an Claude weitergeleitet. Die Nutzer glaubten also, mit dem Modell ihres jeweiligen Anbieters zu kommunizieren, während ihre Prompts tatsächlich Claude erreichten. Anthropic erklärt in seinem Threat Intelligence Report vom September 2026, DeepSeek, Xiaomi und Moonshot hätten Gespräche ihrer eigenen Nutzer an Claude übermittelt. Einige dieser Dialoge hätten sensible Informationen von Privatpersonen, multinationalen Unternehmen und staatlich verbundenen Akteuren enthalten.

Sieben Kampagnen mit Millionen Interaktionen

Anthropic beschreibt sieben seit Februar entdeckte Kampagnen:

• GTG-16005: Eine Alibaba zugerechnete Betreibergruppe soll zwischen Mai und Juli 151 Millionen Interaktionen mit Claude Opus 4.6 und 4.7 erzeugt haben. In Spitzenzeiten registrierte Anthropic rund drei Millionen Abfragen pro Tag aus mehr als 3.500 betrügerischen Konten. Ziel waren unter anderem Chain-of-Thought-(CoT-)Daten, agentische Aufgaben, Softwareentwicklung, Kernel-Entwicklung und Aufgaben mit langen Handlungsketten. Anthropic bezeichnet den Vorgang als den „größten Distillation-Angriff, den wir je gemessen haben“.
• GTG-16002: Moonshot AI soll zwischen Mai und Juli 23 Millionen Interaktionen erzeugt und Kundenanfragen heimlich von Kimi an Claude weitergeleitet haben. Teile der Antworten seien anschließend als Trainingsmaterial für ein eigenes CoT-Modell gespeichert worden. Allein innerhalb von zehn Tagen seien fast 300.000 Kundenanfragen über 5.380 betrügerische Konten übertragen worden, überwiegend aus Singapur und Japan.
• GTG-16001: DeepSeek soll innerhalb von nur 14 Tagen im Juli mehr als 12,1 Millionen Interaktionen erzeugt haben. Auch hier seien Nutzeranfragen ohne entsprechende Information an Claude weitergeleitet worden, um CoT-Daten zu gewinnen.
• GTG-16006: Zhipu beziehungsweise Z.ai soll innerhalb von 17 Tagen im Juni und Juli mehr als 3,4 Millionen Interaktionen durchgeführt haben. Eine Extraktionspipeline habe Claude-Reasoning erneut über Claude verarbeitet, um Trainingsdaten zu erzeugen. Dabei seien 273 betrügerische Konten rotiert worden.
• GTG-16008: Xiaomi soll im März und April innerhalb von 20 Tagen mehr als 400.000 Interaktionen erzeugt haben. Gespräche und Coding-Sitzungen der eigenen MiMo-Modelle seien über OpenClaw und OpenCode an Claude weitergegeben worden, um Trainingsmaterial für künftige Modelle zu gewinnen.
• GTG-16012: SenseTime soll laut Anthropic Mitschnitte von Claude-Unterhaltungen bei externen Datenhändlern gekauft haben.
• GTG-16003: MiniMax soll über eine Briefkastenfirma ein eigenes Proxy-Netz aufgebaut haben, das Zugriff auf Modelle von Anthropic und OpenAI angeboten habe. Anthropic vermutet, dass damit zugleich Nutzerdialoge gesammelt wurden, um eigene Modelle zu trainieren.

Ein Schwarzmarkt für KI-Gespräche

Besonders brisant ist der dabei entstandene Sekundärmarkt. Anthropic zufolge verkaufen Betreiber von Proxy-Diensten nicht nur Zugänge zu Claude in Regionen, in denen der Dienst offiziell nicht angeboten wird. Einige speichern zugleich die Gespräche ihrer Kunden und vermarkten diese anschließend als Trainingsdaten. Damit verschmelzen mehrere Risiken: Umgehung regionaler Zugriffsbeschränkungen, Identitätsbetrug, Missbrauch fremder API-Schlüssel, Verletzung von Nutzerdaten und systematische Extraktion geistigen Eigentums.

Anthropic fasst das Problem so zusammen: Die Verbreitung solcher Proxy-Dienste habe einen „Sekundärmarkt“ geschaffen, über den KI-Labore abgegriffene Unterhaltungen zwischen Nutzern und Claude erwerben könnten.

Warum Reasoning besonders wertvoll ist

Für Distillation sind hochwertige Antworten wichtiger als bloße Textmengen. Besonders wertvoll sind Beispiele, die zeigen, wie ein Frontier-Modell komplexe Probleme löst, Werkzeuge auswählt, Code entwickelt oder Aufgaben über mehrere Schritte verfolgt. Anthropic versucht deshalb, diesen Informationsgewinn zu reduzieren. Claude wurde so angepasst, dass das Modell sein internes Reasoning vor einer Antwort stärker zusammenfasst. Ein abgegriffenes Transkript enthält dadurch weniger verwertbare Zwischenschritte.

Mit „Preserved Thinking“ soll Anthropic zufolge außerdem verhindert werden, dass neue API-Konten System-Prompts, Werkzeuge oder vorhergehende Nachrichten nachträglich manipulieren, um Reasoning-Daten offenzulegen. Die entsprechenden Denkzustände werden verschlüsselt.

KI-Sicherheit wird zur Frage der Modellökonomie

Die Vorfälle zeigen eine neue Angriffsklasse: Nicht Datenbanken oder Quellcode sind das unmittelbare Ziel, sondern erlernte Fähigkeiten eines Modells. Je teurer das Training leistungsfähiger Modelle wird, desto größer wird der wirtschaftliche Anreiz, bestehende Systeme als externe Lehrer zu missbrauchen. Klassische API-Sicherheit reicht dafür kaum aus. Anbieter müssen zusätzlich erkennen, welche Nutzungsmuster auf automatisierte Wissensextraktion hindeuten, wie Konten zusammenhängen, welche Proxy-Netze dahinterstehen und ob Prompts gezielt Kompetenzen eines Modells systematisch vermessen. Der Schutz von Frontier-Modellen entwickelt sich damit von einer reinen Zugangskontrolle zu einer Art digitalem Export- und Missbrauchsschutz: Entscheidend ist nicht mehr nur, wer eine API aufrufen darf, sondern auch, ob Millionen scheinbar legitimer Anfragen zusammengenommen dazu dienen, das Produkt selbst zu kopieren.