USA werfen sechs chinesischen KI-Firmen Modell-Diebstahl vor

Die US-Behörden NSA, CISA und FBI haben am 8. September 2026 ein gemeinsames Cybersecurity-Advisory mit der Kennung AA26-251A veröffentlicht und darin sechs chinesische KI-Unternehmen namentlich beschuldigt: DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun und Z.AI sollen seit mindestens Ende 2024 «Milliarden Tokens über Millionen von Austauschen und Anfragen» aus den führenden US-Modellen Claude, GPT, Gemini und Grok abgesaugt haben. Der Vorwurf ist ungewöhnlich scharf formuliert: Dieses Abschöpfen bilde «den Kern – nicht bloss eine Ergänzung» der chinesischen KI-Entwicklungsstrategie.

Wenn Abschauen zur Industriepolitik wird

Worum geht es technisch? Um Distillation (Wissensdestillation): Man schickt einem starken Modell sehr viele Fragen, sammelt dessen Antworten und trainiert damit ein eigenes, kleineres Modell – das sich so die Fähigkeiten des Originals abschaut, ohne dessen Trainingsaufwand zu bezahlen.

Das Verfahren selbst ist Standard und legitim. Die Behörden stören sich an Ausmass und Absicht: Sie sprechen von «aggressiven, böswilligen und gezielten Destillations-Aktivitäten in industriellem Massstab». Dass die Grenze fliessend ist, zeigt ein Fall aus dem eigenen Land: Elon Musk räumte laut Forbes in einer Zeugenbefragung ein, dass xAI OpenAI-Outputs zum Training genutzt hat.

Wer wen abgeschöpft haben soll

Ungewöhnlich an dem Papier ist die Detailtiefe – es listet pro Firma auf, welche US-Modelle betroffen sein sollen. Die folgenden Angaben stammen aus den Berichten von CyberScoop, Engadget und The Next Web, die das Advisory ausgewertet haben:

• DeepSeek soll seit Ende 2024 organisierte Kampagnen gegen Claude-, Gemini-, GPT- und Grok-Modelle gefahren haben; laut CyberScoop entstanden daraus synthetische Trainingsdaten für die Modelle R1 und R3 – unter anderem aus vier Claude-Versionen, zwei Gemini-Versionen, fünf ChatGPT-Versionen und Grok 4.
• Moonshot AI soll gemäss CyberScoop 18 verschiedene US-Modelle destilliert haben – darunter Anthropics aktuell stärkstes kommerziell verfügbares Modell Fable 5 für Kimi K3; für Kimi K2 seien laut Engadget GPT-4o-Daten genutzt worden.
• Alibaba soll Ende 2025 Claude und GPT-5 destilliert haben, um die Qwen-Familie zu verbessern.
• MiniMax wird vorgeworfen, Chain-of-Thought- und Reinforcement-Learning-Daten extrahiert und Prompt-Injection gegen Claude Code versucht zu haben.
• StepFun soll Ende 2025 und Anfang 2026 Reasoning- und Coding-Fähigkeiten abgegriffen haben.
• Z.AI soll bis Mitte 2026 Milliarden Tokens aus GPT-5.5 und Claude Opus gezogen haben.

Wie der Traffic verschleiert wurde, dürfte die Branche zweimal lesen: gefälschte Accounts, über viele Adressen verteilte Zugänge, Anfragen durch Cloud-Anbieter und Dritt-Aggregatoren, die Metadaten strippen, dazu ein Graumarkt von API-Proxys – im Advisory «Transfer Stations» genannt –, der Geosperren aushebelt. Dazu Jailbreak-Prompts, die ein Modell bitten, den Gedankengang zu einer bereits gegebenen Antwort nachzuerzählen – so lassen sich verborgene Reasoning-Ketten herauslocken. Wurde ein Weg blockiert, schaltete das System automatisch auf den nächsten um.

Bei der Zuschreibung bleiben die Behörden dagegen auffällig vorsichtig: Die Kampagnen liefen «wahrscheinlich mit Kenntnis der chinesischen Regierung» – Kenntnis, nicht Anweisung. Ein Sprecher der chinesischen Botschaft wies die Vorwürfe laut Bloomberg, das zuerst über das Advisory berichtete, als gezielten Angriff auf Chinas KI-Entwicklung zurück. Keines der sechs Unternehmen nahm gegenüber den berichtenden Medien Stellung.

Die 5,6-Millionen-Dollar-Fussnote

Eine Passage zielt direkt auf die Zahl, die DeepSeek Anfang 2025 weltberühmt machte. Die vielzitierten 5,6 Millionen Dollar Trainingskosten schliessen die Kosten der durch böswillige Destillation beschafften Daten nicht ein – so referiert The Next Web die entsprechende Passage. Das ist ein US-Regierungsdokument, das die Behauptung angreift, ein Frontier-Modell lasse sich zum Preis einer Eigentumswohnung bauen – jene Behauptung, die im Januar 2025 die Tech-Börsen erschütterte.

Der Rat, der auch normale Kunden trifft

Neben Erkennungssystemen und branchenweitem Informationsaustausch empfehlen die Behörden den Anbietern etwas Heikles: Bei Verdacht auf Destillation sollen sie die Antwortqualität für die betroffenen Konten unmerklich verschlechtern, ohne die Nutzer zu informieren – legitime Forschende hingegen aufklären.

Eine Behörde rät privaten Firmen, Nutzer, gegen die nichts bewiesen ist, still schlechter zu bedienen.

Jeder Fehlalarm bedeutet einen ganz normalen Kunden, der schlechtere Antworten bekommt und es nie erfährt. Wenn du geschäftskritische Prozesse auf einer Modell-API aufbaust, hast du damit ein neues Risiko im Pflichtenheft: Qualitätsschwankungen, die nicht an deinem Prompt liegen.

Warum das auch in Zürich und Bern ankommt

Ein direkter Schweiz-Bezug fehlt im Advisory – die praktischen Folgen sind hier trotzdem spürbar. Genau die beschuldigten Häuser liefern jene offenen Modelle, die im DACH-Raum aus Datenschutzgründen beliebt sind: DeepSeek R1 und Alibabas Qwen lassen sich mit offenen Gewichten im eigenen Rechenzentrum betreiben – dann verlassen keine Daten das Haus. Am technischen Nutzen ändert das Advisory nichts. Es setzt aber ein Fragezeichen hinter die Herkunft dieser Modelle – und Herkunft ist in Compliance-Dossiers zunehmend eine eigene Rubrik neben Datenschutz und Kosten.

Die Schweiz hat dazu eine eigene Antwort im Regal: Apertus, das im September 2025 von der Swiss AI Initiative (EPFL, ETH Zürich und das Nationale Hochleistungsrechenzentrum CSCS) veröffentlichte Sprachmodell. Es kommt in Grössen von 8 und 70 Milliarden Parametern, wurde auf 15 Billionen Tokens in über 1'000 Sprachen trainiert und steht unter Apache-2.0-Lizenz – inklusive offengelegter Architektur, Gewichte und Trainingsdaten. Wenn Provenienz zum Kriterium wird, ist ein vollständig dokumentiertes Modell plötzlich mehr als ein Forschungsprojekt.

Und die eigentliche Verschiebung liegt im Format: Aus einer politischen Beschwerde ist ein technisches Advisory von drei Behörden geworden, mit Zuschreibung pro Modell. Solche Dokumente stehen erfahrungsgemäss am Anfang von Sanktionsdebatten, nicht an deren Ende.