Drei US-Sicherheitsbehörden haben ein Dokument mit Aktenzeichen veröffentlicht, das sechs chinesische KI-Firmen beim Namen nennt.

Erst kostenlos reinschnuppern, dann entscheiden

Bevor du dich für eine Weiterbildung entscheidest, sieh dir kostenlos an, wie sie läuft, fünf Lektionen plus Live-Demo, ohne Verpflichtung. Passt es, ist der Digitalisierungsmanager bei bewilligtem Bildungsgutschein für dich kostenlos.

Kostenlos reinschnuppern

Der Schnupperkurs ist gratis. Ob die Weiterbildung über den Bildungsgutschein gefördert wird, entscheidet die Agentur für Arbeit im Einzelfall.

Was das Advisory behauptet

Das Papier trägt die Kennung AA26-251A und den Titel „China-Based Artificial Intelligence Companies Conducting Industrial-Scale Distillation Campaigns Against U.S. AI Companies". Veröffentlicht haben es die NSA, die CISA und das FBI gemeinsam am Dienstag, 8. September 2026. Destillation heißt in diesem Zusammenhang: Ein Modell wird massenhaft befragt, und die Antworten dienen als Trainingsmaterial für ein anderes, meist kleineres oder günstigeres Modell.

Den Vorwurf richten die Behörden gegen sechs Firmen. DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun und Z.AI sollen seit spätestens Ende 2024 Spitzenmodelle von Anthropic, OpenAI, Google und xAI systematisch abgefragt haben. Laut Advisory wurden dabei Milliarden Token über Millionen von Anfragen abgezogen. Die Kampagnen liefen nach Darstellung der Behörden „wahrscheinlich mit Wissen der chinesischen Regierung", und das ist die einzige Stelle im Dokument, an der die Verfasser ihr Urteil abschwächen. Destillation bilde bei diesen Firmen, so das Advisory, „den Kern, nicht nur eine Ergänzung" der Modellentwicklung.

Rohdaten oder Vertrauensstufen für diese Einschätzungen enthält das Dokument nicht.

Die Vorwürfe im Einzelnen

Das Advisory listet je Firma auf, was sie nach Ansicht der Behörden abgefragt haben soll. DeepSeek soll seit spätestens Ende 2024 unter anderem Modelle der Claude-, Gemini-, GPT- und Grok-Reihen benutzt haben; die Behörden merken dazu an, die von DeepSeek genannten Trainingskosten von 5,6 Millionen US-Dollar enthielten die Kosten der Destillation nicht. Moonshot AI soll seit Mitte 2025 unter anderem Claude Fable 5 für das Modell Kimi K3 und GPT-4o für Kimi K2 herangezogen haben; Kimi K3 ist das Modell, das der Artikel Kimi K3: Größtes offenes KI-Modell zum Selbsthosten 2026 beschreibt. Alibaba soll laut Advisory Ende 2025 Claude- und GPT-Modelle abgefragt haben, um die Qwen-Modellfamilie zu verbessern. MiniMax soll Ende 2025 unter anderem Claude Code angezapft haben; nach Darstellung der Behörden versuchte die Firma per Prompt-Injection, Claude Code glauben zu machen, es sei ein MiniMax-Produkt, und schwenkte innerhalb von 24 Stunden nach einer Modellveröffentlichung auf das neue Modell um. StepFun wird vorgeworfen, von Ende 2025 bis Anfang 2026 Fähigkeiten für Code-Entwicklung und Agentenfunktionen abgefragt zu haben. Z.AI soll bis Mitte 2026 GPT-5.5 und Claude Opus 4.8 befragt haben. Jede dieser Angaben ist eine Behauptung der Behörden, und die Modellnamen hier sind eine Auswahl aus dem Dokument.

Was die Behörden nicht vorlegen

Das Advisory nennt keine Vertrauensstufen für seine Aussagen, also keine Einstufung von hoch bis niedrig, aus der hervorginge, wie sicher sich die Verfasser sind. Rohdaten, aus denen sich die Milliarden Token oder die Millionen Anfragen nachvollziehen ließen, legt es ebenfalls nicht vor.

Es sind Vorwürfe einer Regierung. Ein Gericht hat sie nicht geprüft.

Geantwortet hat bislang keine der sechs Firmen. BleepingComputer und The Next Web haben alle sechs um Stellungnahme gebeten und keine Antwort erhalten. Ein Sprecher der chinesischen Botschaft in Washington, Liu Chang, nannte die Vorwürfe laut The Next Web einen „gezielten Angriff auf Chinas KI-Entwicklung".

Einen früheren Vorwurf gab es gegen Alibaba. Anthropic hatte im Juni 2026 in einem Schreiben an zwei US-Senatoren behauptet, Alibaba habe zwischen dem 22. April und dem 5. Juni 2026 mit rund 25.000 gefälschten Konten und 28,8 Millionen Austauschen Claude destilliert. Alibaba bestritt das. Die Zahlen stammen von Anthropic und sind nicht unabhängig geprüft. Ein Bestreiten des aktuellen Advisories liegt auch von Alibaba nicht vor.

Was das Advisory den Anbietern empfiehlt

Der zweite Teil des Dokuments richtet sich an die amerikanischen KI-Firmen selbst. Die Anbieter sollen auffällige Eingaben erkennen, ebenso auffällige Konten und Netze, das Verhältnis von Abonnement zu tatsächlicher Nutzung beobachten und darauf achten, ob neue Konten sofort unter Volllast laufen. Bei Verdacht sollen sie ihre Antworten unauffällig verändern, ohne den Verdächtigen darüber zu informieren. Erkenntnisse sollen anbieterübergreifend geteilt werden, auch mit Cloud-Plattformen und API-Aggregatoren.

Für alle anderen Organisationen verweist das Advisory auf den MITRE-ATLAS-Katalog und das NIST-Papier AI 100-2e2025. Genannt werden dort die Erkennung feindlicher Eingaben, die Begrenzung von Anfragemenge und Anfragerate, Zugriffskontrollen, Protokollierung, die Verschleierung von Ausgaben und Red-Team-Tests.

Unsere Einschätzung

Für einen Betrieb, der eines dieser Modelle, etwa Qwen oder Kimi, auf eigener Hardware laufen lässt, ändert das Advisory an der Technik nichts. Es enthält auch keine Aufforderung an Nutzer, diese Modelle abzuschalten.

Verändert hat sich die Lage trotzdem. Die vier US-Anbieter haben jetzt ein amtliches Papier, auf das sie sich berufen können. Und die Empfehlung, Antworten bei Verdacht unbemerkt zu verschlechtern, betrifft jeden, der über einen Aggregator oder mit einem ungewöhnlichen Nutzungsmuster auf ihre Modelle zugreift. Wer viele Anfragen über ein einziges Konto bündelt, sollte damit rechnen, in ein Raster zu fallen, und wird es nach dem Wortlaut des Advisories nicht erfahren.

Der zweite Punkt liegt näher am Alltag. Die Abwehrliste des Advisories gilt genauso für den kleinen Betrieb, der seinen eigenen KI-Assistenten ins Netz stellt: Auch dessen Antworten kann jemand massenhaft abfragen, und wer weder die Anfragemenge begrenzt noch protokolliert, merkt es nicht. Wir halten diese Liste für den brauchbarsten Teil des Dokuments, brauchbarer als jede Diskussion über die Vorwürfe selbst, weil sie sich am Montag umsetzen lässt und niemanden dazu zwingt, Partei zu ergreifen.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 9. September 2026):

Häufige Fragen

Was werfen NSA, CISA und FBI den sechs chinesischen KI-Firmen vor?

Im Advisory AA26-251A vom 8. September 2026 werfen die Behörden DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun und Z.AI vor, seit spätestens Ende 2024 Spitzenmodelle von Anthropic, OpenAI, Google und xAI massenhaft abgefragt und die Antworten als Trainingsmaterial für eigene Modelle benutzt zu haben. Laut Advisory ging es um Milliarden Token über Millionen von Anfragen. Es handelt sich um Vorwürfe der Behörden, nicht um ein Gerichtsurteil.

Was bedeutet Destillation bei KI-Modellen?

Destillation heißt, dass ein Modell massenhaft befragt wird und die Antworten als Trainingsmaterial für ein anderes, meist kleineres oder günstigeres Modell dienen. Das Advisory behauptet, bei den sechs Firmen bilde dieses Vorgehen den Kern der Modellentwicklung. Belege oder Rohdaten dafür legt das Dokument nicht vor.

Haben die betroffenen Firmen auf das Advisory reagiert?

Nein. BleepingComputer und The Next Web haben alle sechs Firmen um Stellungnahme gebeten, keine hat geantwortet. Ein Sprecher der chinesischen Botschaft in Washington nannte die Vorwürfe laut The Next Web einen gezielten Angriff auf Chinas KI-Entwicklung. Alibaba hatte im Juni 2026 einen früheren Destillationsvorwurf von Anthropic bestritten.

Muss ein Betrieb, der Qwen oder Kimi selbst betreibt, jetzt etwas ändern?

Das Advisory enthält keine Aufforderung an Nutzer, diese Modelle abzuschalten, und an der Technik auf eigener Hardware ändert es nichts. Wer über einen Aggregator oder mit ungewöhnlich hohem Volumen auf US-Modelle zugreift, sollte wissen, dass die Behörden den Anbietern empfehlen, Antworten bei Verdacht unbemerkt zu verändern. Wer einen eigenen KI-Assistenten ins Netz stellt, kann die Abwehrliste des Advisories für sich nutzen: Anfragemenge begrenzen, Zugriffe kontrollieren und protokollieren.

Wer im Betrieb weiß, wie viele Anfragen der eigene KI-Assistent gestern beantwortet hat, und von wem?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag einsetzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 9. September 2026. Stand der Recherche: 9. September 2026.