NSA, CISA und FBI haben am 8. September 2026 eine gemeinsame Cybersecurity-Warnung (Alert-Code AA26-251A) veröffentlicht, die es in sich hat: Sechs chinesische KI-Unternehmen sollen seit mindestens Ende 2024 in industriellem Maßstab sogenannte Distillation-Kampagnen gegen US-Frontier-Modelle fahren. Namentlich genannt werden DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun und Z.AI — also genau die Firmen, deren offene Modelle auch in Deutschland immer häufiger produktiv eingesetzt werden.
Was den Firmen konkret vorgeworfen wird
Laut der Advisory mit dem Titel „China-Based Artificial Intelligence Companies Conducting Industrial-Scale Distillation Campaigns Against U.S. AI Companies" haben die sechs Unternehmen über Millionen von Anfragen Milliarden von Tokens aus Modellen wie Claude, GPT, Gemini und Grok extrahiert — und diese Ausgaben als Trainingsmaterial für eigene Modelle verwendet. Die Behörden formulieren es drastisch: Die Kampagnen bildeten „den Kern — nicht bloß eine Ergänzung" der Entwicklungsstrategie dieser Firmen.
Einige Details aus dem Papier:
- DeepSeek soll seit Ende 2024 Ausgaben zahlreicher US-Modelle abgeschöpft und damit R1 und V3 trainiert haben. Die berühmte Angabe von nur 5,6 Millionen Dollar Trainingskosten bezeichnen die Behörden als irreführend, weil die Kosten der Distillation-Daten darin fehlten.
- Moonshot AI betreibe seit Mitte 2025 eine breite Kampagne und habe unter anderem Daten aus Claude Fable 5 für seine Kimi-Modelle extrahiert.
- Alibaba wird vorgeworfen, seit Ende 2025 Distillate für die Qwen-Familie zu nutzen.
- Als Techniken beschreibt die Advisory massenhaft angelegte Konten mit gefälschten Angaben, Jailbreak-Prompts zur Extraktion von Chain-of-Thought-Inhalten sowie graue API-Proxy-Netzwerke („Transfer Stations"), die Zugriffskontrollen umgehen.
Die empfohlene Gegenwehr: stille Verschlechterung
Bemerkenswert sind die Empfehlungen an die US-Anbieter: Neben besserer Anomalieerkennung und einem organisationsübergreifenden Informationsaustausch raten die Behörden dazu, Antworten für verdächtige Konten gezielt und ohne Benachrichtigung zu verändern — verdächtige Nutzer sollen also stillschweigend schlechtere Ausgaben erhalten. Für die betroffenen chinesischen Firmen lag zum Zeitpunkt der Veröffentlichung keine dokumentierte Stellungnahme vor.
Was bedeutet das für Anwender in Deutschland?
Für deutsche Unternehmen ist die Warnung aus zwei Gründen relevant. Erstens: Chinesische Open-Weight-Modelle wie DeepSeek R1, Qwen 3, Kimi K2.7 Code oder GLM 5.2 sind gerade im Mittelstand beliebt, weil sie sich lokal und damit DSGVO-freundlich betreiben lassen — die Daten verlassen das eigene Haus nicht. Daran ändert die Advisory zunächst nichts: Wer ein offenes Modell lokal ausführt, macht sich die vorgeworfene Distillation nicht zu eigen, und eine unmittelbare Rechtsfolge für Anwender gibt es nicht.
Zweitens entsteht aber ein neues Risiko auf der Ebene der Herkunft: Der EU AI Act verlangt von Anbietern großer KI-Modelle Transparenz über das Training — Modelle, deren Fähigkeiten mutmaßlich auf massenhaft abgeschöpften Ausgaben von Claude, GPT und Gemini beruhen, könnten regulatorisch und lizenzrechtlich unter Druck geraten. Denkbar sind auch US-Maßnahmen, die den Zugang zu künftigen Modellversionen dieser Anbieter erschweren. Wer chinesische Modelle über API-Wiederverkäufer oder Proxy-Dienste bezieht, sollte zudem die empfohlene „stille Degradierung" im Hinterkopf behalten: Antwortqualität kann sich dort unangekündigt verschlechtern.
Konkret heißt das: Lokal betriebene Open-Weight-Modelle können weiter genutzt werden, geschäftskritische Prozesse sollten aber nicht allein von einem einzigen chinesischen Anbieter abhängen. Eine Übersicht geprüfter Alternativen und Tools rund um KI-Sicherheit findet sich in unserer Kategorie Sicherheit.