OpenAIs Astra wird Berichten zufolge zum wichtigsten Ziel chinesischer KI-Labore für Destillation
Berichten zufolge verlagern chinesische KI-Labore ihre Destillationsbemühungen von Anthropics Claude zu OpenAIs Astra, was neue Fragen zum Schutz vor Modelldiebstahl aufwirft.
OpenAIs Astra ist Berichten zufolge zum wichtigsten Ziel chinesischer KI-Labore für Modelldestillation geworden, nachdem Anthropic den Schutz von Claude verstärkt hat. Das berichtet The Information, wie The Decoder zitiert.
Der Bericht nennt DeepSeek und Moonshot AI als Organisationen, die sich bei der Entwicklung neuerer Modelle, darunter die als Kimi K3.1 Pro und V4.1-Flash 1017 bezeichneten Produkte, angeblich stark auf die Ausgaben von Astra stützten. Die Behauptungen konnten anhand der vorliegenden Belege nicht unabhängig überprüft werden, und keines der beiden Unternehmen gab in der von The Decoder zusammengefassten Berichterstattung eine öffentliche Stellungnahme ab.
Die Entwicklung ist relevant, weil sie darauf hindeutet, dass stärkere Schutzmaßnahmen bei einem Anbieter von Frontier-Modellen Extraktionsversuche möglicherweise zu einem anderen Anbieter umlenken, statt die Praxis zu beenden. Für Modellentwickler und Käufer von Unternehmens-KI zeigt der Vorgang zudem, wie schwierig der Schutz proprietärer Fähigkeiten ist, wenn fortgeschrittene Systeme wiederholt und in großem Maßstab abgefragt werden können.
Von Claude zu Astra
Bei der Modelldestillation werden die Antworten eines leistungsfähigeren Modells genutzt, um ein weniger leistungsfähiges oder konkurrierendes System zu verbessern. In diesem Fall scheint es bei den gemeldeten Aktivitäten um Versuche zu gehen, detaillierte Antworten zu erhalten, einschließlich der verborgenen Denkschritte, die einige Frontier-Modelle intern verwenden.
Anthropics Claude wurde zuvor als bevorzugtes Ziel für diese Art von Aktivität beschrieben. The Decoder berichtet, dass Anthropic seine Schutzmaßnahmen inzwischen verschärft habe, woraufhin sich chinesische KI-Labore stärker auf OpenAIs Astra konzentrierten, das im Bericht als GPT-6 Astra bezeichnet wird.
Die verfügbaren Belege zeigen weder, wie umfassend diese Verlagerung im chinesischen KI-Sektor ist, noch wie viele Astra-Daten gesammelt wurden oder ob die angeblichen Aktivitäten ein namentlich genanntes Modell wesentlich verbessert haben. Sie deuten jedoch auf einen sich wandelnden Wettbewerb zwischen Modellanbietern hin, die unbefugte Nachahmung verhindern wollen, und Laboren, die nach Möglichkeiten suchen, fortgeschrittene Fähigkeiten kostengünstiger zu reproduzieren.
OpenAI berichtete ebenfalls über eine koordinierte Destillationskampagne, an der nach Angaben des Unternehmens mit Moonshot verbundene Personen beteiligt waren. Die von The Decoder übermittelte Reaktion des Unternehmens lautete, dass es die Angelegenheit ernst nehme, aber beobachtet habe, dass Angreifer ihre Methoden ändern, sobald neue Schutzmaßnahmen eingeführt werden.
Was die Belege zeigen – und was nicht
Die stärkste Berichterstattung in diesem Zusammenhang stammt von The Information, doch der vollständige Artikeltext war im bereitgestellten Quellenmaterial nicht enthalten. The Decoder stellt den Bericht dar und führt die zentralen Erkenntnisse auf Personen zurück, die mit der Angelegenheit vertraut sind. Die angebliche Nutzung von Astra ist daher eine wichtige berichtete Entwicklung, keine bestätigte öffentliche Offenlegung durch DeepSeek oder Moonshot AI.
Laut The Decoder lehnte Moonshot eine Stellungnahme ab, während DeepSeek nicht auf eine Bitte um Kommentar reagierte. Diese ausbleibenden Antworten bestätigen oder widerlegen die Vorwürfe weder. Die verfügbaren Belege enthielten keine technischen Protokolle, Datensätze, Abfragevolumina, Trainingsaufzeichnungen oder unabhängigen Benchmark-Ergebnisse.
Anthropics Behauptung, seine neueren Methoden hätten die Menge der Daten, die Angreifer extrahieren konnten, um 90 bis 99 Prozent reduziert, ist ein vom Unternehmen gemeldetes Ergebnis. Das Quellenmaterial erklärt weder die Testbedingungen noch die Definition der extrahierten Daten oder ob die Verringerung gleichermaßen für verschiedene Angriffsmethoden gilt. Die Zahl sollte daher als Anbieterangabe und nicht als allgemeines Sicherheitsmaß betrachtet werden.
Die Berichterstattung zeigt außerdem nicht, dass OpenAIs Astra generell anfälliger ist als Claude. Die scheinbare Verlagerung könnte auf den relativen Zugang, die Modellqualität, Kontrollen für Nutzerkonten, die Preisgestaltung, das Ausgabeverhalten oder die sich ändernden Taktiken der Angreifer zurückzuführen sein. Diese Faktoren sind weiterhin ungeklärt.
Warum das für KI-Entwickler wichtig ist
Für Unternehmen, die Frontier-Modelle entwickeln, macht die gemeldete Aktivität den Zugriff auf Ausgaben ebenso zu einem Sicherheitsproblem wie zu einer Produktfunktion. API-Kontrollen, Ratenbegrenzungen, Kontoprüfungen, Anomalieerkennung, Verweigerungsverhalten und Überwachung werden damit zu Bestandteilen des Schutzes von Modellfähigkeiten. Schutzmaßnahmen müssen auch Angreifer berücksichtigen, die Anfragen über mehrere Konten verteilen, Prompts variieren oder gewöhnlich wirkende Abfragen zu einer größeren Sammlung kombinieren.
Für kleinere KI-Entwickler kann Destillation die Kosten senken, um eine konkurrenzfähige Leistung zu erreichen. Die Abhängigkeit von den Ausgaben eines anderen Unternehmens birgt jedoch rechtliche, betriebliche und technische Risiken. Ein System, das stark mit einem externen Modell trainiert wurde, kann dessen Schwachstellen, Verweigerungsmuster, Verzerrungen oder Formatierungskonventionen übernehmen. Es kann außerdem verwundbar werden, wenn der Anbieter Zugangsregeln ändert oder Ausgabebeschränkungen einführt.
Käufer aus Unternehmen sollten Behauptungen über Modellnachahmung vorsichtig bewerten. Ein Anbieter kann ähnliche Benchmark-Werte vorweisen, ohne dieselbe Zuverlässigkeit in Produktionsabläufen, beim Einsatz von Werkzeugen, bei Aufgaben mit langem Kontext, bei der Sicherheitsverarbeitung oder bei domänenspezifischer Genauigkeit zu erreichen. Die angebliche Astra-Aktivität zeigt nicht, dass ein destilliertes System eine gleichwertige Leistung bietet, und beweist auch nicht, dass Organisationen, die solche Systeme nutzen, wissentlich an unbefugter Extraktion beteiligt waren.
Der Vorgang hat auch wettbewerbliche Auswirkungen. Wenn Schutzmaßnahmen die Aufmerksamkeit lediglich von Claude auf Astra verlagern, könnten Modellanbieter in einen fortlaufenden Kreislauf von Gegenmaßnahmen statt in eine einmalige Lösung geraten. Das könnte die Kosten für den Betrieb leistungsfähiger Modelle erhöhen und Anbieter dazu bewegen, stärker kontrollierte Schnittstellen, Herkunftssignale oder differenzierte Zugangsstufen anzubieten.
Was als Nächstes zu beobachten ist
Das erste Signal wird sein, ob OpenAI öffentlich weitere Einzelheiten zu der mit Moonshot verbundenen Kampagne nennt, einschließlich der erkannten Methoden und der anschließend eingesetzten Kontrollen. Technische Belege würden helfen, gezielten Missbrauch von weitreichenden Behauptungen über chinesische KI-Labore zu unterscheiden.
Ein zweites Signal ist, ob Anthropic unabhängige Tests zu seiner gemeldeten Verringerung der extrahierten Daten um 90 bis 99 Prozent veröffentlicht. Einzelheiten zu Angriffsannahmen, Messmethoden und der Leistung gegenüber adaptiven Angreifern werden bestimmen, wie aussagekräftig diese Zahl ist.
Forscher und Plattformbetreiber sollten außerdem die genannten Modellveröffentlichungen von DeepSeek und Moonshot AI auf ungewöhnliche Ähnlichkeiten bei Antwortstruktur, Fähigkeitsprofilen oder Verhalten beobachten. Solche Ähnlichkeiten würden für sich genommen keine Destillation beweisen, könnten aber eine genauere Untersuchung der Trainingsquellen und Bewertungsmethoden veranlassen.
Schließlich könnten API-Anbieter damit beginnen, mehr über Kundenverifizierung, Nutzungsüberwachung, Wasserzeichen für Ausgaben und Beschränkungen der automatisierten Sammlung offenzulegen. Diese Maßnahmen werden für legitime Entwickler ebenso wie für Sicherheitsteams relevant sein, da übermäßig strenge Kontrollen Experimente und offene Forschung erschweren können.
Die Perspektive von Creati.ai
Die gemeldete Verlagerung von Claude zu Astra ist am besten als Wettrüsten um den Zugriff auf das Modellverhalten zu verstehen, nicht als Beweis dafür, dass ein Anbieter definitiv die Kontrolle über sein System verloren hat. Die verfügbaren Belege sind zu begrenzt, um das Ausmaß der angeblichen Extraktion oder die Fähigkeiten daraus entstandener Modelle festzustellen.
Dennoch liefert die Geschichte Entwicklern eine praktische Warnung: Die Sicherheit von Ausgaben kann nicht von der Strategie für den Modelleinsatz getrennt werden. Anbieter benötigen Schutzmaßnahmen, die sich an verändernde Angriffsmuster anpassen, während Käufer Herkunft, Zugangsrichtlinien und unabhängige Leistung bewerten sollten, statt anzunehmen, dass ähnliche Benchmark-Ergebnisse eine echte Gleichwertigkeit der Fähigkeiten beweisen.
