Anthropic hat in seinem Threat-Intelligence-Bericht vom 10. September 2026 neue Zahlen zu unerlaubter Model Distillation veröffentlicht. Nach Angaben des Unternehmens wurden Claude-Modelle zwischen Frühjahr und Sommer in mehreren Kampagnen millionenfach abgefragt, um Fähigkeiten und Reasoning-Ausgaben für andere Modelle zu sammeln.
Die größten von Anthropic genannten Kampagnen summieren sich auf knapp 190 Millionen Exchanges. Allein Alibaba ordnet Anthropic mehr als 151 Millionen Anfragen zwischen Mai und Juli zu. Für Moonshot nennt der Bericht mehr als 23 Millionen, für DeepSeek 12,1 Millionen innerhalb von 14 Tagen, für Zhipu mehr als 3,4 Millionen und für Xiaomi mehr als 400.000.
Diese Zuordnungen stammen von Anthropic. Business Insider fragte Alibaba, Moonshot, DeepSeek, Zhipu und Xiaomi zu den Vorwürfen an; laut dem Bericht reagierte keines der Unternehmen auf die Anfrage. Die Zahlen sollten deshalb als Anthropics Threat-Intelligence-Befund gelesen werden, nicht als unabhängig bestätigte Messung der betroffenen Labs.
Distillation ist nicht automatisch ein Angriff
Distillation ist zunächst eine normale Trainingsmethode. Ein stärkeres Modell erzeugt Antworten, mit denen ein kleineres oder günstigeres Modell trainiert wird. AI-Anbieter verwenden solche Verfahren selbst, um verschiedene Modellgrößen oder spezialisierte Varianten zu entwickeln.
Anthropic verwendet den Begriff „illicit distillation“ enger. Gemeint sind verdeckte, nicht autorisierte Kampagnen, bei denen ein anderes Unternehmen systematisch Claude-Ausgaben sammelt und für das eigene Modelltraining verwendet. Nach Anthropics Darstellung kamen dabei unter anderem Proxy-Dienste, große Mengen künstlich angelegter Accounts und fremde beziehungsweise kompromittierte Zugangsdaten zum Einsatz.
Der technische Unterschied zu normalem API-Traffic liegt damit weniger in einer einzelnen Anfrage als in der Struktur des Zugriffs. Millionen Requests werden so organisiert, dass sie Trainingsmaterial erzeugen und vorhandene Zugriffsbeschränkungen umgehen sollen.
Alibaba soll mehr als 151 Millionen Exchanges erzeugt haben
Die größte Kampagne schreibt Anthropic Alibaba und dessen Qwen-Entwicklung zu. Zwischen Mai und Juli habe Anthropic mehr als 151 Millionen Exchanges beobachtet. In Spitzenzeiten seien fast drei Millionen Anfragen pro Tag aus mehr als 3.500 Accounts gekommen.
Nach Anthropics Darstellung zielte die Kampagne vor allem auf Reasoning-Ausgaben von Opus 4.6 und 4.7. Die gewonnenen Daten seien anschließend für Supervised Fine-Tuning und weitere Arbeiten an Qwen-Modellen verwendet worden. Anthropic behauptet außerdem, Claude sei beim Aufbau von Reinforcement-Learning-Umgebungen und bei Arbeiten an Modellarchitekturen eingesetzt worden.
Ob und in welchem Umfang einzelne Qwen-Versionen tatsächlich auf diesen Daten trainiert wurden, lässt sich aus Anthropics Telemetrie allein nicht unabhängig überprüfen.
Für Anbieter von Model APIs ist die Größenordnung trotzdem relevant. Ein System, das mehrere Millionen Requests am Tag erzeugt, ist kein klassischer einzelner Abuse-Fall mehr. Detection muss Muster über Accounts, Netzwerke und Zeiträume hinweg verbinden können.
Bei Moonshot und DeepSeek kommt ein Datenschutzproblem hinzu
Der technisch unangenehmste Teil des Berichts betrifft nicht die Modellkopie selbst, sondern das Routing von Nutzeranfragen.
Anthropic schreibt, Moonshot habe Anfragen von Kimi-Nutzern an Claude weitergeleitet und Claude-Antworten anschließend an die Nutzer zurückgegeben. In einem Zeitraum von zehn Tagen seien fast 300.000 Kundenanfragen auf diese Weise verarbeitet worden. Insgesamt ordnet Anthropic Moonshot zwischen Mai und Juli mehr als 23 Millionen Exchanges zu.
DeepSeek soll ähnlich vorgegangen sein. Anthropic nennt mehr als 12,1 Millionen Exchanges über 14 Tage im Juli.
Nach Anthropics Untersuchung enthielten einige der weitergeleiteten Sessions sensible Inhalte: internen Quellcode, Zugangsdaten, Unternehmensinformationen und Daten staatlicher beziehungsweise militärischer Nutzer. Ob die betroffenen Endnutzer darüber informiert wurden, dass ihre Eingaben bei Claude verarbeitet wurden, ist laut Anthropic nicht bekannt.
Damit wird aus einer Model-Security-Frage eine Datenfluss-Frage. Ein Entwickler kann bewusst einen Drittanbieter oder Model Router verwenden und trotzdem nicht erkennen, welcher Provider die Anfrage am Ende tatsächlich verarbeitet.
Für SaaS-Produkte ist dieser Punkt unmittelbarer als die Diskussion um gestohlene Modellfähigkeiten. Wenn ein Gateway oder Zwischenanbieter Requests dynamisch an andere Modelle weiterleitet, muss nachvollziehbar sein, wohin Nutzdaten gehen. Das gilt besonders bei Repository-Inhalten, API-Keys, internen Dokumenten und personenbezogenen Daten.
Reasoning-Ausgaben sind inzwischen ein eigenes Schutzobjekt
Anthropic beschreibt mehrere Kampagnen, die gezielt ausführliche Reasoning-Traces sammeln sollten. Claude gibt solche internen Denkspuren in normalen API-Antworten nicht einfach vollständig aus. Der Bericht nennt trotzdem Verfahren, mit denen Angreifer versuchten, diese Informationen über viele Sessions hinweg zu rekonstruieren oder neu erzeugen zu lassen.
Die konkrete Umgehungstechnik ist für die Einordnung weniger wichtig als die Konsequenz: Der Output eines Frontier-Modells ist nicht nur eine Antwort an einen Nutzer. In großem Umfang kann er Trainingsmaterial für ein anderes Modell sein.
Damit entsteht für Model APIs eine ungewöhnliche Form von Exfiltration. Es wird keine Datenbank mit Modellgewichten kopiert. Stattdessen wird Verhalten über sehr viele Abfragen gesammelt.
Ein klassisches Rate Limit löst das nur teilweise. Eine einzelne Anfrage kann legitim aussehen, während erst das Muster über tausende Accounts erkennen lässt, dass ein Dataset aufgebaut wird.
Proxy-Netzwerke vermischen Missbrauch und normalen Nutzertraffic
Anthropic beschreibt außerdem einen Markt aus Proxy- und Routing-Diensten. Einige dieser Dienste verschaffen Nutzern Zugriff auf Modelle, die in ihrer Region nicht direkt angeboten werden. Nach Darstellung des Unternehmens speichern manche Anbieter gleichzeitig die durchgeleiteten Konversationen und verkaufen oder verwenden sie später als Trainingsdaten.
Damit werden drei Rollen vermischt: Model Router, Zugangsdienst und Datensammler.
Für Entwickler ist das ein Grund, bei Multi-Model-Gateways nicht nur auf Preis und Latenz zu schauen. Relevant sind auch die tatsächliche Provider-Kette, Logging-Regeln, Aufbewahrungsfristen und die Frage, ob Requests für Training weiterverwendet werden dürfen.
Ein Gateway, das „Claude-kompatibel“ oder „OpenAI-kompatibel“ spricht, sagt noch nichts darüber aus, welcher Anbieter den Prompt tatsächlich erhält.
Anthropics Gegenmaßnahmen verschieben sich auf Account- und Traffic-Ebene
Anthropic reagiert nach eigenen Angaben mit speziellen Klassifikatoren für Extraction-Muster, Account-Sperren und stärkerer Attribution verdächtiger Proxy-Netze. Das Unternehmen versucht also nicht nur einzelne missbräuchliche Requests zu erkennen, sondern zusammengehörige Infrastruktur.
Das passt zur Größenordnung der beschriebenen Kampagnen. Bei hundert Millionen Exchanges reicht eine Sicherheitsentscheidung pro Prompt nicht mehr. Der Anbieter muss erkennen, dass viele scheinbar unabhängige Accounts Teil derselben Pipeline sind.
Für normale SaaS-Teams bleibt davon vor allem eine praktische Folgerung: Model Routing ist eine Vertrauensgrenze. Wer einen zwischengeschalteten Provider verwendet, gibt ihm nicht nur die technische Weiterleitung. Er gibt ihm potenziell Prompts, Tool-Ausgaben, Repository-Code und weitere Daten, die in einem Agentenlauf entstehen.
Die günstigste Route ist deshalb nicht automatisch diejenige, über die sensible Entwicklungsdaten laufen sollten.
Quellen
Anthropic, „Detecting and countering misuse of AI: September 2026“, 10. September 2026: https://www.anthropic.com/threat-intelligence-report-september-2026
Anthropic, „Detecting and preventing distillation attacks“, 23. Februar 2026: https://www.anthropic.com/news/detecting-and-preventing-distillation-attacks
Business Insider, „China's star AI labs routed user requests to Claude at least 35 million times in the summer: Anthropic“, 11. September 2026: https://www.businessinsider.com/china-ai-labs-millions-distillation-attacks-anthropic-claude-2026-9