29 Millionen Anfragen: Wie Alibaba Claude kopierte

Zwischen dem 22. April und dem 5. Juni 2026 griffen laut Anthropic knapp 25.000 gefälschte Konten, die dem chinesischen Konzern Alibaba zugeordnet werden, auf das Sprachmodell Claude zu und führten 28,8 Millionen Konversationen durch. Ziel war die sogenannte Destillation: massenhafte Abfragen, deren Ausgaben gesammelt und genutzt werden, um ein kleineres Konkurrenzmodell zu trainieren. Anthropic nennt diese Kampagne den bislang größten bekannten Destillationsangriff auf seine Systeme. Alibaba äußerte sich nicht zu den Vorwürfen.

Was Destillation ist und was sie ermöglicht

Sprachmodelle wie Claude entstehen durch das Training auf riesigen Datenmengen mit enormem Rechenaufwand. Ein Modell vom Kaliber Claudes kostet Hunderte Millionen Dollar in der Entwicklung. Destillation umgeht diesen Aufwand teilweise: Wer einem solchen Modell systematisch Fragen stellt und die Antworten aufzeichnet, erhält ein strukturiertes Trainingsdatensatz, das einem kleineren, billigeren Modell beibringt, wie das Original auf bestimmte Aufgaben reagiert. Das destillierte Modell übernimmt Problemlösungsstrategien, Argumentationsmuster und Stärken des Originals, ohne den Forschungsaufwand seiner Entwickler zu reproduzieren.

Alle großen kommerziellen KI-Anbieter verbieten Destillationsangriffe ausdrücklich in ihren Nutzungsbedingungen. Technisch verhindern lassen sie sich jedoch kaum, solange sich die Angreifer hinter Proxy-Netzen und Fake-Konten verbergen. Anthropic hat bereits im Februar 2026 einen früheren Angriff enthüllt: Die chinesischen KI-Labore DeepSeek, Moonshot AI und MiniMax sollen über 24.000 gefälschte Konten 16 Millionen Exchanges mit Claude erzeugt haben. DeepSeek allein soll dabei gezielt nach zensurkonformen Alternativen für politisch sensible Anfragen gesucht haben, um Claudes Sicherheits-Tuning zu umgehen.

Der Alibaba-Angriff: Sechs Wochen, ein KI-Labor, eine Infrastruktur

Der Alibaba-Angriff übertrifft den Februar-Vorfall in seinem Ausmaß. Laut Anthropic operierten die gefälschten Konten über Proxy-Netzwerke, bei denen einzelne Knoten bis zu 20.000 betrügerische Konten gleichzeitig verwalteten, eine Architektur, die in der Branche als "Hydra-Cluster" bezeichnet wird. Solche Systeme mischen Destillationsanfragen mit legitimen Anfragen, um die Erkennung durch Plattformbetreiber zu erschweren.

Anthropic ordnet die Konten dem KI-Labor Qwen zu, Alibabas wichtigstem KI-Entwicklungszweig. Qwen hat in den vergangenen Jahren eine Reihe von Sprachmodellen unter dem Namen Qwen2 und Qwen2.5 veröffentlicht, die in internationalen Benchmarks mit deutlich geringerem Trainingsaufwand konkurrenzfähige Ergebnisse erzielen. Ob der Destillationsangriff diese Modelle unmittelbar beeinflusst hat, macht Anthropic in seinen öffentlich zugänglichen Angaben nicht konkret. Alibaba hat die Vorwürfe bisher weder bestätigt noch dementiert.

Für Nutzer von Claude stellen die abgefragten Konversationen selbst kein direktes Risiko dar. Problematisch ist aus Anthropics Sicht das Ergebnis auf der anderen Seite: destillierte Modelle, die Claudes Fähigkeiten imitieren, aber ohne die Sicherheitsschutzmechanismen aufgebaut wurden, die Anthropic in seinen eigenen Modellen implementiert hat. Ein destilliertes Modell erbt die Problemlösungsfähigkeit seines Originals, nicht dessen Schutzfunktionen.

Brief an den Senat, Gesetzentwurf im Herbst

Anthropic hat die Vorwürfe nicht über eine Pressemitteilung, sondern über einen Brief an die US-Senatoren Tim Scott und Elizabeth Warren bekanntgemacht, kurz vor einer geplanten Anhörung des Bankenausschusses des US-Senats zu KI-Fragen. Das Unternehmen fordert drei Maßnahmen: erstens ein härteres Vorgehen gegen chinesische Unternehmen, die US-KI-Modelle unerlaubt destillieren; zweitens die ausdrückliche Freiheit für US-KI-Firmen, solche Angriffe öffentlich zu melden, ohne rechtliche Konsequenzen zu riskieren; drittens weitere Einschränkungen des chinesischen Zugangs zu KI-Chips.

Die Senatoren Bill Hagerty und Andy Kim haben angekündigt, einen Änderungsantrag zu einem Verteidigungsgesetz einzubringen, der Sanktionen gegen chinesische Unternehmen ermöglichen würde, die US-amerikanische KI-Ausgaben widerrechtlich nutzen. Einen konkreten Abstimmungstermin gibt es noch nicht. Alibabas Aktie gab nach Bekanntwerden der Vorwürfe an der Hongkonger Börse um rund fünf Prozent nach.

Das Paradox: USA sperren das Opfer aus

Die Situation enthält eine Pointe, die in der politischen Debatte selten explizit benannt wird. Anthropic ist seit dem Frühsommer 2026 selbst von US-Exportrestriktionen betroffen: Handelsminister Howard Lutnick ordnete am 12. Juni an, Fable 5 und Mythos 5 für alle Nutzer außerhalb der USA zu sperren. Auslöser war ein öffentlich vorgeführter Jailbreak, drei Tage nach dem Launch. Es ist die erste bekannte Anwendung von US-Exportkontrollrecht auf ein kommerzielles Sprachmodell.

Gleichzeitig klagen genau diese Exportrestriktionen die destillierenden chinesischen Labore an: Wer die Ausgaben von Claude massenhaft abgreift, umgeht faktisch Exportkontrollen, die eigentlich verhindern sollen, dass US-KI-Technologie nach China gelangt. Chinesische Firmen kommen an den Wert eines Anthropic-Modells durch Destillation heran, ohne die formalen Hürden der Exportkontrolle überwinden zu müssen. Die USA schränken ihren eigenen KI-Champion ein und sichern die Grenze gleichzeitig nicht gegen technische Umgehungsmethoden.

Was der Senat nach dem Sommer entscheidet

Die Anhörung im Bankenausschuss wird voraussichtlich zu den ersten Testfällen gehören, in denen US-Gesetzgeber konkret über Sanktionsmechanismen gegen chinesische KI-Labore beraten. Der Zusatzantrag von Hagerty und Kim zum Verteidigungsgesetz könnte im Herbst zur Abstimmung kommen. Für Anthropic ist die parlamentarische Reaktion mehr als eine politische Frage: Ohne rechtliche Handhabe bleibt Destillation technisch kaum zu verhindern. Auch DeepSeek, Moonshot und MiniMax haben nach der Februar-Enthüllung nicht auf die Vorwürfe reagiert, ohne erkennbare rechtliche Konsequenzen.

Die grundlegendere Frage, die durch den Alibaba-Fall wieder aufgeworfen wird, ist struktureller Natur: Wie schützt ein kommerzieller KI-Anbieter seine Modelle gegen eine Angriffsmethode, die technisch von legitimer Nutzung kaum zu unterscheiden ist? Anthropic hat nach eigenen Angaben Erkennungsmethoden entwickelt, die auf IP-Mustern, Anfrage-Metadaten und Hinweisen aus der Branche basieren. Ob diese Methoden die nächste Generation von Destillationsangriffen erkennen werden, bevor hunderte Millionen Dollar in Forschung und Entwicklung kopiert sind, ist offen.