Distillation-Angriffe: Was kopierte KI-Modelle für Sie bedeuten

„Distillation“ war im maschinellen Lernen früher ein harmloses Wort. Es beschrieb das Training eines kleinen Modells, das ein großes nachahmt — eine gängige und nützliche Technik. Im September und Oktober 2026 wurde daraus ein Thema für Sicherheit und Handel. Wer KI für das Marketing kauft oder entwickelt, sollte beide Bedeutungen verstehen.

Was passiert ist

Anfang September veröffentlichten CISA, NSA und FBI eine gemeinsame Warnung zu dem, was sie als Wissensdistillation im industriellen Maßstab durch in China ansässige KI-Unternehmen beschreiben. Laut dem Bericht von Help Net Security über die Warnung nannten die Behörden DeepSeek, Moonshot AI, Alibaba Group, MiniMax, StepFun und Z.AI und erklärten, diese hätten seit mindestens Ende 2024 über Millionen von Anfragen an US-Frontier-Modelle Milliarden von Tokens extrahiert. Die Warnung listet Erkennungssignale auf, etwa Nutzung rund um die Uhr ohne menschliche Leerlaufzeiten und Pools koordiniert agierender Konten, und empfiehlt strengere Identitätsprüfungen, Monitoring und Informationsaustausch zwischen KI-Anbietern. Der Bericht merkt an, dass er keine Stellungnahme der genannten Unternehmen enthielt.

Am 12. Oktober beschrieb Anthropic seine eigene Reaktion. In Strengthening our defenses against distillation attacks hieß es, erste Hinweise deuteten darauf hin, dass seine Methoden die von Distillern abgeschöpften Daten um etwa 90 bis 99 % reduziert hätten. Zu den Maßnahmen gehören, dass neuere API-Konten Claudes vorheriges Reasoning nicht mehr bearbeiten können, ein zweistufiger Klassifikator, der auf Extraktionsversuchen trainiert wurde und eine Falsch-Positiv-Rate unter 0,1 % hat, strengere Limits und Sperren bei wiederholten Versuchen sowie die Berechnung von Anfragen, die durch seine Schutzmechanismen blockiert werden. Anthropic gibt an, Zehntausende mit Distillation verbundene Konten gesperrt zu haben, und erwartet ein andauerndes „Katz-und-Maus-Spiel“.

Warum das wichtig ist

Es gibt zwei Gründe, warum sich ein Marketer für einen Streit zwischen KI-Labs interessieren sollte.

Der erste ist das Lieferkettenrisiko. Wurde ein Modell gebaut, indem man das Verhalten eines anderen Modells ohne Erlaubnis kopiert hat, wissen Sie nicht, welche Schutzmechanismen mitgekommen sind. Anthropics Beitrag argumentiert, dass destillierte Modelle Frontier-Fähigkeiten nahekommen können, während sie mit schwächeren Schutzmaßnahmen ausgeliefert werden. Wenn Sie ein Modell für Ihren Kundenservice oder zur Generierung von Anzeigen wählen, ist die Herkunft Teil der Qualität.

Der zweite ist die Reibung für legitime Nutzer. Abwehrmaßnahmen haben ihren Preis. Anthropic räumt ein, dass manche Entwickler Integrationen anpassen mussten, dass ein kleiner Teil harmloser Anfragen blockiert werden kann und dass blockierte Anfragen nun berechnet werden können. Wenn Ihr Marketing-Stack viele automatisierte Aufrufe an eine Frontier-API sendet, kann ein Teil dieses Traffics wie eine Extraktionskampagne aussehen. Lesen Sie die Richtlinien Ihrer Anbieter jetzt, nicht erst, wenn Ihre Pipeline ausfällt.

Was meine Forschung sagt

Distillation ist hier nicht der Bösewicht. Legitim eingesetzt, macht sie KI erschwinglich. Ein großes Modell lehrt ein kleines; das kleine läuft günstig im großen Maßstab. Ich habe in Forbes argumentiert, dass im Marketing die Technik wichtiger ist als die Modellgröße, und Distillation ist eine dieser Techniken.

Was das Bild verändert, sind Einwilligung und Transparenz. Meine Arbeit zu erklärbarer KI beginnt mit einem einfachen Prinzip: Ein Marketer sollte sehen können, warum ein System etwas empfiehlt. In Against Opacity (ACM Multimedia 2023) haben wir die Vorhersage der Klickrate mit einem LLM-Assistenten kombiniert, der die Treiber erklärt. In SOMONITOR (einem Preprint von 2024) haben wir beschrieben, wie sich erklärbare Performance-Modelle mit LLMs für Wettbewerbsanalysen verbinden lassen. Erklärungen bedeuten nur dann etwas, wenn man weiß, was das Modell ist und woher es stammt.

Es gibt auch eine bemerkenswerte Ironie. Die von Anthropic beschriebene Abwehr — das vollständige Reasoning des Modells zusammenzufassen oder den Zugriff darauf einzuschränken — macht Systeme für alle ein wenig weniger transparent, weil genau das Reasoning das ist, was Kopierer wollen. Dieser Zielkonflikt wird bestimmen, wie viel Erklärung KI-Anbieter offenzulegen bereit sind. Käufer sollten Erklärungen verlangen, die für sie gemacht sind — über ihre Daten und ihre Entscheidungen —, statt roher Reasoning-Spuren.

Was Käufer von Marketing-KI jetzt tun sollten

• Fragen Sie jeden Anbieter, welche Modelle unter seinem Produkt liegen und woher diese Modelle stammen.
• Prüfen Sie die Bedingungen der APIs, die Sie aufrufen. Automatisierte Nutzung in großen Mengen ist im Marketing normal; stellen Sie sicher, dass Ihre eindeutig legitim, identifiziert und innerhalb der Limits ist.
• Planen Sie einen Modellwechsel ein. Richtlinien, Preise und Zugang können sich schnell ändern. Halten Sie Prompts, Verfahren und Evaluationssets portabel.
• Destillieren Sie Ihre eigenen Modelle legitim. Wenn Sie ein günstiges Modell für eine eng umrissene Aufgabe brauchen, trainieren Sie es mit Ihren eigenen Daten oder mit Ausgaben, für die Sie eine Lizenz haben.
• Ziehen Sie Erklärungen von Entscheidungen der Offenlegung von Interna vor. Prüfen müssen Sie, warum für Ihre Kampagne eine bestimmte Empfehlung gegeben wurde.

Beim Streit um Distillation geht es darum, wer wen kopieren darf. Für Marketer ist er eine Erinnerung daran, dass „welches Modell?“ heute eine Governance-Frage ist, nicht nur eine technische.

FAQ