US-Behörden beschuldigen sechs chinesische KI-Firmen des Modell-Diebstahls

Die Vereinigten Staaten haben sechs chinesische KI-Firmen namentlich genannt, denen vorgeworfen wird, in industriellem Maßstab Fähigkeiten aus fortschrittlichen US-KI-Modellen extrahiert zu haben. Dies könnte China Milliardensummen an Entwicklungskosten ersparen. In einer gemeinsamen Mitteilung vom Dienstag äußerten die National Security Agency (NSA), die Cybersecurity and Infrastructure Security Agency (CISA) und das Federal Bureau of Investigation (FBI) den Verdacht, dass DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun und Z.AI seit mindestens Ende 2024 US-Modelle angreifen. Die Behörden vermuten, dass die Firmen bei der Extraktion von Fähigkeiten aus Modellen wie Varianten von Claude, GPT, Gemini und Grok „wahrscheinlich mit Kenntnis der chinesischen Regierung“ handelten.

Vorwürfe und Angriffsmethoden

Laut den US-Behörden ermöglichen diese Aktivitäten den chinesischen Unternehmen „deutlich kürzere Entwicklungszeiten für KI und reduzierte finanzielle Aufwendungen beim Training eines fortschrittlichen Modells“. Die Angriffe zielen darauf ab, proprietäre Funktionalitäten und Fähigkeiten von US-Modellen zu extrahieren, was die führende Position der USA im KI-Wettlauf bedroht.

Zu den Angriffsmethoden gehören:

• Ausnutzung von KI-Modell-Inferenz-APIs: Dies geschieht durch den Massenkauf gefälschter Konten. Diese Kontenschwärme führen „hochkoordinierte Abfragen mit identischen oder ähnlichen Prompt-Texten“ aus, die „von Tausenden bis zu Millionen zu ähnlichen Themen“ reichen können.
• Prompt-Injection-Techniken: Hierbei werden Modelle manipuliert, um verborgene Informationen preiszugeben. Ein Beispiel ist die Anweisung an Modelle, ihr internes Denkmodell bei der Generierung von Antworten schrittweise zu offenbaren, wie es DeepSeek angeblich praktizierte.

Empfohlene Gegenmaßnahmen für US-Firmen

Die US-Behörden fordern von allen amerikanischen KI-Firmen die Zusammenarbeit mit der Regierung und Verbündeten, um diese Bedrohung zu beenden. Dazu wurden verschiedene Abhilfemaßnahmen vorgeschlagen:

• Verbesserte Erkennung: Firmen sollen ausgeklügelte Kampagnen, die Zehntausende von Konten und Proxy-Netzwerke nutzen, besser identifizieren. Auffällig sind Abfragevolumina von Tausenden bis Millionen pro Domain über Tage bis Monate, die legitime Forschungszwecke weit übersteigen.
• Überwachung von Anomalien: Eine verstärkte Überwachung von „anomalen und bösartigen Prompts, Konten, Netzwerken und Verhaltensweisen“ ist notwendig. Dazu gehört auch das Erkennen von verdächtigen Abonnements-zu-Nutzungs-Verhältnissen oder neuen Konten, die sofort die maximale Nutzung erreichen, da dies auf „Massenbereitstellung mit vorgefertigten Vorlagen“ hindeutet.
• Identitätsprüfung: Die Stärkung der „Identitätsprüfung“ von Nutzern und eine genauere Verfolgung von Personen, die Unternehmensabonnements nutzen, wird empfohlen, birgt aber potenzielle Datenschutzbedenken für legitime Nutzer.
• Verdeckte Modell-Degradierung: Bei Verdacht auf Destillationsangriffe sollen Modellantworten „subtil“ verändert werden, etwa durch das Präsentieren korrekter Informationen mit anderer Begründung, das Hinzufügen stilistischer Inkonsistenzen oder das Reduzieren der Argumentationstiefe. US-Firmen könnten bösartige Konten auch heimlich auf ein weniger leistungsfähiges Modell umstellen, ohne dies mitzuteilen.

Herausforderungen bei der Umsetzung

Die Umsetzung dieser Maßnahmen ist technisch anspruchsvoll. Chinesische Firmen setzen „aggressive, adaptive Erkennung“ ein, um wertvolle extrahierbare Daten systematisch zu identifizieren. Sie können automatisch erkennen, wenn ein intelligenteres Modell verfügbar ist, und innerhalb von 24 Stunden wechseln. Zudem verfügen sie über automatisierte Qualitätssicherungssysteme, die eine Degradierung der Ausgaben erkennen können.

Ein weiteres Problem ist das Risiko, dass legitime Nutzer versehentlich auf ein schlechteres Modell umgestellt werden könnten, ohne Benachrichtigung. Dies könnte zu Frustration führen, wie ein Vorfall bei OpenAI im letzten Jahr zeigte, als Nutzer auf weniger leistungsfähige Varianten umgeleitet wurden, es sei denn, sie fügten explizit Phrasen wie „think harder“ in ihre Prompts ein. Die Behörden räumen ein, dass ein „Balanceakt zwischen Sicherheit und Benutzererfahrung“ notwendig ist und einige Kompromisse, wie „geringere Vorhersagegenauigkeit und geschäftliche Nützlichkeit“, unvermeidlich sein könnten.

Kooperation als langfristige Strategie

Langfristig sei der Informationsaustausch zwischen KI-Firmen und verbündeten Regierungen entscheidend, um die Entwicklung von Destillationsangriffen zu verfolgen und Ressourcen nicht durch die Erforschung isolierter Anomalien zu verschwenden. Ohne diese Kooperation befürchten die USA anhaltenden finanziellen Schaden durch die systematische Extraktion proprietärer Funktionalitäten, was zu erheblichen wirtschaftlichen Verlusten führen würde.

KI-Firmen warnen bereits seit dem letzten Jahr vor solchen Angriffen. OpenAI warf DeepSeek unsachgemäße Datennutzung vor, Google behauptete Klonversuche an Gemini, und Anthropic schlug vor, Alibaba wegen des angeblich größten Klonangriffs auf Claude strafrechtlich zu verfolgen. Die nun veröffentlichte gemeinsame Erklärung der US-Behörden stellt die bisher „detaillierteste Anschuldigung“ dar.

Thema: Technologie / KI allgemein. Quelle/Inspiration: Ars Technica.