Anthropic hat einen Brief an Senatoren und das Weiße Haus geschickt, und der Vorwurf darin ist groß. Alibaba soll Claude im industriellen Maßstab abgefragt haben, um dessen Fähigkeiten in ein eigenes Modell zu kopieren. Kein klassischer Hack. Kein gestohlener Quellcode. Sondern Millionen ganz normaler Anfragen, die zusammen etwas Hochwertiges ergeben: eine Kopie.
Der Fall klingt nach Konzernstreit zwischen zwei Giganten. Er ist aber mehr. Er erklärt, wie KI-Fähigkeiten heute den Besitzer wechseln, und warum das jeden betrifft, der mit diesen Tools arbeitet.
Distillation ist erst einmal nichts Böses
Distillation ist eine etablierte Methode im Machine Learning. Ein kleineres Student-Modell lernt von einem stärkeren Teacher-Modell. Das Ziel: gleiche Leistung, weniger Rechenaufwand. Günstiger, schneller, leichter einsetzbar. Wer ein großes Modell auf ein kompaktes herunterbricht, betreibt Distillation. Das ist Handwerk, kein Vergehen.
Zur Attacke wird das Verfahren erst durch den Bruch der Spielregeln. Adversarial Distillation nennt Anthropic den Fall. Ein fremdes, proprietäres Modell wird massenhaft über die Schnittstelle abgefragt, und seine Antworten landen als Trainingsmaterial im eigenen System. Niemand stiehlt die Gewichte des Modells. Man rekonstruiert sein Verhalten aus sehr vielen Frage-Antwort-Paaren.
Der Unterschied liegt nicht in der Technik. Er liegt in der Erlaubnis. Die eine Variante nutzt das eigene Modell. Die andere zapft das fremde an, an den Nutzungsbedingungen vorbei.
Millionen Anfragen, ein Ziel: das Verhalten kopieren
Zwischen dem 22. April und dem 5. Juni 2026 sollen Betreiber, die mit Alibabas Qwen-Labor verbunden sind, eine groß angelegte Kampagne gefahren haben. Die Zahlen, über die CNBC und Bloomberg aus dem Brief berichten: rund 25.000 betrügerische Accounts, etwa 28,8 Millionen Interaktionen mit Claude. Anthropic nennt es die größte bekannte Distillation-Attacke gegen das eigene Haus.
Gezielt abgegriffen wurden laut BBC und Reuters die kommerziell wertvollsten Fähigkeiten: agentisches Reasoning, Software Engineering, längerfristige Aufgaben. Also genau das, was ein Modell vom Spielzeug zum Werkzeug macht. Die gefälschten Accounts dienten dazu, Anthropics geografische Zugriffssperren zu umgehen, die den Einsatz in China ausdrücklich untersagen.
Ein Punkt gehört zur Ehrlichkeit dazu, und der Blog hier macht aus Vorwürfen keine Urteile. Das sind Anthropics Darstellungen, festgehalten in einem Brief an die Politik und nachgezeichnet in der Berichterstattung. Eine gerichtliche Feststellung ist es nicht. Alibaba bestreitet die Vorwürfe. Wer Klarheit will, trennt Primärquelle, Medienbericht und unbestätigte Behauptung sauber voneinander.
Warum dich das betrifft, auch ohne Aktien von Alibaba
Es geht um Geld, nicht um Genie
Ein Spitzenmodell zu trainieren kostet Milliarden und Jahre. Sein Verhalten nachzubauen kostet einen Bruchteil davon. PYMNTS bringt es auf den Punkt: Wer auf diese Weise kopiert, spart Forschung, Datenaufbereitung und Rechenzeit. Der Vorsprung des Originals schrumpft, ohne dass der Nachbauer ihn sich verdient hat.
Es geht um Sicherheit, nicht nur um Wettbewerb
Anthropic argumentiert, dass eine Kopie nicht zwangsläufig die Schutzmechanismen des Originals erbt. Ein Modell, das Reasoning imitiert, muss die Leitplanken nicht mitlernen. Was vorne wie das Original aussieht, kann hinten anders entscheiden. Für dich heißt das: Ein billiger Klon kann sich brillant anfühlen und trotzdem unberechenbar sein.
Es geht um Geopolitik, ob du willst oder nicht
Der Fall fällt nicht in ein Vakuum. Im Februar hatte Anthropic bereits drei chinesische Labore benannt, DeepSeek, Moonshot und MiniMax, die zusammen über 16 Millionen Interaktionen erzeugt haben sollen. Die Anthropic-Mitteilung zu Distillation-Attacken ordnet das Muster ein. Parallel ringt die US-Regierung mit Exportkontrollen, und das Weiße Haus hatte die Methode schon im April als Sicherheitsrisiko markiert. Anthropic hält fest, dass die Kampagne nach dieser Warnung stattfand. KI ist hier längst Standortpolitik, und die Modelle sind die Währung. Wer die Fähigkeit eines fremden Spitzenmodells abschöpft, verschiebt nicht nur einen Marktanteil. Er verschiebt eine technologische Position, die ein Land über Jahre aufgebaut hat.
Die einzelne Anfrage verrät nichts. Das Muster schon.
Die naheliegende Frage lautet: Wie fällt eine einzelne Anfrage unter Millionen überhaupt auf? Die Antwort ist, dass die einzelne Anfrage gar nicht auffällt. Auffällig wird das Muster. Tausende Accounts, die in kurzer Zeit entstehen, die fast nur an einer Handvoll Fähigkeiten interessiert sind, die systematisch Grenzfälle ausreizen statt Probleme zu lösen. Wer ein Modell destillieren will, fragt anders als jemand, der damit arbeitet. Er sammelt Belege, keine Antworten.
Anthropic beschreibt die Erkennung als Mustererkennung über viele Signale hinweg: Account-Verhalten, Anfragetypen, Zugriffswege. Das erklärt auch, warum die Vorwürfe erst Wochen nach dem mutmaßlichen Beginn der Kampagne kamen. Die Spur entsteht nicht im Moment der Anfrage, sondern in ihrer Wiederholung. Genau das macht die Verteidigung so zäh. Man jagt kein Ereignis, man jagt eine Statistik.
Das eigentliche Problem ist struktureller Natur
Hier liegt der unbequeme Kern. Eine Distillation-Anfrage sieht aus wie eine legitime Anfrage. Niemand kann der einzelnen Frage ansehen, ob sie aus Neugier oder aus Kalkül gestellt wird. Erst die Masse verrät die Absicht, und die Masse erkennt man erst im Nachhinein.
Die einzige saubere Verteidigung wäre, den Zugang radikal zu beschränken. Das aber widerspricht dem Geschäftsmodell, KI als Dienst zu verkaufen. Ein Labor, das jeden API-Call wie einen möglichen Wissensabfluss behandelt, gibt am Ende so viel für Identitätsprüfung aus wie fürs Training. Offenheit und Schutz ziehen in entgegengesetzte Richtungen.
Das ist die neue Klasse von Angriffen. Kein Einbruch durch die Hintertür. Ein Auszug durch die Vordertür, im Takt von Millionen höflicher Anfragen.
Der Wert sitzt nicht im Modell
Wenn der Konzernstreit verklungen ist, bleibt eine unbequeme Einsicht. Ein günstiges Modell ist nicht automatisch ein eigenständiges. Liefert ein Anbieter plötzlich Fähigkeiten, die sonst nur Spitzenlabore haben, dann frag nach der Herkunft. Herkunft ist kein Detail.
Und Sicherheit lässt sich nicht mitkopieren. Wer auf einen Klon setzt, bekommt vielleicht die Stärken und verliert die Leitplanken. Im produktiven Workflow ist das kein theoretisches Risiko, sondern eine Entscheidung, die dir irgendwann auf die Füße fällt.
Bleibt das Einzige, was kein Modell mitliefert: das Urteil davor. Egal welches Tool gerade vorn liegt, geklaut oder original, es ersetzt nicht die Frage, was du damit willst.
Die Maschine arbeitet. Der Kopf entscheidet.
Welches Modell nutzt du im Alltag, und vertraust du seiner Herkunft? Schreib es in die Kommentare.