OpenAI stoppte ein Netzwerk mit 15.000 Nutzern, das verborgenes Modellreasoning abschöpfte

OpenAI hat nach eigenen Angaben eine Kampagne aufgedeckt, die seit dem 1. Juli in großem Maßstab geschütztes Reasoning seiner Modelle extrahieren wollte. Der Fall zeigt, dass Modellschutz mehr als Verschlüsselung braucht: Anbieter müssen Tausende scheinbar getrennter Interaktionen als einen zusammenhängenden Angriff erkennen.

Zwei Julitage legten ein Netzwerk mit mehr als 15.000 Nutzern offen

Die Aktivität begann am 1. Juli mit geringem Volumen. Am 24. und 25. Juli beobachtete OpenAI 16.000 Anfragen mit dem relevanten Extraktionsmuster von mehr als 4.000 Nutzern. Die weitere Untersuchung verband ähnliche Promptmuster mit einer Gruppe von über 15.000 Nutzern. Nach Angaben des Unternehmens war die Kampagne bis zum 28. Juli vollständig unterbrochen.

Laut OpenAI brachen die Betreiber weder die Verschlüsselung noch eine Datenbank auf und erhielten auch keinen Zugriff auf gespeicherte Kundengespräche. Sie manipulierten Modellinteraktionen so, dass geschütztes Reasoning sichtbar reproduziert werden konnte. OpenAI schloss außerdem einen Replay-Pfad, über den sich bereits erlangtes verschlüsseltes Reasoning eines anderen Nutzers wiederherstellen ließ.

Die Schwachstelle war die Koordination der Konten, nicht ein raffinierter Prompt

OpenAI ordnet einen Kern der Aktivität Personen aus dem Umfeld von Moonshot AI zu, dem Entwickler von Kimi. Zugleich erklärt das Unternehmen, es könne nicht feststellen, ob alle beobachteten Betreiber zu einem einzigen Akteur gehörten. Damit bleibt es bei OpenAIs Zuordnung eines Teils der Kampagne und nicht bei einem unabhängig geklärten Befund für das gesamte Netzwerk.

Die praktische Lehre reicht über einen Wettbewerber hinaus. Wenn sich Extraktion auf Tausende Identitäten und mehrere Dienste verteilen lässt, wird der Schutz geistigen Modelleigentums zu einer dienstübergreifenden Missbrauchserkennung über Konten, Organisationen und Anbieter hinweg. Ein Limit pro Konto erfasst nur winzige Teile der Operation.

Die veröffentlichten Zahlen messen Verkehr, nicht übertragene Fähigkeiten

OpenAI nennt die Zahl der Anfragen und Nutzer, beziffert aber weder die tatsächlich wiederhergestellte Menge geschützten Reasonings noch eine mögliche Verbesserung eines anderen Modells. Aus dem Verkehrsvolumen allein lässt sich der Umfang übertragener Fähigkeiten nicht ableiten.

Zudem hat OpenAI ein geschäftliches Interesse daran, unerlaubte Destillation streng abzugrenzen. Destillation an sich ist eine legitime Trainingsmethode. Entscheidend sind hier das koordinierte Umgehen von Schutzmaßnahmen, die Manipulation geschützten Reasonings und der Verstoß gegen die Nutzungsbedingungen.

Die nächste Kampagne prüft den Signalaustausch zwischen Anbietern

OpenAI sperrte oder beschränkte betrügerische Konten, verschärfte Registrierungs- und Infrastrukturkontrollen, erweiterte das Monitoring und ergänzte Prüfungen für gestreamte Ausgaben. Erkenntnisse teilte das Unternehmen über das Frontier Model Forum und staatliche Kanäle.

Entscheidend wird die nächste Kampagne sein, die sich auf verschiedene APIs und Vermittler verteilt. Können Anbieter dieselben Muster rechtzeitig dienstübergreifend verbinden, verteuert sich massenhafte Extraktion. Sieht jeder weiterhin nur seine eigenen Kontogrenzen, müssen Angreifer die Menge lediglich auf weitere Warteschlangen verteilen.

Liliths Urteil

Der Modelltresor blieb verschlossen, trotzdem versuchten mehr als 15.000 Nutzer, seinen Inhalt stückweise fortzutragen. Beim nächsten Mal muss der Kontowächter die ganze Menge sehen und nicht jede Tasche einzeln prüfen.