Wer API-Missbrauch Destillation nennt, lenkt Regeln am Ziel vorbei

Nathan Lambert kritisiert den breiten Gebrauch von Modelldestillation für Vorgänge, zu denen auch gestohlene API-Schlüssel, gefälschte Konten, Jailbreaks und die Umgehung regionaler Sperren gehören. Destillation selbst ist eine übliche Methode, bei der ein kleineres Modell aus den Ausgaben eines stärkeren lernt.

Ein Begriff verdeckt mehrere unterschiedliche Angriffe

Lambert reagierte auf die US-Debatte über chinesische AI-Unternehmen. Eine gemeinsame Warnung von NSA, CISA und FBI vom September 2026 behauptet, sechs Unternehmen aus China hätten seit Ende 2024 Milliarden Token über Millionen Anfragen an Claude, GPT, Gemini und Grok gesammelt. Genannt werden DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun und Z.AI.

Die Behörden beschreiben native APIs, Cloud-Dienste, Aggregatoren und einen grauen Proxy-Markt namens Transfer Stations. Hinzu kommen gefälschte Konten, Prompt Injection, Jailbreaks und Versuche, verborgene Chain-of-Thought-Ausgaben zu gewinnen. Lamberts Einwand betrifft die Einordnung: Der Diebstahl von Zugangsdaten und das Umgehen von Schutzmaßnahmen sind Angriffe auf den Zugang. Destillation beschreibt dagegen die spätere Nutzung der gewonnenen Ausgaben im Training.

Präzise Begriffe bestimmen, wer für die Abwehr zahlt

Große Labore, Startups und Forschungsteams nutzen Modelldestillation. Ein stärkeres Modell erzeugt Daten oder überträgt eine bestimmte Fähigkeit auf ein kleineres. Dieselbe Methode kann einem internen Produkt, öffentlicher Forschung oder einem Konkurrenten dienen, der API-Bedingungen verletzt. Das Risiko hängt daher von Datenherkunft, Erlaubnis und Zugangsweg ab.

Ein zu breites Etikett kann Regeln vom Verhalten auf die Technologie verschieben. Davon profitieren Firmen mit eigenen Modellen und großen Rechtsabteilungen. Kleinere Teams müssten den legitimen Einsatz einer Standardmethode beweisen. API-Anbieter können stattdessen koordinierte Konten, pausenlosen Betrieb und neue Abonnements erkennen, die sofort maximale Kontingente ausschöpfen.

Ein ungenauer Begriff beseitigt den gemeldeten Missbrauch nicht

CISA erkennt ausdrücklich an, dass Destillation eine legitime und nützliche Technik ist. Die Warnung verwendet den engeren Ausdruck industrial-scale distillation campaigns und beschreibt konkretes Verhalten. Lambert widerlegt die Existenz großer Kampagnen nicht. Er warnt davor, einen technischen Begriff gleichzeitig als Kürzel für Cyberangriff, Vertragsverletzung und Industriepolitik zu verwenden.

Die öffentliche Warnung enthält detaillierte Behauptungen zu einzelnen Unternehmen und Modellen, stellt unabhängigen Lesern aber keine zugrunde liegenden Protokolle bereit. Die Angaben zu Milliarden Token und Millionen Anfragen stammen aus einer staatlichen Bewertung. Für die Trennung zwischen legitimer Nutzung, Vertragsbruch und Straftat braucht es mehr veröffentlichte Belege.

Wirksame Regeln müssen Zugang, Identität und Verkehrsvolumen treffen

Die nächsten Schritte der USA werden zeigen, ob die Politik konkrete Praktiken adressiert. Dazu gehören gestohlene Schlüssel, gefälschte Konten, die Umgehung regionaler Sperren und koordinierte API-Extraktion. Entscheidend ist außerdem, ob Anbieter messbare Indikatoren veröffentlichen und Ausnahmen für Sicherheitsforschung erhalten.

Wenn Gesetze oder Verträge Destillation unabhängig von Zustimmung und Datenherkunft bestrafen, bestätigt sich Lamberts Sorge. Trennt die Abwehr dagegen Trainingsmethode und Datenbeschaffung, kann sie Modelle schützen, ohne kleineren Teams den Weg zu versperren.

Liliths Urteil

Wenn ein Zollbeamter gestohlenen Pass, Lehrbuch und Lastwagen mit demselben Stempel versieht, wächst die Schlange, während der Schmuggler Vorsprung gewinnt. Modellschutz muss das Verhalten benennen und nicht die ganze Kategorie verbieten.