Anthropic Destillationsangriffe: Was chinesischen KI-Laboren vorgeworfen wird und was es bedeutet

Anthropic Destillationsangriffe wurden zur größten KI-Kontroverse im Februar 2026, als Anthropic drei chinesische Labore öffentlich beschuldigte -- DeepSeek, Moonshot (Entwickler von Kimi) und MiniMax -- systematisch Fähigkeiten aus Claude-Modellen extrahiert zu haben, um ihre eigenen zu trainieren. Der Bericht behauptet, dass etwa 24.000 betrügerische Konten über 16 Millionen Austauschvorgänge generierten, die auf Claudes wertvollste Fähigkeiten abzielten: agentisches Reasoning, Tool-Nutzung und Coding.

Es ist nicht das erste Mal, dass ein US-Labor Wettbewerber beschuldigt, deren Outputs für das Training zu verwenden. OpenAI erhob ähnliche Vorwürfe gegen DeepSeek, als R1 Anfang 2025 erschien. Aber Anthropics Bericht ist die bisher detaillierteste und spezifischste Anklage, die einzelne Labore namentlich nennt und genaue Zahlen veröffentlicht.

Wichtigste Erkenntnis: Ob die Vorwürfe standhalten oder nicht -- diese Debatte verdeutlicht eine echte Spannung in der KI-Branche. Die Grenze zwischen legitimer Modellevaluation und illegitimer Fähigkeitsextraktion ist unscharf, und jedes Labor zieht sie anders.

Springe zu: Was ist Destillation | Anthropics Vorwürfe | Die Zahlen | Warum Claude ein Ziel ist | Branchendebatte | Was es für Nutzer bedeutet | FAQ

Was ist KI-Modell-Destillation

Destillation im KI-Kontext bedeutet, die Kernfähigkeiten eines leistungsstarken Modells zu extrahieren und diese Outputs zu nutzen, um ein kleineres oder günstigeres Modell so zu trainieren, dass es sich ähnlich verhält. Der Begriff kommt von der Idee, den wesentlichen Wert aus etwas herauszudestillieren -- das Gold vom Sand zu trennen.

So funktioniert es in der Praxis:

Schritt	Was passiert
1. Prompt-Generierung	Tausende sorgfältig erstellter Prompts an ein Frontier-Modell senden
2. Output-Sammlung	Die Antworten des Modells sammeln, einschließlich der Reasoning-Traces
3. Datensatz-Erstellung	Input-Output-Paare als Trainingsdaten organisieren
4. Modell-Training	Diese Daten nutzen, um ein kleineres Modell per Fine-Tuning an das Frontier-Modell anzupassen

Anthropic selbst räumt ein, dass Destillation völlig legitim sein kann. Labore nutzen sie routinemäßig, um kleinere, günstigere Modelle für ihre eigenen Kunden zu erstellen. Die Unterscheidung, die Anthropic trifft, ist zwischen interner Destillation (die Outputs des eigenen Modells verwenden) und externer Destillation (die Outputs eines Konkurrenzmodells nutzen, um das eigene zu trainieren).

Wichtig: Destillation kann kein Modell erzeugen, das klüger ist als die Quelle. Sie kann ein schwächeres Modell nur näher an das Niveau des Frontier-Modells bringen. Man kann es sich als Decke vorstellen, nicht als Leiter.

Warum Destillation kontrovers wurde

Die Destillationsdebatte begann, als OpenAI DeepSeek beschuldigte, O1-Modell-Outputs zum Training von DeepSeek R1 verwendet zu haben. O1 war OpenAIs erstes Reasoning-Modell -- das erste, das vor dem Antworten "denkt", indem es Probleme Schritt für Schritt durcharbeitet. OpenAI war so besorgt über Wettbewerber, die dies kopieren könnten, dass sie O1s Reasoning-Traces komplett vor den Nutzern verbargen.

DeepSeek R1 war im Gegensatz dazu Open-Weight und zeigte seine vollständige Reasoning-Kette. Diese Transparenz machte R1 bei Entwicklern extrem beliebt -- hinderte OpenAI aber nicht daran zu behaupten, ihre Modelle seien für das Training verwendet worden.

Was Anthropic behauptet

Anthropics Bericht vom Februar 2026 nennt drei chinesische KI-Labore und liefert für jedes spezifische Zahlen:

Labor	Bekannt für	Austauschvorgänge	Ziel-Fähigkeiten
DeepSeek	DeepSeek R1, V4	~150.000	Reasoning, Rubrik-basierte Bewertung, zensurfreie Alternativen
Moonshot	Kimi-Modelle	~3,4 Millionen	Computer Vision, Computer Use, Tool-Nutzung
MiniMax	MiniMax-Modelle	~13 Millionen	Agentisches Coding, Tool-Nutzung, Orchestrierung

Die Gesamtzahl aller Kampagnen: etwa 16 Millionen Austauschvorgänge über rund 24.000 Konten, die Anthropic als betrügerisch bezeichnet.

Erkennungsmethoden

Anthropic beansprucht eine hochsichere Zuordnung durch:

• IP-Adressen-Korrelation -- Verknüpfung von Konten mit bekannter Labor-Infrastruktur
• Request-Metadaten -- Muster in der API-Nutzung, die zum Labor-Verhalten passen
• Infrastruktur-Indikatoren -- gemeinsame Proxy- und Cluster-Architekturen
• Branchenbestätigung -- andere Unternehmen beobachteten dieselben Akteure

Das Proxy-Problem

Anthropic beschreibt auch kommerzielle Proxy-Dienste, die Claude-Zugang im großen Stil weiterverkaufen, insbesondere an Nutzer in China, wo Anthropics Modelle nicht direkt verfügbar sind. Ein Proxy verwaltete Berichten zufolge über 20.000 Konten gleichzeitig und mischte dabei das, was Anthropic als Destillations-Traffic bezeichnet, mit regulären Kundenanfragen, um die Erkennung zu umgehen.

Dieser Teil des Berichts hat die stärksten Belege. Mehrere unabhängige Quellen bestätigen, dass chinesische Proxy-Dienste, die vergünstigten Claude-Zugang anbieten, seit Monaten aktiv sind. Diese Dienste nutzen verteilte Konto-Architekturen, um den Traffic über viele Konten und IP-Adressen zu verteilen.

Die Zahlen im Kontext

Die von Anthropic veröffentlichten Zahlen verdienen eine kritische Betrachtung. Um zu verstehen, ob 16 Millionen Austauschvorgänge eine massive Extraktionsoperation oder routinemäßige Nutzung darstellen, ist Kontext entscheidend.

Was zählt als "Austauschvorgang"

Ein Austauschvorgang ist nicht dasselbe wie eine Nutzernachricht. Jedes Mal, wenn ein Modell antwortet -- einschließlich Tool-Aufrufe, Suchergebnisse und mehrstufige Agenten-Operationen -- zählt das als separater Austauschvorgang. Eine einzelne Nutzeranfrage an einen KI-Coding-Agenten kann leicht 10-50 Austauschvorgänge erzeugen, wenn das Modell Dateien liest, Code durchsucht und Änderungen vornimmt.

Szenario	Nutzeraktionen	Tatsächliche Austauschvorgänge
Einfache Chat-Frage	1 Nachricht	1 Austauschvorgang
Chat mit Websuche	1 Nachricht	3-4 Austauschvorgänge
Coding-Agent-Aufgabe	1 Prompt	10-50 Austauschvorgänge
Deep-Research-Aufgabe	1 Anfrage	30-100 Austauschvorgänge

Größenvergleich

Zur Einordnung: Selbst eine mäßig populäre KI-Anwendung kann Millionen von Austauschvorgängen pro Monat erzeugen. Eine Chat-Plattform mit moderatem Traffic kann leicht 100.000-160.000 Austauschvorgänge pro Tag verarbeiten. Das bedeutet, DeepSeeks gesamte angebliche Kampagne von 150.000 Austauschvorgängen ist vergleichbar mit einem einzigen Tag Traffic einer mittelgroßen KI-Chat-Anwendung.

Speziell für Benchmark-Tests: Die Durchführung eines Standard-Benchmarks wie SWE-Bench (2.294 Coding-Aufgaben) mit durchschnittlich 50 Tool-Aufrufen pro Aufgabe erzeugt etwa 115.000 Austauschvorgänge in einem einzigen Durchlauf. Einige Runden Benchmark-Tuning können leicht 150.000 Austauschvorgänge produzieren.

MiniMax-Kontext

MiniMax betrieb ein verbraucherorientiertes Agenten-Produkt, das mehrere KI-Modelle als Optionen anbot, darunter Claude. Ein Produkt mit aktiven Nutzern, die Deep Research und agentische Aufgaben durchführen, könnte 13 Millionen Austauschvorgänge durch normale kommerzielle Nutzung generieren. Anthropics Bericht stellt fest, dass sie die Kampagne erkannten, bevor MiniMax ein neues Modell veröffentlichte, und dass MiniMax den Traffic innerhalb von 24 Stunden auf neue Claude-Releases umlenkte -- aber dieses Verhalten entspricht auch normalen Produktnutzungsmustern, bei denen Nutzer zum neuesten verfügbaren Modell wechseln.

Warum Claude-Modelle ein einzigartiges Ziel sind

Es gibt ein technisches Detail, das Anthropics Modelle im Vergleich zu anderen Frontier-Laboren besonders wertvoll für Destillation macht:

Labor	Reasoning-Traces	Implikation
OpenAI	Versteckt/verschleiert	Tatsächliche Reasoning-Schritte nicht sichtbar
Google	Von separatem Modell zusammengefasst	Reasoning ist paraphrasiert, nicht original
xAI	Verschleiert	Ähnlicher Ansatz wie OpenAI
Anthropic	Vollständig sichtbar	Komplette Reasoning-Kette verfügbar

Anthropic ist das einzige große Labor, das die Reasoning-Traces seiner Modelle nicht versteckt oder verschleiert. Wenn Claude ein Problem durchdenkt, kann man jeden Schritt des Reasoning-Prozesses sehen. Das war eine bewusste entwicklerfreundliche Entscheidung -- sie hilft Entwicklern, Prompts zu debuggen, das Modellverhalten zu steuern und zu verstehen, warum ein Modell bestimmte Entscheidungen getroffen hat.

Aber es bedeutet auch, dass Claudes Outputs mehr trainingsrelevante Daten enthalten als jedes andere Frontier-Modell. Wenn man die vollständige Reasoning-Kette hat (nicht nur die Endantwort), sind diese Daten deutlich nützlicher, um ein anderes Modell zu trainieren, ähnlich zu denken.

Die Branchendebatte

Die Reaktion der KI-Community auf Anthropics Bericht war scharf gespalten.

Die skeptische Sicht

Kritiker weisen auf mehrere Probleme hin:

• Die Zahlen sind klein. 150.000 Austauschvorgänge für DeepSeek sind durch normales Benchmarking und Evaluation trivial erreichbar
• Es gibt legitime Anwendungsfälle. MiniMax hatte ein Produkt, das Claude kommerziell nutzte. Moonshot und DeepSeek müssen sich mit Wettbewerbern vergleichen
• Muster der Anschuldigungen. Anthropic hat zuvor ähnliche Behauptungen gegen WindSurf, xAI und OpenAI erhoben -- Behauptungen, die angefochten oder unbestätigt blieben
• Vage Beweise. Das veröffentlichte "Beispiel-Prompt" entspricht weitgehend Standard-Research- und Analyse-System-Prompts, die in kommerziellen Produkten verwendet werden
• Keine unabhängige Überprüfung. Anthropic hat keine Rohdaten mit unabhängigen Prüfern geteilt

Die unterstützende Sicht

Befürworter von Anthropics Position argumentieren:

• Umfang und Koordination sind entscheidend. Selbst wenn einzelne Austauschvorgänge harmlos sind, deuten koordinierte Kampagnen über Tausende von Konten auf eine Absicht jenseits normaler Nutzung hin
• Die Nutzungsbedingungen sind eindeutig. Die Verwendung von Modell-Outputs zum Training konkurrierender Modelle verstößt gegen Anthropics ToS -- unabhängig vom Volumen
• Proxy-Infrastruktur ist real. Der Proxy-Weiterverkaufsbetrieb wird von mehreren Quellen unabhängig bestätigt
• Nationale Sicherheitsargumentation. Modelle, die durch Destillation trainiert wurden, könnten die Sicherheitsgarantien des Originals nicht aufweisen

Die Open-Weight-Frage

Anthropics Bericht enthält eine kontroverse Aussage: Wenn destillierte Modelle quelloffen veröffentlicht werden, vervielfachen sich die Risiken, weil Fähigkeiten sich außerhalb der Kontrolle einer einzelnen Regierung verbreiten. Dies wurde von vielen als Vorstoß gegen Open-Weight-KI-Modelle interpretiert -- eine bemerkenswerte Position, da Anthropic das einzige große Labor ist, das noch kein einziges Open-Weight-Modell veröffentlicht hat. OpenAI hat GPT-4o mini veröffentlicht, Google hat die Gemma-Serie, Meta hat Llama, und alle großen chinesischen Labore veröffentlichen regelmäßig Open-Weight-Modelle.

Das große Ganze -- Wo liegt die Grenze

Die Destillationsdebatte wirft grundlegende Fragen über Daten, Training und Wettbewerb in der KI auf:

Frage	Warum es wichtig ist
Ist das Training mit Claude-generiertem Code aus öffentlichen GitHub-Repos Destillation?	Massive Mengen von Claude geschriebenem Code existieren in öffentlichen Repositories
Ist das Teilen von Claude-Outputs im Internet ein Verstoß?	Jede öffentliche Claude-Konversation könnte zu Trainingsdaten werden
Wo endet Benchmarking und wo beginnt Destillation?	Labore müssen Wettbewerber evaluieren, um ihre eigenen Modelle zu verbessern
Wie viel Abstraktion macht Daten "sauber"?	Ab welchem Punkt ist ein Modell-Output nicht mehr zuordenbar?

Auf diese Fragen gibt es noch keine klaren Antworten, und der Branche fehlen vereinbarte Standards. Jedes Labor zieht die Grenze anders -- oft auf eine Weise, die der eigenen Wettbewerbsposition zugutekommt.

Was das für KI-Nutzer und OpenClaw bedeutet

Unabhängig davon, ob Anthropics spezifische Vorwürfe zutreffen, verdeutlicht diese Situation, warum Modellvielfalt wichtig ist:

• API-Zugang ist nicht garantiert. Labore können und sperren Wettbewerber, Regionen und sogar einzelne Unternehmen vom Zugang zu ihren Modellen
• Nutzungsbedingungen ändern sich. Was heute erlaubt ist, kann morgen verboten sein
• Model-Routing ist strategisch. Workloads auf mehrere Modelle zu verteilen reduziert die Abhängigkeit von einem einzelnen Anbieter
• Open-Weight-Modelle bieten Absicherung. Modelle, die lokal betrieben werden können, können nicht widerrufen werden

Für OpenClaw-Nutzer bleibt die beste Strategie dieselbe: Model-Routing konfigurieren, um das beste Modell für jede Aufgabe zu nutzen und dabei Fallbacks bereitzuhalten. Wenn ein Anbieter den Zugang einschränkt oder die Bedingungen ändert, laufen die Workflows mit alternativen Modellen weiter.

Praktische Empfehlungen

Maßnahme	Warum
Model-Routing über mehrere Anbieter nutzen	Reduziert die Abhängigkeit von einem einzelnen Anbieter
Open-Weight-Modelle als Fallbacks bereithalten	Können nicht widerrufen oder eingeschränkt werden
Nutzungsbedingungen der Anbieter beobachten	Richtlinien ändern sich häufig in 2026
Über US-, EU- und chinesische Modelle diversifizieren	Geopolitische Risiken beeinflussen die Verfügbarkeit

Häufig gestellte Fragen

Was ist ein Destillationsangriff in der KI?

Ein Destillationsangriff, wie von Anthropic definiert, liegt vor, wenn ein Wettbewerber systematisch ein Frontier-KI-Modell abfragt, um Outputs zu sammeln, und diese Daten zum Training eigener Modelle nutzt. Der Begriff wurde von Anthropic für diesen Bericht geprägt. Traditionelle Destillation ist eine Standard-Machine-Learning-Technik, die von allen großen Laboren genutzt wird, um kleinere Modelle aus größeren zu erstellen.

Hat DeepSeek von Anthropic gestohlen?

Anthropic behauptet, DeepSeek habe etwa 150.000 Austauschvorgänge durchgeführt, die auf Reasoning-Fähigkeiten abzielten. DeepSeek hat sich öffentlich nicht dazu geäußert. Die Beweise wurden nicht unabhängig verifiziert, und Kritiker weisen darauf hin, dass das Volumen mit normaler Benchmarking-Aktivität vereinbar ist.

Warum ist das für KI-Modell-Nutzer wichtig?

Diese Debatte könnte zu strengeren API-Zugangsrichtlinien, aggressiveren Kontosperren und möglichen regulatorischen Maßnahmen führen. Sie unterstreicht die Bedeutung, sich nicht auf einen einzigen KI-Anbieter zu verlassen und den Zugang zu mehreren Modellen einschließlich Open-Weight-Alternativen aufrechtzuerhalten.

Sind Open-Weight-KI-Modelle gefährdet?

Anthropics Bericht legt nahe, dass quelloffen veröffentlichte destillierte Modelle Sicherheitsrisiken vervielfachen. Diese Position ist umstritten. Open-Weight-Modelle von Meta (Llama), Google (Gemma), Alibaba (Qwen) und DeepSeek sind weiterhin weit verbreitet und bilden einen Eckpfeiler des KI-Ökosystems für Entwickler und Forscher.

Was ist der Unterschied zwischen Destillation und Benchmarking?

Benchmarking bedeutet, standardisierte Tests mit einem Modell durchzuführen, um seine Leistung zu messen. Destillation bedeutet, Modell-Outputs zu sammeln, um sie als Trainingsdaten zu verwenden. Die Grenze zwischen beiden ist unscharf -- beides erfordert viele Abfragen und das Sammeln von Antworten. Absicht und Umfang sind das, was Anthropic zur Unterscheidung heranzieht.

Wie betrifft das OpenClaw-Nutzer?

OpenClaw unterstützt mehrere KI-Modelle verschiedener Anbieter. Wenn ein Anbieter den Zugang einschränkt oder die Richtlinien ändert, können Nutzer Aufgaben an alternative Modelle weiterleiten. Diese Situation unterstreicht den Wert modellagnostischer Agenten-Frameworks.

Fazit

Anthropics Destillationsbericht ist die bisher detaillierteste öffentliche Anschuldigung einer laborübergreifenden Modell-Extraktion. Ob die Vorwürfe vollständig belegt oder strategisch motiviert sind -- sie verdeutlichen echte Spannungen in der KI-Branche rund um Daten, Wettbewerb und die Grenzen des fairen Gebrauchs. Die Proxy-Weiterverkaufsinfrastruktur scheint echt zu sein, aber die Zuordnung zu bestimmten Laboren bleibt von Dritten unbestätigt.

Für KI-Nutzer und -Entwickler ist die Erkenntnis klar: Modellzugang diversifizieren, Open-Weight-Fallbacks bereithalten und keine kritischen Workflows auf einem einzigen Anbieter aufbauen.

Model-Routing auf OpenClaw konfigurieren -- resilient bleiben, egal wie sich die KI-Landschaft verschiebt.

Erweitern Sie Ihren OpenClaw-Agenten mit den ClawHub top skills 2026 und ClawHub popular skills aus der OpenClaw ClawHub skills list. Entdecken Sie die ClawHub best skills und die ClawHub skills list 2026 auf clawhub.ai, darunter die OpenClaw popular skills 2026.

Quellen: Anthropic Offizieller Bericht (Februar 2026), Branchenanalyse, LM Council, Community-Diskussion (Februar 2026).