Anthropic hat in einem Forschungsbeitrag vom 12. Oktober 2026 beschrieben, wie das Unternehmen seine Abwehr gegen sogenannte Distillation-Angriffe ausgebaut hat. Nach ersten Erkenntnissen hätten die Maßnahmen die Datenmenge, die Distiller abschöpfen, um etwa 90 bis 99 Prozent verringert. Die Angabe stammt von Anthropic selbst; eine unabhängige Überprüfung liegt laut den vorliegenden Quellen nicht vor.
Was Distillation bedeutet
Anthropic beschreibt Distillation als verdeckte, industriell betriebene Kampagnen, mit denen die Fähigkeiten eines Modells ausgelesen und in einem anderen Modell nachgebaut werden, ohne Zustimmung der ursprünglichen Entwickler. Solche Angriffe laufen häufig über Netzwerke betrügerischer Konten. Laut Anthropic erlauben sie Unternehmen, Spitzenfähigkeiten in einem Bruchteil der Entwicklungszeit und zu geringeren Kosten nachzuahmen. Das Unternehmen hatte im September bereits berichtet, dass diese Methode genutzt werde, um ausländischen KI-Laboren den Anschluss an US-Unternehmen zu erleichtern.
Begründung der Sorge
Anthropic nennt zwei Gründe. Erstens könnten so Modelle entstehen, die nahe an der Leistungsspitze liegen, aber ohne vergleichbar robuste Schutzvorkehrungen veröffentlicht werden. Anthropic verweist auf Biologie und Cybersicherheit als Bereiche möglichen Schadens. Als Beispiel nennt das Unternehmen Zhipu, das laut Anthropic während der Entwicklung von GLM-5.3 die Cyberfähigkeiten führender US-Modelle destilliert habe. Zweitens sieht Anthropic ein nationales Sicherheitsrisiko, weil Unternehmen, die US-Modelle destillieren, die gewonnenen Fähigkeiten nach Darstellung des Unternehmens in militärische, nachrichtendienstliche und Überwachungssysteme einbinden könnten.
Das Vorgehen
Die Abwehr setzt laut Anthropic vor allem darauf, das Begründungsverhalten des Modells schwerer zugänglich zu machen, da Distiller gerade die ausführlichen Denkprotokolle als besonders wertvoll betrachten. Anthropic beschreibt drei Ansätze: die Kontrolle, wohin Begründungen gelangen können; das Blockieren und Nachschärfen von Extraktionsversuchen mit einem zweistufigen Klassifikatorsystem; und das Erschweren wiederholter Versuche durch strengere Nutzungslimits und Sperrungen. Nach Angaben des Unternehmens liegt die Falsch-Positiv-Rate bei unter 0,1 Prozent.
Hintergrund
Anthropic hatte früher bereits einfachere Maßnahmen eingesetzt, etwa das Zusammenfassen der Begründungen vor der Anzeige. In einer eigenen Auswertung zu SWE-bench Verified erreichte ein auf vollständigen Protokollen trainiertes Modell 80,4 Prozent, ein Modell mit zusammengefassten Protokollen 71,8 Prozent. Daraufhin wichen Angreifer laut Anthropic auf aktive Extraktionsversuche aus, die mehrere hunderttausend Konten über Proxy-Netzwerke umfassen konnten.
Einordnung
Für Unternehmen, die KI-Modelle über APIs einsetzen, kann die Entwicklung relevant sein, weil Anthropic eingesteht, dass legitime Nutzer teils Anpassungen an ihren Integrationen vornehmen mussten und Umsatz bewusst verloren wurde. Offen bleibt, wie sich die Maßnahmen gegenüber Angreifern mit wachsendem Aufwand behaupten; Anthropic selbst erwartet, dass Umgehungen gefunden werden. Ob die genannten Prozentwerte sich unabhängig bestätigen lassen, ist derzeit nicht belegt.
Quellen
Redaktionell verantwortet von Ideal Syka. Quellen und Arbeitsweise: Redaktion & Methode. Hinweise und Korrekturen: ai@i6eal.de.
