Anthropic wirft Zhipu und Moonshot KI-Destillation vor und zieht die Schrauben an

Michael Dobler

Autor Dr. Web

14. Oktober 2026

2 Min. Lesezeit

Anthropic hat Zehntausende Konten gesperrt, oft binnen zwei Stunden nach dem Start einer Kampagne. Laut dem KI-Anbieter holen Destillierer seither 90 bis 99 % weniger Daten aus Claude, zwei chinesische Labore stehen namentlich im Bericht. Den Preis zahlen reguläre Kunden mit: Seit dem 24. September berechnet Anthropic auch Anfragen, die der Filter vor der Antwort abfängt.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

80,4 % im Programmiertest SWE-bench Verified erreichte ein Schülermodell, das Anthropic mit vollständigen Denkketten von Claude Opus 4.8 trainierte. Mit bloß zusammengefassten Denkketten kam dasselbe Experiment auf 71,8 %. Diese Lücke von 8,6 Prozentpunkten erklärt, warum Destillierer gezielt das Reasoning abgreifen, wie Anthropic am 12. Oktober in einem Grundsatzbeitrag darlegte.^[1]

Das Wichtigste in Kürze

Anthropic beziffert den Rückgang der abgeschöpften Daten auf 90 bis 99 % und hat Zehntausende Konten gesperrt.
Laut Anthropic destillierte Zhipu für GLM-5.3 die Cyberfähigkeiten führender US-Modelle, Moonshot soll Kimi-Anfragen heimlich an Claude weitergereicht haben.
Zhipu und Moonshot äußerten sich bis zum 14. Oktober nicht öffentlich zu dem Bericht.

Wie schützt Anthropic die Denkketten?

Notizheft mit Rechenschritten, Sticker und durchscheinendem Papier: — Kleineres KI-Modell lernt von Claudes Lösungsweg: Destillation nutzt Zwischenschritte eines stärkeren Modells für effizienteres Training

Bei der Destillation lernt ein kleineres Modell aus den Antworten eines stärkeren. Am wertvollsten sind die Zwischenschritte, mit denen Claude eine Aufgabe löst.

Neue API-Konten, angelegt ab dem 31. August 2026, dürfen den bisherigen Gesprächsverlauf mit Claude nicht mehr bearbeiten. Die Sperre zielt auf einen Kontext-Trick, wie ihn OpenAI Ende September dem Kimi-Entwickler Moonshot vorwarf: Verschlüsseltes Reasoning landete in einer zweiten Unterhaltung und kam dort im Klartext heraus. Bei Claude Sonnet 5.5 kann nur noch die anfragende Organisation die Denkketten lesen.

Auf den stärksten Modellen fahndet ein zweistufiger Klassifikator nach Extraktionsversuchen, etwa der Bitte, frühere Überlegungen zu übersetzen. Seit der Klassifikator vollständig läuft, ziehen Destillierer laut Anthropic 10- bis 100-mal weniger Reasoning-Tokens ab, an manchen Tagen war die Menge nicht mehr messbar.

Was wirft Anthropic Zhipu und Moonshot vor?

Laut Anthropic destillierte Zhipu für GLM-5.3 die Cyberfähigkeiten führender US-Modelle. Weil Claudes Cyber-Schutzfilter die Angriffe auf Claude Fable 5 abschwächten, wechselte Zhipu demnach zu einem älteren Claude-Modell und zum Modell eines anderen Labors. Die US-Prüfstelle CAISI stufte GLM-5.3 im September als stärkstes offenes Cyber-Modell ein.

Moonshot soll laut Anthropic, wie schon im September berichtet, Anfragen an die Kimi-Modelle heimlich an Claude weitergereicht haben. Eine dieser Anfragen kam demnach mutmaßlich aus der Volksbefreiungsarmee und galt der Videoüberwachung einer Einzelperson. Wegen solcher Umleitungen prüft Chinas Internetaufsicht CAC laut The Information, ob Nutzerdaten bei Anthropic landeten.

Zhipu und Moonshot haben sich bis zum 14. Oktober nicht öffentlich zu dem Bericht geäußert, frühere Destillationsvorwürfe der US-Regierung hatte Moonshot zurückgewiesen. Nvidia-Chef Jensen Huang hatte Destillation Ende September dagegen schlicht Wettbewerb genannt.

Anthropic schützt Claudes Denkketten wie ein Betriebsgeheimnis. Für die Fehlalarme zahlen seit dem 24. September ehrliche Kunden mit.
Markus Seyfferth, Chefredakteur Dr. Web

Anthropics Sperren gegen KI-Destillation

Was die Abwehr laut Anthropic bewirkt und was sie für Kunden kostet

90–99 %

weniger Daten schöpfen Destillierer seit den neuen Schutzmaßnahmen ab

10- bis 100-mal

weniger Reasoning-Tokens fließen ab, seit der Klassifikator vollständig läuft

2 Stunden

nach dem Start einer Kampagne sperrte Anthropic die Konten in vielen Fällen

< 0,1 %

Fehlalarmquote: Blockierte Anfragen berechnet Anthropic seit dem 24. September

Warum Destillierer auf die Denkketten zielen

Anthropics Experiment: ein Schülermodell, trainiert mit Material von Claude Opus 4.8

Vollständige Denkketten

80,4 %gelöste Aufgaben im Programmiertest SWE-bench Verified

Nur Zusammenfassungen

71,8 %dasselbe Experiment mit gekürzten Denkketten

Was bedeutet das für Unternehmen in Europa?

Ein API-Konto, das nach dem 31. August angelegt wurde, kann frühere Denkschritte im Gesprächsverlauf nicht mehr umschreiben, Integrationen, die den Verlauf bisher nachträglich bearbeiteten, müssen umgestellt werden. Weil Anthropic abgefangene Anfragen berechnet, zählt die Fehlalarmquote: Unter 0,1 % heißt, dass der Filter von einer Million legitimer Anfragen weniger als 1.000 blockiert. Prüfen Sie deshalb gerne Ihre Abrechnung auf geblockte Anfragen und halten Sie Fehlalarme für die Klärung mit Anthropic fest.

Schwerer wiegt der Fall Moonshot für Firmen, die Schnittstellen chinesischer Anbieter direkt ansprechen. Reicht ein Anbieter Anfragen ungefragt an ein fremdes Modell weiter, landen personenbezogene Daten bei einem Dritten, den kein Vertrag nennt. Artikel 28 der DSGVO erlaubt Auftragsverarbeitern weitere Dienstleister nur mit Genehmigung des Verantwortlichen.^[2] Gehostete Varianten wie GLM-5.3 auf Amazon Bedrock laufen dagegen auf der Infrastruktur des Cloud-Anbieters. Lassen Sie sich die eingesetzten Unterauftragnehmer schriftlich bestätigen, bevor Kundendaten an eine chinesische Schnittstelle gehen.