Im Destillationskapitel des heutigen Bedrohungsberichts steht der Fall, über den heute Bloomberg und das Wall Street Journal schreiben. Er ist unangenehmer als der übliche Vorwurf «die klauen unsere Modelle».
Was Moonshot gemacht hat
Moonshot AI, die Firma hinter den Kimi-Modellen, hat Kundenanfragen still an Claude weitergereicht, statt sie mit Kimi zu beantworten. Die Antwort von Claude bekam der Nutzer dann als Kimi-Antwort angezeigt.
Innerhalb von zehn Tagen waren das laut Anthropic fast 300.000 Kundenanfragen, der Großteil davon an Opus. Gelaufen ist das über ein Proxy-Netz aus 5.380 betrügerischen Accounts, die meisten davon mit Standort Singapur und Japan. Anthropic rechnet Moonshot zwischen Mai und Juli 2026 insgesamt über 23 Millionen Austausche zu.
Moonshot hat die Gespräche außerdem gespeichert und daraus eine Pipeline gebaut, die Claudes Reasoning-Transkripte extrahiert. Dass Claude beim Antworten nur eine «thinking signature» statt des rohen Denkens zurückgibt, war kein Hindernis: Moonshot speicherte die Signatur, öffnete eine neue Session und brachte Claude dazu, sie wieder in den vollen Reasoning-Trace zurückzuverwandeln.
Der Teil, bei dem es kippt
Anthropic listet auf, was in diesen umgeleiteten Anfragen mit drin war. Zwei Beispiele:
- Ein Nutzer, den Anthropic als vermutlich PLA-nah einordnet, lud über das, was er für Kimi hielt, CCTV-Material zu einer einzelnen Zielperson hoch und ließ analysieren, ob sie sich auffällig verhält. Das Material stammte aus hunderten Kameras in Chengdu, darunter vor PLA-Einrichtungen.
- Ein Ingenieur eines großen chinesischen Staatskonzerns baute mit Kimi ein internes System – und legte dabei internen Code und aktive Zugangsdaten mehrerer bekannter Technologiefirmen offen.
Beide wussten nichts davon. Ob Moonshot seine Kunden informiert hat, dass ihre Anfragen an einen Dritten gehen, weiß Anthropic nach eigener Aussage nicht.
DeepSeek genauso, nur gezielter
DeepSeek fuhr laut Bericht dieselbe Masche, mit einem Filter davor: Eingehende Anfragen wurden auf Merkmale geprüft, die auf Claude Code, das Claude Agent SDK oder OpenCode hindeuten. Ausgewählte Nutzer aus dieser Gruppe wurden dann an Claude Opus weitergereicht.
Auch hier die Beispiele aus dem Bericht: Spezifikationen und Ziele eines chinesischen KI-Vorzeigeprogramms, aktive Zugangsdaten für eine Datenbank einer russischen Verteidigungsbehörde, und ein Fallmanagement-System für ein städtisches Büro für öffentliche Sicherheit, das Bewegungsprofile über Personalausweisnummern abgleicht. In 14 Tagen im Juli zählte Anthropic über 12,1 Millionen Austausche.
Was Anthropic dagegen tut
Claude fasst sein internes Reasoning inzwischen zusammen, bevor es antwortet – gestohlene Transkripte taugen damit weniger fürs Training. Mit Fable 5.1 kam «preserved thinking» dazu: Neue API-Accounts können System-Prompt, Tools und vorangehende Nachrichten nicht mehr nachträglich ändern, was genau der Hebel für diese Replay-Angriffe war. Dazu Klassifikatoren gegen Extraktion und Identitätsprüfung bei Verdacht.
Einordnung
Der Destillationsstreit lief bisher als Wirtschaftsthema: Wer hat wessen Fähigkeiten kopiert, und was kostet das. Diese Fälle drehen das um. Hier sind nicht die Labore die Geschädigten, sondern deren eigene Kunden – Leute, die glaubten, ein chinesisches Modell zu benutzen, und deren Daten dabei auf einem amerikanischen Server landeten.
Wer in einem Unternehmen entscheidet, welches Modell hinter einem Produkt steckt, hat damit ein neues Problem: Es reicht nicht zu wissen, welches Modell im Vertrag steht. Man muss auch wissen, wer es tatsächlich beantwortet.
Quellen: Anthropic: Detecting and countering misuse of AI, September 2026 · Bloomberg: Moonshot Secretly Routed User Requests Through Claude, Anthropic Says · Techmeme/WSJ: Anthropic details distillation efforts by Chinese companies