Anthropic wirft Alibabas Qwen-Labor vor, 25.000 gefälschte Konten betrieben zu haben, um Claudes Fähigkeiten zu stehlen

Anthropic hat Alibabas KI-Labor Qwen beschuldigt, den nach eigenen Angaben größten bekannten Distillation-Angriff auf seine Claude-Modelle orchestriert zu haben, indem es nahezu 25.000 betrügerische Konten nutzte, um über einen Zeitraum von 45 Tagen vom 22. April bis zum 5. Juni 2026 insgesamt 28,8 Millionen Konversationen abzuschöpfen.

Das Unternehmen legte den mutmaßlichen Vorgang in einem Schreiben an Mitglieder des Bankenausschusses des US-Senats offen und stellte ihn als Versuch dar, "Hunderte von Milliarden Dollar amerikanischer KI-Investitionen in eine Subvention für einen geopolitischen Konkurrenten zu verwandeln". Alibaba hat sich öffentlich nicht zu den konkreten Vorwürfen geäußert.

Was ist Distillation, und warum ist sie wichtig?

Distillation ist eine legitime Trainingstechnik: Man lässt ein größeres, leistungsfähigeres Modell Tausende von Problemen bearbeiten und trainiert dann ein kleineres Modell anhand dieser Antworten. Das Ergebnis ist ein kompaktes Modell, das über sein Gewicht hinaus leistet, weil es von einem klügeren Lehrer gelernt hat.

Wird sie jedoch ohne Erlaubnis auf das Produktionsmodell eines Konkurrenten angewandt, gerät sie in die Nähe von Industriespionage. Ein Labor, das ein Spitzenmodell erfolgreich destilliert, umgeht jahrelange Forschung und Milliarden an Rechenkosten — und vor allem die mühevolle Sicherheitsarbeit, die mit dieser Entwicklung einherging. Wie Anthropic es in seiner Februar-Offenlegung früherer Angriffe formulierte: "Die gefährlichen Fähigkeiten werden über die Ausgaben übertragen. Die Monate, die darauf verwendet wurden, das Modell dazu zu bringen, schädliche Anfragen abzulehnen, werden es nicht."

Ein Muster, kein Einzelfall

Der Alibaba-Vorwurf ist der prominenteste in einer sich zuspitzenden Reihe. Im Februar 2026 enthüllte Anthropic, dass drei chinesische KI-Start-ups — DeepSeek, Moonshot AI und MiniMax — zusammen rund 24.000 betrügerische Konten betrieben hatten, die für mehr als 16 Millionen Austausche mit Claude verantwortlich waren und auf die Programmier-, Schlussfolgerungs- und Agentenfähigkeiten des Modells abzielten.

Die Qwen-Operation stellt diese früheren Vorfälle im Umfang in den Schatten: 28,8 Millionen Konversationen in weniger als sieben Wochen, wobei die Konten gezielt auf Claudes fortgeschrittene Softwareentwicklung und mehrstufiges, agentenbasiertes Schlussfolgern abzielten — genau jene Fähigkeiten, die in der aktuellen Welle KI-gestützter Entwicklungswerkzeuge am wertvollsten sind.

Was Anthropic fordert

Über die Offenlegung des Vorfalls hinaus ruft Anthropic die US-Politik dazu auf, groß angelegte Distillation-Angriffe als Frage der nationalen Sicherheit zu behandeln. Das Unternehmen argumentiert, dass kein einzelnes Labor diese Kampagnen zuverlässig allein erkennen und blockieren könne und dass "rasches, koordiniertes Handeln zwischen Branchenakteuren, politischen Entscheidungsträgern und der globalen KI-Gemeinschaft" erforderlich sei.

Auf technischer Seite gibt Anthropic an, verbesserte Erkennungssysteme eingesetzt zu haben, die in der Lage sind, jene Verhaltensmuster zu identifizieren, die Distillation-Sammelkonten von legitimen Nutzern unterscheiden — massenhaftes, systematisches, sich wiederholendes Abfragen über verschiedene Fähigkeitsbereiche hinweg statt der organischen Vielfalt echter Entwickler-Sitzungen.

Was es für Entwickler bedeutet

Für die praktische Mehrheit der Entwickler, die mit Claude Code oder der Anthropic-API arbeiten, ändert sich im Alltag nichts. Anthropic hat erklärt, dass legitime Nutzung unberührt bleibt und die Durchsetzung der Nutzungsbedingungen auf die gefälschten Konten und nicht auf normale API-Kunden abzielt.

Doch die Episode ist eine nützliche Erinnerung an die wirtschaftlichen Größenordnungen, die auf dem Spiel stehen. Die Fähigkeiten, die Claude für agentenbasierte Programmieraufgaben wertvoll machen — tiefes Schlussfolgern, mehrstufige Werkzeugnutzung, robuste Verweigerungen — stellen eine enorme kumulierte Investition dar. Wenn diese Fähigkeiten ohne Sicherheitsbeschränkungen extrahiert und repliziert werden, sind die daraus entstehenden nachgelagerten Modelle sowohl günstiger als auch potenziell weniger sicher und verändern den Markt auf eine Weise, die jeden Entwickler bei der Wahl seines Technologie-Stacks betrifft.

Es signalisiert auch, dass die Modellauswahl im Jahr 2026 nicht mehr rein eine Frage von Benchmark-Werten und Preis ist. Die Herkunft — wer es gebaut hat, wie und unter welchem Sicherheitsregime — wird ebenfalls zu einem Faktor, den zu verstehen sich lohnt.