Базирани в Китай компании за изкуствен интелект (ИИ) използват мащабни кампании за дестилация на знания, за да копират възможности от водещи американски ИИ модели, се посочва в съвместно предупреждение за киберсигурност от CISA, NSA и FBI.

Дестилацията на знания е стандартна техника за обучение на изкуствен интелект, която използва изходните данни от по-способния модел, за да подпомогне обучението на друг модел. Агенциите съобщават, че компании в Китай са я използвали в промишлени мащаби за извличане на ограничени възможности, включително разсъждение, писане на код и други специализирани функции, превръщайки дестилацията в основна част от своите стратегии за разработване на модели.

„Настойчиво призоваваме компаниите за изкуствен интелект да предприемат незабавни стъпки за защита на своите платформи срещу кампании за дестилация на знания, които заплашват да съкратят изоставането спрямо напредъка, постигнат от американските компании“, заяви временно изпълняващият длъжността директор на CISA Ник Андерсен.

Засегнати компании и модели

DeepSeek, Moonshot AI, Alibaba Group, MiniMax, StepFun и Z.AI са извлякли милиарди токени чрез милиони заявки към водещи американски ИИ модели, включително варианти на Claude, GPT, Gemini и Grok, поне от края на 2024 г.

Агенциите оценяват, че тази дейност най-вероятно се извършва със знанието на китайското правителство.

DeepSeek е извлякла данни и възможности от водещи американски ИИ модели, за да подпомогне обучението на DeepSeek R1 и V3, със фокус върху разсъждения, писане на текст, агентни функции, отговаряне на въпроси и специализирани задачи като юридическа работа.

Предупреждението оспорва обявените от DeepSeek разходи за обучение в размер на 5,6 милиона долара, като се посочва, че тази сума не отчита реалната стойност на данните, получени чрез обширна дестилация.

Moonshot AI е извършвала подобна дейност поне от средата на 2025 г., използвайки водещи американски модели за подобряване на софтуерното инженерство, математиката, контролираното фино настройване (supervised fine-tuning) и възможностите за обучение с подкрепление в своите модели Kimi.

Alibaba, MiniMax, StepFun и Z.AI са използвали американски модели за разработване на възможности, вариращи от програмиране и обслужване на клиенти до разсъждения и ИИ агенти. До средата на 2026 г. Z.AI е дестилирала милиарди токени данни от GPT-5.5 и Claude Opus 4.8 за разработване на възможности за верижно разсъждение (chain-of-thought).

Как функционират кампаниите за дестилация

Кампаниите използват тактики, техники и процедури (TTP), съобразени с рамката MITRE ATLAS, обхващащи развитие на ресурси, достъп до ИИ модели, изпълнение, ескалация на привилегии, избягване на защитата, разузнаване, подготовка на ИИ атаки, събиране на данни, екстфилтрация и въздействие.

Те разчитат и на техники, които не са обхванати от рамката. Компаниите използват сив пазар от API проксита, известни като „трансферни станции“, за да заобикалят регионалните ограничения, да скрият страната си на произход, да избегнат защитите и да намалят проследимостта. Пулове от премиум акаунти разпределят заявките и избягват ограниченията за използване, докато централизирани системи насочват трафика през API, облачни доставчици, агрегатори и други услуги въз основа на наличността и квотите.

Операторите премахват идентифициращата информация от заявките и оптимизират използването на акаунти и услуги с цел намаляване на разходите.

Как компаниите могат да откриват кампании за дестилация

Индикаторите включват непрекъснато 24/7 използване без нормални човешки вариации или периоди на престой, аномални съотношения между абонамент и API използване, нови абонаменти, които бързо достигат максимално използване, координирано поведение в пулове от акаунти и внезапни промени в идентифициращите метаданни.

Агенциите препоръчват по-строга проверка на самоличността на акаунтите и по-внимателно наблюдение на индивидуалните абонаменти, които показват корпоративен капацитет на пропускателна способност или други отклонения от легитимните модели на използване.

Мерки за ограничаване и стратегии за реакция

Доставчиците могат да намалят стойността на подозрителните кампании за дестилация чрез промяна в отговорите, ограничаване на дълбочината на разсъжденията, предоставяне на коректна информация чрез различни пътища на разсъждение или въвеждането на стилистични несъответствия. Те могат да пренасочват подозрителни оператори към по-малко способни модели, без да ги уведомяват.

При потвърдена злонамерена дейност по дестилация доставчиците могат да променят отговорите, без да уведомяват операторите. Изследователите по безопасност на ИИ и външните оценители трябва да бъдат информирани при появата на промени в моделите.

Диференциалната поверителност (differential privacy) предлага друга защита чрез добавяне на контролиран шум към изходните данни на модела, което прави извличането по-трудно. Тъй като по-силната защита на поверителността може да намали точността и полезността на модела, доставчиците могат да комбинират диференциалната поверителност с ограничения на честотата (rate limits), контрол на отговорите и мониторинг.

Споделянето на индикатори като IP адреси, домейни, услуги на трети страни, обем на запитванията и времеви модели може да помогне на разработчиците на модели, облачните доставчици и API платформите да идентифицират координирани кампании, които иначе биха изглеждали изолирани.

Обучението по безопасност и устойчивост срещу атаки (adversarial training) може да осигури допълнителен слой защита, като направи техниките за инжектиране на подкани (prompt injection) и за заобикаляне на ограниченията (jailbreak) по-трудни.