Американските агенции за киберсигурност и разузнаване обвиниха базирани в Китай компании за изкуствен интелект (AI), че извършват „систематично извличане“ на патентовани функционалности и възможности на американски водещи модели чрез атаки от тип дестилация.

Дейността е описана като случваща се в промишлени мащаби и представляваща „ядрото“ на тяхната стратегия за разработка на AI, според бюлетин, публикуван от Агенцията за национална сигурност (NSA), Агенцията за киберсигурност и сигурност на инфраструктурата (CISA) и Федералното бюро за разследване (FBI).

„Въпреки че „дестилацията“ се признава за законна и полезна техника в изследванията на AI, базираните в Китай компании за изкуствен интелект се ангажират с агресивни, злонамерени и целеви дейности по дестилация в промишлен мащаб, които извличат защитени патентовани функционалности и възможности на водещи американски AI модели“, заявяват авторите на доклада.

В съвместния доклад се отбелязва, че китайски AI фирми като DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun и Z.AI са извлякли милиарди токени чрез милиони взаимодействия/заявки от водещи американски AI модели, включително варианти на Anthropic Claude, OpenAI GPT, Google Gemini и SpaceXAI Grok от края на 2024 г. насам, най-вероятно с подкрепата на китайското правителство.

„Базираните в Китай компании за AI постигат спестяване на разходи за своите кампании за дестилация в промишлен мащаб чрез групово закупуване на премиум абонаменти на американските AI компании, споделени между екипи от разработчици“, казват агенциите.

„Заслужава да се отбележи, че усъвършенстваните тактики за дестилация включват извличане на логически заключения тип верига от разсъждения (CoT), автоматизирано превключване при отказ между пътищата по време на опити за блокиране и сложни рамки за оценка на качеството за откриване на защитни мерки. Базираните в Китай AI компании, които извършват дестилация срещу американски AI модели, отчитат значително по-кратки срокове за разработка и намалени финансови разходи за обучение на водещи модели.“

Някои от конкретните обвинения, изложени от NSA, CISA и FBI, са следните -

  • DeepSeek е провеждала организирани кампании между края на 2024 г. и средата на 2025 г., насочени към възможности за логически заключения, специализирани оптимизации и специфични за даден домейн функции за обучение на своите модели R1 и V3
  • Moonshot AI е извлякла значителни данни от Claude Fable 5 за обучение на своя модел Kimi-K3 и данни от GPT-4o за обучение на своя модел Kimi-K2
  • Alibaba е дестилирала Claude-4, Claude Opus, Claude Sonnet и GPT-5, за да подобри уменията на своите AI модели в софтуерното инженерство, диалоговите функции за обслужване на клиенти, създаването на изображения/герои и интегрирането на възможности за RL, SFT и дестилация в края на 2025 г.
  • MiniMax е дестилирала CoT разсъждения, RL, SFT и възможности за софтуерно инженерство, за да подобри своя модел M2 от Claude Code, Claude Sonnet 4, Claude Opus, Gemini 1, Gemini 2.5 Pro и Gemini 3 Pro в края на 2025 г.
  • StepFun е дестилирала данни от Claude Opus 4.1 и 4.5, Claude Sonnet 4.5, Claude Haiku 4.5, GPT-5 Mini, GPT-5 Pro, GPT-5.1, GPT-5.1 Codex и GPT-5.2 между края на 2025 г. и началото на 2026 г., за да подобри програмирането и автономните функции на своя модел Step 4
  • Z.AI е дестилирала милиарди токени данни от GPT-5.5 и Claude Opus 4.8, за да развие възможности за CoT разсъждения на своя модел към средата на 2025 г.

Тези заявки за дестилация се пренасочват чрез различни методи за получаване на неоторизиран достъп до американските модели в нарушение на техните условия за ползване. Те включват интерфейси за приложно програмиране (API), отдалечени облачни доставчици и агрегатори от трети страни, които маскират метаданните на потребителите, за да избегнат откриване.

Заслужава да се отбележи, че американските водещи модели са официално ограничени и не се предлагат в Китай. Това принуждава китайските разработчици да разчитат на местни системи или алтернативни методи за достъп като виртуални частни мрежи (VPN), маскирани профили и автоматизирани агенти за заобикаляне на тези географски ограничения.

Усилията се допълват от сив пазар на проксита, които служат като релейни или прехвърлящи станции за получаване на незаконния достъп чрез сървъри, хоствани извън континентален Китай. Такива услуги се предлагат на китайските онлайн пазари Taobao и Xianyu.

Освен това базираните в Китай AI компании умишлено предприемат стъпки за разпределяне на тези операции между множество доставчици и платформи, за да останат незабелязани, като се фокусират върху дестилирането на най-добрите възможности и патентовани функции на всеки американски водещ модел за обучение на собствените си модели.

За противодействие на тази заплаха агенциите препоръчват на американските AI компании да внедрят цялостни мерки за откриване и смекчаване, незабележимо да променят отговорите при съмнения за злонамерени опити за дестилация и да съпоставят активността между доставчиците на модели, облачните платформи и API агрегаторите за разкриване на разпределени кампании.

Това не е първият път, когато китайски фирми са обвинявани в нелегални атаки чрез дестилация. По-рано през февруари Anthropic заяви, че е идентифицирала кампании в промишлен мащаб, провеждани от DeepSeek, Moonshot AI и MiniMax за незаконно извличане на възможностите на Claude с цел подобряване на техните собствени модели.

Съвсем наскоро Google Threat Intelligence Group заяви, че е наблюдавала скок в кампаниите за дестилация, насочени към AI моделите на Google, някои от които са надхвърлили 100 милиона подкани и са се фокусирали върху визуално и звуково разбиране, генериране на изображения и генериране на видео.

„Атакуващите внедряват прокси инфраструктура за организиране на широкомащабни автоматизирани атаки, ротиращи заявки между хиляди компрометирани пароли и фалшиви профили в различни продуктови канали, за да прикрият произхода си и да заобиколят стандартните контроли за сигурност“, заявиха от Google.

Исмаел Валенсуела, вицепрезидент на Labs, Threat Research and Intelligence в Arctic Wolf, заяви, че бюлетинът за сигурност трябва да се тълкува като злоупотреба с легитимен достъп, като същевременно подчерта необходимостта от координиран отговор срещу сложни и добре финансирани противници.

„Въпреки че дестилацията не е нищо необичайно в научноизследователска среда, предупреждението посочва, че компаниите нарушители умишлено разпределят операциите си в цялата глобална AI екосистема, подобно на тактиките за избягване, които екипите по сигурността са виждали от атакуващи, извършващи атака с компрометирани пароли или измами с плащания“, каза Валенсуела.

„Когато атакуващите могат да репликират усъвършенстваните възможности за логически заключения и поведението на агентите на модели от американски AI компании, без да спазват законите и разпоредбите, обвързващи тези американски AI компании, защитниците трудно ще разграничат тяхната активност от легитимните платформи, оставяйки вратата отворена за нападателни кибероперации, кампании за влияние или автономни инструменти, които могат да останат незабелязани.“

„Бизнеси, които не са пряко свързани с водещите AI модели, може да се изкушат да пренебрегнат тези кампании като нерелевантни, тъй като са въпрос на национална сигурност, но излагането на достъпа до моделите пред клиенти или партньори прави API ключовете и сервизните профили ценни цели, като злоупотребата с достъпа до тези модели изглежда легитимна“, добави Валенсуела.