Специалисты Агентства по кибербезопасности и защите инфраструктуры США (CISA), АНБ и ФБР заявили, что китайские ИИ-компании в промышленных масштабах дистиллируют американские ИИ-модели для обучения собственных систем. Речь идет о миллиардах токенов и миллионах запросов к Claude, GPT, Gemini и Grok. Почти одновременно с этим специалисты Anthropic раскрыли детали семи таких кампаний, нацеленных на Claude. Самую масштабную из них связывают с компанией Alibaba, которая отправила модели более 151 млн запросов с мая по июль 2026 года.

Сама по себе дистилляция представляет собой обычный метод обучения, когда более мощная модель выступает «учителем», а ее ответы используют для обучения младшей модели. Однако американские ведомства утверждают, что DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun и Z.AI применяют эту технику без разрешения американских компаний и в промышленных масштабах.

По оценке CISA, АНБ и ФБР, такие кампании проводятся как минимум с конца 2024 года и, вероятно, осуществляются с ведома китайских властей. Исследователи полагают, что дистилляция выступает не просто вспомогательным инструментом, а является одной из основных стратегий при разработке китайских моделей.

Отмечается, что для получения доступа к моделям обычно используются API, облачные платформы, сторонние агрегаторы и прокси-сервисы. Операторы таких сервисов создают тысячи поддельных аккаунтов, используя вымышленные личности, фальшивые или украденные банковские карты и похищенные API-ключи. В итоге через эту инфраструктуру китайские ИИ-лаборатории могут скрывать происхождение запросов и обходить ограничения.

Одновременно с этим представители Anthropic сообщили, что с февраля 2026 года обнаружили семь китайских лабораторий, занимавшихся несанкционированной дистилляцией Claude.

Самую заметную активность связывают с компанией Alibaba: специалисты зафиксировали более 151 млн запросов к Claude Opus 4.6 и 4.7 со стороны Alibaba за период с мая по июль текущего года. В пиковые моменты активность доходила почти до 3 млн запросов в сутки, для генерации которых использовались более 3500 фальшивых аккаунтов.

По данным Anthropic, собранные таким образом цепочки рассуждений использовались при обучении моделей Qwen.

В Anthropic утверждают, что особенно примечательными являются методы, которые использовали разработчики Moonshot AI и DeepSeek. Дело в том, что обе компании незаметно перенаправляли часть запросов собственных пользователей в Claude, а полученные ответы сохраняли для обучения своих моделей. В результате пользователи считали, что общаются с Kimi или DeepSeek, хотя взаимодействовали с Claude.

По подсчетам исследователей, с мая по июль 2026 года в Moonshot AI отправили Claude более 23 млн запросов, а в случае DeepSeek специалисты зафиксировали свыше 12,1 млн запросов всего за 14 дней в июле.

Исследователи пишут, что такая схема создавала и дополнительные проблемы с конфиденциальностью: в запросах, перенаправленных Claude, встречались внутренний код компаний, корпоративные документы, имена, контактные данные и действующие учетные данные.

Например, через DeepSeek в Claude были загружены действующие учетные данные для доступа к БД неназванного российского государственного ведомства, а через Moonshot модели Anthropic был передан запрос от инженера китайской госкомпании, в котором содержались внутренний код и секреты сразу нескольких организаций.

Кроме того, аналитики Anthropic обнаружили, что существует целый вторичный рынок таких данных. Так, в китайской ИИ-компании SenseTime покупали у сторонних поставщиков сохраненные диалоги пользователей с Claude. Другой китайский разработчик ИИ-моделей, MiniMax, якобы использовал подставную компанию и создал собственный прокси-сервис, предоставлявший доступ к моделям Anthropic и OpenAI. В Anthropic считают, что этот сервис мог использоваться для сбора пользовательских диалогов и последующего обучения собственных моделей MiniMax.

В отчете CISA, АНБ и ФБР тоже можно найти конкретные примеры. Так, по данным ведомств, в конце 2025 года компания MiniMax использовала Claude Code при разработке своей модели M2 и даже применяла промпт-инжекты, пытаясь вынудить Claude Code считать себя продуктом MiniMax. А к середине 2026 года инженеры Z.AI якобы использовали миллиарды токенов для дистилляции данных, полученных от GPT-5.5 и Claude Opus 4.8, стремясь улучшить способность собственной модели к сложным рассуждениям.

В ответ на такие атаки Anthropic блокирует связанные с ними аккаунты и прокси-сети, а также усиливает защиту от массового извлечения данных. Кроме того, разработчики пишут, что изменили работу Claude: теперь модель раскрывает меньше деталей своих внутренних рассуждений, чтобы сохраненные диалоги было сложнее использовать для дистилляции и обучения конкурирующих систем.

В свою очередь, специалисты CISA, АНБ и ФБР предлагают компаниям не ограничиваться одной только блокировкой аккаунтов и установлением лимитов на количество запросов. В случае обнаружения попыток дистилляции вендорам рекомендуют незаметно ухудшать ответы ИИ: снижать глубину рассуждений, менять их логику и стиль или вовсе переключать подозрительные аккаунты на менее мощные модели. Причем предупреждать пользователей о такой подмене специалисты не советуют, чтобы операторы кампаний по дистилляции не обнаружили защиту и не перестроили свои схемы.