Bei illegitimer Distillation fragt ein Labor ein fremdes Modell massenhaft ab und trainiert aus dessen Antworten ein eigenes. Moonshot AI und DeepSeek nutzten dafür laut Anthropic einen Umweg: Sie leiteten Anfragen ihrer eigenen Kunden an Claude weiter, zeigten die Antwort als Ergebnis des eigenen Modells und speicherten den Austausch. Über zehn Tage zählte Anthropic allein bei Moonshot fast 300.000 solcher Weiterleitungen, überwiegend an Opus. DeepSeek wählte dafür gezielt Anfragen aus, die über Programmierwerkzeuge wie Claude Code oder OpenCode an seine Modelle gingen.
Beide Labore umgingen dabei eine technische Schranke. Claude gibt statt der rohen Denkspur nur eine Signatur zurück. Moonshot und DeepSeek speicherten diese Signatur, eröffneten eine neue Sitzung und ließen Claude sie dort in die vollständige Denkspur zurückverwandeln. Anthropic nennt das einen sitzungsübergreifenden Wiedergabe-Angriff. Inzwischen fasst Claude seine Denkspur vor der Antwort zusammen, und seit Fable 5.1 können neue API-Konten den Verlauf vor einer Denkspur nicht mehr verändern.
Die umgeleiteten Sitzungen enthielten sensible Inhalte. Ein mutmaßlich der Volksbefreiungsarmee zugehöriger Nutzer ließ über Kimi Aufnahmen von Hunderten Kameras in Chengdu daraufhin prüfen, ob sich eine einzelne Person auffällig verhalte. Über DeepSeek gelangten Zugangsdaten zu einer russischen Regierungsdatenbank und ein Fallmanagement-System einer chinesischen Polizeibehörde an Claude.
Die größte Kampagne schreibt Anthropic Alibaba zu: über 151 Millionen Austausche zwischen Mai und Juli 2026, in der Spitze knapp 3 Millionen am Tag über mehr als 3.500 betrügerische Konten. Die abgeschöpften Denkspuren von Opus 4.6 und 4.7 seien in Qwen 3.5, 3.6 und 3.7 eingeflossen. Für Moonshot nennt der Bericht über 23 Millionen Austausche, für DeepSeek über 12,1 Millionen, für Zhipu über 3 Millionen.
Xiaomi spielte Sitzungen eigener Nutzer mit seinen MiMo-Modellen erneut über Claude ab, im März und April über 400.000 Anfragen von mehr als 1.500 Konten. SenseTime kaufte Datenhändlern Mitschnitte von Claude-Gesprächen ab, die Zwischendienste protokolliert hatten. MiniMax betrieb über eine Tarnfirma einen Zugangsdienst, der ausschließlich Modelle von Anthropic und OpenAI anbot.
Sämtliche Zahlen und Zuordnungen stammen aus Anthropics eigener Auswertung. Zugleich warnt das Unternehmen, ein abgeschöpftes Modell könne gefährliche Fähigkeiten erben, etwa im biologischen oder im Cyber-Bereich, auch wenn die abgegriffenen Austausche davon kaum handeln – die Schutzmechanismen wandern nicht mit.
Aktualisiert am 14. September 2026.