Anthropic wirft Alibaba Kopie von Claude vor

28,8 Millionen Fragen, die Claude in sechs Wochen gestellt wurden. Kein Eindringen in einen Server, kein Diebstahl von Quellcode, kein Leck. Nur Gespräche, wie sie Millionen Menschen täglich mit einem KI-Assistenten führen. Und doch beschreibt Anthropic genau das als den größten Angriff, der je gegen das Unternehmen geführt wurde.

In einem Schreiben an das Weiße Haus und an US-Senatoren vom 10. Juni wirft Anthropic Alibaba vor, mit fast 25.000 gefälschten Konten Claude zwischen dem 22. April und dem 5. Juni 2026 befragt zu haben. Das vermutete Ziel: das Know-how des Modells abzuschöpfen, um zu einem Bruchteil der Kosten einen Konkurrenten zu trainieren. Der verwendete Begriff lautet "adversarial Distillation". Das Wort, das in der Presse die Runde macht, ist "Diebstahl".

Was Anthropic vorwirft, und wem

Laut Anthropic standen die Betreiber in Verbindung mit Alibaba und mit Qwen, dessen KI-Labor. Die anvisierten Fähigkeiten waren alles andere als banal: agentisches Schlussfolgern, Code-Generierung, langwierige Aufgaben, bei denen das Modell über mehrere Schritte hinweg einen roten Faden halten muss. Mit anderen Worten: das, was den eigentlichen Wert von Claude heute ausmacht, nicht die einfachen Antworten.

Das Szenario ist nicht neu. Im Februar 2026 führte OpenAI vor dem Kongress dieselbe Argumentation zu DeepSeek, dem vorgeworfen wurde, seine Modelle über getarnte Drittanbieter-Router destilliert zu haben. Bereits im Januar 2025 vermuteten OpenAI und Microsoft, dass DeepSeek R1 teilweise auf den Ausgaben von ChatGPT trainiert worden war. Anthropic selbst hatte einige Monate zuvor DeepSeek, Moonshot und MiniMax genannt. Jedes Mal beschuldigt ein US-Labor ein chinesisches Labor und fordert Washington zum Handeln auf.

Distillation, ohne Fachjargon erklärt

Man stelle sich einen Phantomzeichner vor, der den Verdächtigen nie zu Gesicht bekommt. Er befragt Hunderte von Zeugen, gleicht ihre Beschreibungen ab und zeichnet am Ende ein Gesicht, das ähnlich genug ist, um auf der Straße erkannt zu werden. Er ist der Person nie begegnet. Er hat nur denen viele Fragen gestellt, die sie gesehen haben.

So funktioniert Distillation. Man rührt weder den Code von Claude an noch dessen Gewichte, jene Milliarden von Parametern, die das Modell tatsächlich ausmachen und die bei Anthropic eingeschlossen bleiben. Man beobachtet lediglich seine Antworten, massenhaft, und trainiert ein anderes Modell, den Schüler, darauf, diese Antworten zu reproduzieren. Der Lehrer weiß nicht einmal, dass er Unterricht gibt.

Und genau hier wird es heikel für Anthropic. Denn Distillation ist keine geheime Technik. Sie ist eine gängige Methode, die ständig eingesetzt wird, um kleinere und günstigere Modelle zu bauen. Strittig wird sie nur in einem bestimmten Fall: wenn sie dazu dient, ein Spitzenmodell zu replizieren, und wenn sie über Betrug läuft. Hier: die 25.000 gefälschten Konten.

Das eigentliche Problem: Man besitzt nicht, was man zu besitzen glaubt

Man stelle die juristische Frage direkt. Wenn Alibaba tatsächlich getan hat, was ihm vorgeworfen wird, was genau hat es dann im rechtlichen Sinne gestohlen?

Nicht den Code, es gab keinen Einbruch. Nicht die Gewichte des Modells, sie haben Anthropic nie verlassen. Bleiben die Ausgaben, die von Claude erzeugten Antworten. In den USA aber vertritt das Copyright Office die Auffassung, dass ein Text, der ohne echten menschlichen Urheber entsteht, nicht urheberrechtlich schützbar ist. Mehrere juristische Analysen ziehen daraus einen für die Labore unbequemen Schluss: Wenn API-Ausgaben nicht vom Urheberrecht erfasst sind, stellt ihre Wiederverwendung zum Training eines Modells, selbst im großen Maßstab, vermutlich keine Verletzung dar.

Was Anthropic also bleibt, ist nicht das Eigentum am Modell. Es ist der Vertrag. Die Nutzungsbedingungen verbieten es, Claude zum Bau eines Konkurrenzmodells einzusetzen, und das Anlegen von 25.000 gefälschten Konten zur Umgehung der Schutzmechanismen verstößt gegen diesen Vertrag. Der Streit wird nicht auf dem Feld des geistigen Eigentums ausgetragen, sondern auf dem von Betrug und unlauterem Wettbewerb. Der Unterschied ist erheblich: Es geht nicht darum, einen Schatz zu bewachen, sondern Zugangsbedingungen durchzusetzen.

Der Ankläger hat ein kurzes Gedächtnis

Es gibt eine Ironie, die schwer zu übersehen ist. Die Modelle, die heute über den Diebstahl ihrer Ausgaben klagen, wurden selbst auf riesigen Mengen an Texten, Bildern und Code trainiert, die ohne jemanden um Erlaubnis zu fragen aus dem Web abgegriffen wurden. Declic hat es im April dokumentiert: Dieselbe Branche, die sich ohne Zustimmung bedient hat, um sich aufzubauen, verteidigt nun vehement die Früchte dieses Aufbaus. Siehe unseren Beitrag OpenAI, Anthropic, Google und die Heuchelei des Scrapings.

Die Grenze zwischen geduldeter und "unzulässiger" Distillation hängt nicht an der Technik, die in beiden Fällen identisch ist. Sie hängt an Maßstab und Absicht. Ein paar Tausend Anfragen, um ein kleines Modell zusammenzubasteln, daran nimmt niemand Anstoß. Achtundzwanzig Millionen, um einen direkten Konkurrenten nachzubilden, und das Vokabular kippt zum Diebstahl. Es ist ein Regler, keine klare Linie, und jede Seite verschiebt ihn je nachdem, ob sie anklagt oder sich verteidigt.

Was man wirklich schützt

Alibaba reagierte zum Zeitpunkt der Vorwürfe nicht auf Presseanfragen. Die Untersuchung steht noch aus, und der Vorwurf bleibt, so detailliert beziffert er auch ist, ein Vorwurf.

Doch der Fall sagt etwas über den Einzelfall hinaus. Wer Milliarden ausgibt, um ein Spitzenmodell zu trainieren, kauft keinen Tresor. Er kauft einen Vorsprung, eine Eintrittsbarriere, die sich kein anderer leisten kann zu überwinden.

Das Problem ist, dass diese Barriere mit jeder Anfrage abnutzt. Je nützlicher das Modell, desto mehr antwortet es, und desto mehr lehrt es jeden, der zuzuhören versteht. Der Wert eines Spitzenmodells beruht auf der Vorstellung, dass es zu teuer ist, um reproduziert zu werden. Diese Geschichte legt nahe, dass es manchmal genügt, genug Fragen zu stellen.