Sie schrieben an ein chinesisches Modell. Geantwortet hat Claude

Jemand bat um Hilfe, eine Budgettabelle vor einer Besprechung am Donnerstag aufzuräumen. Darin standen die Zahlen von vier Werken: Ho-Chi-Minh-Stadt, Kuala Lumpur, Bangkok, Ljubljana. Jemand anders fügte die Konfiguration eines ausgefallenen Telegram-Bots ein, samt Bot-Token und zwei noch aktiven API-Schlüsseln.

Beide Nachrichten stehen heute, Zahlen und Schlüssel geschwärzt, in einem öffentlichen Bericht, den Anthropic am 10. September veröffentlicht hat. Keiner der beiden Absender hat je an Anthropic geschrieben. Sie wandten sich an einen chinesischen Assistenten.

Sieben Labore, Zahlen vom mutmaßlichen Opfer selbst

Der Bericht mit dem Titel „Detecting and countering misuse of AI“ deckt den Zeitraum von Dezember 2025 bis August 2026 ab und wirft, wörtlich, „sieben in China ansässigen Laboren“ vor, Destillationskampagnen gegen Claude betrieben zu haben. Übersetzt: Sie hätten das amerikanische Modell im großen Stil abgefragt, um dessen Antworten abzugreifen und damit ihre eigenen Modelle zu trainieren.

Die sieben sind Alibaba, Moonshot AI, DeepSeek, Zhipu (im Ausland als Z.ai bekannt), Xiaomi, SenseTime und MiniMax. Anthropic schreibt Alibaba einen Spitzenwert von fast drei Millionen Austauschvorgängen pro Tag über mehr als 3.500 betrügerische Konten zu, insgesamt mehr als 151 Millionen Austauschvorgänge zwischen Mai und Juli.

Ein Punkt muss sofort geklärt werden, denn er bestimmt alles Weitere. Diese Zahlen stammen aus den internen Protokollen von Anthropic. Kein Dritter hat sie geprüft, der Bericht kündigt keine Anzeige bei einer Behörde an, und keines der sieben Unternehmen wird als kontaktiert genannt, um seine Version darzulegen. Es ist der Zählerstand, den der mutmaßlich Bestohlene selbst abgelesen hat.

Zwei Labore servierten Claude, ohne es zu sagen

Interessanter als das Ausmaß des Abgreifens ist der Weg, den die Daten dabei genommen haben. Drei der sieben Labore fütterten Claude mit den Gesprächen ihrer eigenen Kunden, und das auf unterschiedliche Weise.

Moonshot, der Anbieter von Kimi, habe laut Anthropic „die Anfragen seiner Kunden im Stillen an Claude weitergeleitet, statt sie mit Kimi zu bearbeiten“, und anschließend die Antworten von Claude angezeigt. Der Bericht spricht von knapp 300.000 weitergeleiteten Kundenanfragen in zehn Tagen, mittels 5.380 gefälschter Konten, die vor allem in Singapur und Japan lagen.

DeepSeek habe dasselbe getan, mit einer Vorauswahl: bestimmte Zeichenfolgen in eingehenden Anfragen erkennen, um Entwickler zu identifizieren, die von externen Code-Werkzeugen aus arbeiteten, und diese gezielt zu Claude Opus umleiten. Mehr als 12,1 Millionen Austauschvorgänge in vierzehn Tagen im Juli.

Xiaomi dagegen habe das nicht getan, und diese Nuance zählt. Anthropic stellt klar, die eigene Untersuchung deute „nicht darauf hin, dass Xiaomi die Antworten von Claude genutzt habe, um seine eigenen Nutzer zu bedienen“: Der Hersteller habe stattdessen die Gespräche seiner eigenen Kunden mit den MiMo-Modellen aufgezeichnet und sie anschließend gegenüber Claude abgespielt, um Trainingsdaten zu erzeugen. Mehr als 400.000 Anfragen in zwanzig Tagen.

Eine russische Behördenkennung, eine kommunale Polizeidatei

Was diese Weiterleitungen bei Anthropic hinterlassen haben, geht weit über eine Budgettabelle hinaus. Der Bericht beschreibt, auf der Seite von DeepSeek, die Anfragen eines IT-Mitarbeiters, der für eine dem russischen Verteidigungsministerium nahestehende Behörde arbeitete und dabei die aktiven Zugangsdaten einer Regierungsdatenbank offenlegte. An anderer Stelle bauten Ingenieure für ein kommunales Amt für öffentliche Sicherheit in China ein Werkzeug, das die Bewegungen einer Person mit Polizeiakten abgleicht, indexiert über die nationale Identitätsnummer.

Bei Moonshot ließ ein Nutzer, den Anthropic für „wahrscheinlich der Volksbefreiungsarmee angehörig“ hält, die Archive Hunderter Überwachungskameras aus Chengdu auswerten. Ein Ingenieur eines großen chinesischen Staatsunternehmens wiederum lieferte internen Code und aktive Zugangsdaten preis. Der Bericht formuliert es so: „Der Nutzer hatte keine Möglichkeit zu wissen, dass seine Nutzung von Kimi an Claude weitergeleitet wurde.“

Insgesamt will Anthropic „Namen, E-Mail-Adressen, Unternehmensdaten und andere sensible Daten Hunderter Endnutzer in mindestens einem Dutzend Sprachen“ gesehen haben. Viele dieser Austauschvorgänge kamen über Dienste externer Drittanbieter-Router, wie sie amerikanische und europäische Entwickler nutzen, um zwischen Modellen zu wechseln. Eine Weiche mehr in einer Kette, in der niemand mehr genau weiß, wer mit wem spricht.

Sechs Namen am 8. September, sieben am 10.

Zwei Tage vor diesem Bericht veröffentlichten NSA, CISA und FBI eine gemeinsame Warnung zum selben Thema. Sie nannte sechs Unternehmen: DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun und Z.AI.

Die beiden Listen decken sich nicht. Fünf Namen finden sich in beiden Dokumenten. StepFun, das die Behörden beschuldigen, fehlt im Bericht von Anthropic. Xiaomi und SenseTime, die Anthropic beschuldigt, fehlen in der Behördenwarnung. Aufgefallen zu sein scheint das niemandem.

Die Abweichung sagt etwas über die Rollenverteilung aus. Die Behördenwarnung ist präzise, was die kopierten Modelle angeht, nennt aber kein Volumen, keine Kontenzahl, und verrät nirgends, woher ihre Informationen stammen. Wer die Belege liefert, ist das Unternehmen, das sich selbst als Opfer bezeichnet. Die Regulierungsbehörde klagt an, ohne zu zeigen, der Anbieter zeigt, weil er es ist, der den Zählerstand besitzt.

Wir haben die Nutzungsbedingungen gelesen

Bleibt die Frage, die der Bericht nicht stellt: Konnten diese Nutzer das wissen? Anthropic schreibt, diese Praktiken seien „wahrscheinlich unvereinbar mit Datenschutzgesetzen und mit den eigenen Nutzungsbedingungen der Labore“. Wir sind dem nachgegangen.

Die zum fraglichen Zeitpunkt gültige Datenschutzrichtlinie von DeepSeek zählt ihre Empfänger abschließend auf: technische Dienstleister, Konzerngesellschaften, Unternehmenstransaktionen, Behörden. Die einzige Weitergabe von Nutzereingaben, die sie vorsieht, betrifft Suchbegriffe, die an eine Suchmaschine gesendet werden. Von der Übermittlung eines Gesprächs an einen ausländischen Modellanbieter steht dort nichts.

Bei Kimi ist es noch eindeutiger. Die aktuelle Richtlinie legt fest, dass personenbezogene Daten in China gespeichert und ohne gesonderte Einwilligung nicht aus China heraus übermittelt werden. Die offizielle Liste der Drittempfänger von Kimi umfasst rund zwanzig Einträge: Tencent, Huawei, OPPO, Vivo, die chinesischen Mobilfunkanbieter, auf westlicher Seite Google, Apple und AppsFlyer.

Alle stehen dort für Login, Zahlung oder Werbemessung. Kein Modellanbieter, keine Zeile, die vorsieht, dass ein Gespräch anderswohin geht. Zwei Einschränkungen: Diese Fassung stammt von Ende August 2026, liegt also nach dem beschriebenen Zeitraum, und eigene Nutzungsbedingungen für die MiMo-API von Xiaomi haben wir nicht gefunden.

Wer hätte sie warnen müssen?

Der Bericht beantwortet das nur zur Hälfte. Zu Moonshot schreibt Anthropic: „Wir wissen nicht, ob Moonshot seine Kunden darüber informiert hat, dass ihre Anfragen umgeleitet wurden.“ Zur eigenen Vorgehensweise: nichts. Das Dokument sagt an keiner Stelle, ob die Personen, deren Nachrichten wiedergegeben werden, informiert wurden, noch wie ihr Inhalt gelesen wurde.

Anthropic zieht aus der Sache dennoch eine Schlussfolgerung, die weit über den eigenen Fall hinausreicht: Anbieter von KI-Modellen würden sich weiterhin einen Einblick in die reale Nutzung verschaffen, „den selbst Regierungen und zwischenstaatliche Organisationen nicht haben“. Der Satz ist als Argument geschrieben. Er liest sich wie eine Feststellung.