Anthropics Ankündigung macht ein wachsendes Problem für Anbieter führender KI-Modelle deutlich: groß angelegte Destillationskampagnen, die darauf abzielen, die privaten Reasoning-Spuren eines Modells abzuschöpfen und in konkurrierende Systeme zu übertragen. Bei dieser Form der Destillation geht es weniger darum, die Modellgröße zu reduzieren, als vielmehr darum, die Schritt-für-Schritt-Reasoning-Tokens abzugreifen, die ein Modell beim schrittweisen Schlussfolgern ausgibt. Anthropic zufolge reduzieren die neuen Schutzmaßnahmen die Zahl abgeschöpfter Reasoning-Tokens in überwachten Tests um etwa 90 bis 99 %. Für Betreiber und Kunden ist das relevant, weil in Reasoning-Spuren wertvolle emergente Fähigkeiten und Ergebnisse des Prompt-Engineerings sichtbar werden – und sich dort geistiges Eigentum sowie potenzielle Dual-Use-Risiken konzentrieren.

Als Wettbewerbsmethode setzt Destillation technisch auf systematische Abfragen, mit denen Modelle dazu gebracht werden, Zwischenschritte ihres Reasonings, Chain-of-Thought oder wichtige Hinweise preiszugeben, die anschließend in eine nachgelagerte Trainingspipeline einfließen können. Angreifer können Millionen von Prompts automatisieren, sie über Proxy-Netzwerke oder Kontofarmen leiten und die Ausgaben zu Datensätzen zusammenfügen. Ziel ist es, Fähigkeiten nachzubilden, ohne Zugriff auf Trainingsdaten oder Modellgewichte zu haben. Anthropics Einordnung macht deutlich, warum große KI-Labore das massenhafte Abschöpfen von Reasoning inzwischen sowohl als Angriff auf geistiges Eigentum als auch als sicherheitspolitisch relevantes Risiko betrachten: Die Ausgaben können konkurrierenden Modellen ermöglichen, höher entwickelte Verhaltensweisen nachzuahmen, ohne dass dafür vergleichbare Investitionen in Forschung und Entwicklung nötig sind.

Anthropic nennt mehrere eingeführte Schutzmaßnahmen: den Zugang zu geschütztem Reasoning beschränken, Proxy-Nutzung und koordinierte Abfragemuster algorithmisch erkennen, Abschöpfungsverhalten automatisch drosseln und blockieren sowie gezielt Konten sperren, die mit Destillationskampagnen in Verbindung stehen. Das Unternehmen gibt außerdem an, dass die systemweite Falsch-Positiv-Rate unter 0,1 % liegt. Zusammengenommen verbinden diese Maßnahmen Verhaltensanalysen, Richtlinienvorgaben und die Durchsetzung auf der Plattform. Für Unternehmenskunden der API und Plattformarchitekten stellt sich vor allem die Frage nach den Zielkonflikten: Wie lässt sich missbräuchliches Abschöpfen begrenzen, ohne legitime Forschung, Entwicklertests und Fine-Tuning-Workflows zu behindern?

Anthropic wirft Z.ai vor, bei der Entwicklung von GLM-5.3 versucht zu haben, die Fähigkeiten von Claude zu destillieren. Dieser Vorwurf wirft ernsthafte Wettbewerbs- und Rechtsfragen auf. Die öffentliche Zuschreibung verschärft die Dynamik des Wettrüstens: Labore werden ihre Schutzmaßnahmen öffentlich stärken und im Hintergrund ausgefeiltere Erkennungssysteme einsetzen, während Angreifer Proxys, langsame und unauffällige Abschöpfung sowie synthetische Prompt-Verschleierung weiterentwickeln. Der Streit setzt auch die Branchenstandards für verantwortungsvolle Forschung unter Druck: Welche Experimente sind legitim, welche missbräuchlich, und wann sollten unabhängige Prüfungen durch Dritte oder gemeinsame Regeln greifen?

Für alle, die Modelle entwickeln oder einkaufen, gibt es zwei zentrale praktische Erkenntnisse. Erstens müssen Plattformen von Anfang an Telemetrie zur Erkennung von Abschöpfungsversuchen und klare API-Bedingungen vorsehen, die zulässiges Forschungsverhalten und Schwellenwerte für die automatisierte Erkennung von Missbrauch festlegen. Zweitens müssen Produkt- und Sicherheitsteams auf Fehlalarme und Konflikte mit legitimer Forschung vorbereitet sein: Es braucht Abhilfewege, Einspruchsverfahren und Zugangsstufen für Forschende, damit Innovation nicht ausgebremst wird und zugleich geistiges Eigentum sowie die Sicherheit nachgelagerter Anwendungen geschützt sind.