Amerikai kiberbiztonsági és hírszerző szervezetek hat kínai mesterségesintelligencia-vállalatot vádolnak azzal, hogy összehangolt, ipari méretű kampányok keretében próbáltak fejlett képességeket kinyerni amerikai frontier AI-modellekből.
A CISA, az NSA és az FBI közös kiberbiztonsági figyelmeztetésében a következő vállalatokat nevezte meg:
- DeepSeek
- Moonshot AI
- Alibaba
- MiniMax
- StepFun
- Z.AI
Az amerikai hatóságok szerint ezek a vállalatok többek között az Anthropic, az OpenAI, a Google és az xAI fejlett modelljeinek képességeit próbálták reprodukálni nagy volumenű automatizált lekérdezések segítségével.
A jelentés szerint a műveletek legalább 2024 végétől zajlottak, és több millió automatizált interakción keresztül több milliárd tokennyi modellkimenetet gyűjthettek össze.
Az amerikai szervek értékelése szerint ezek nem egyszerű kutatási vagy tesztelési projektek voltak, hanem egyes kínai vállalatok modellfejlesztési stratégiájának fontos részét képezhették.
A hatóságok azt is valószínűsítik, hogy a tevékenység a kínai állam tudtával történhetett, ugyanakkor a nyilvános figyelmeztetés nem mutat be közvetlen bizonyítékot arra, hogy a kínai kormány konkrét utasításokat adott volna ezekre a műveletekre.
Kína visszautasította a vádakat, és hangsúlyozta, hogy a modelldesztilláció általánosan használt, technológiailag semleges gépi tanulási módszer.
A vita középpontjában ezért nem maga a knowledge distillation, hanem annak módja, mérete és az esetleges hozzáférési korlátozások megkerülése áll.
Mi az a modelldesztilláció?
A knowledge distillation, vagyis tudásdesztilláció alapvetően legitim gépi tanulási technika.
Lényege, hogy egy nagyobb és fejlettebb „teacher” modell tudását egy kisebb vagy hatékonyabb „student” modellbe próbálják átültetni.
A fejlesztők például:
- kérdéseket küldenek a nagyobb modellnek;
- összegyűjtik annak válaszait;
- a válaszokat tréningadatként használják;
- ezek segítségével továbbfejlesztik saját modelljüket.
Ez önmagában nem rosszindulatú tevékenység.
A technológiát legitim módon is használják:
- kisebb modellek fejlesztésére;
- inference-költségek csökkentésére;
- speciális feladatokra optimalizált modellek létrehozására;
- teljesítmény átvitelére nagyobb modellekből.
A probléma akkor kezdődik, ha a művelet:
- jogosulatlan hozzáférésre épül;
- szolgáltatási feltételeket kerül meg;
- tömegesen létrehozott accountokat használ;
- földrajzi korlátozásokat játszik ki;
- automatizált infrastruktúrán keresztül rejtetten működik.
Több millió lekérdezés, milliárdnyi token
Az amerikai szervek szerint a vizsgált kampányok több csatornán keresztül érték el az amerikai AI-modelleket.
Ilyenek lehettek:
- hivatalos API-k;
- cloud szolgáltatók;
- harmadik fél AI-aggregátorai;
- proxy infrastruktúrák;
- úgynevezett „transfer station” szolgáltatások.
A transfer station olyan közvetítő infrastruktúra lehet, amely:
- nagy számú előfizetést vagy API-accountot kezel;
- más országokon keresztül továbbítja a forgalmat;
- elfedi a valódi felhasználó földrajzi helyét;
- különböző fiókok között osztja szét a lekérdezéseket.
Ez megnehezíti annak felismerését, hogy a látszólag független accountok valójában ugyanahhoz a művelethez tartoznak.
A jelentés szerint egyes rendszerek automatikus failover mechanizmusokat is használtak.
Ha például:
- egy accountot letiltottak;
- elérték a quota limitet;
- egy szolgáltató blokkolta a hozzáférést,
a forgalom automatikusan másik accounton vagy hozzáférési csatornán keresztül folytatódhatott.
Miért nehéz felismerni az ilyen kampányokat?
Egyetlen account aktivitása önmagában nem feltétlenül feltűnő.
A teljes kép csak akkor látható, ha több adatforrást összekapcsolnak:
- account activity;
- API forgalom;
- IP-címek;
- cloud infrastruktúra;
- payment adatok;
- user-agent információk;
- promptminták;
- időbeli viselkedés.
Egy ipari méretű extraction campaign így sok ezer látszólag különálló felhasználóként jelenhet meg.
DeepSeek – reasoning és agentic képességek lehettek célkeresztben
Az amerikai hatóságok szerint a DeepSeek 2024 vége és 2025 közepe között szervezett distillation tevékenységet folytathatott az R1 és V3 modellek fejlesztésének támogatására.
A célzott képességek között állítólag szerepelt:
- reasoning;
- írás;
- kérdés-válasz feladatok;
- agentic funkciók;
- speciális szakmai feladatok;
- jogi jellegű problémamegoldás.
Ez azért fontos, mert a támadó nem feltétlenül egy teljes modell viselkedését próbálja reprodukálni.
Lehetőség van külön-külön célzott datasetek készítésére például:
- programozáshoz;
- matematikához;
- jogi elemzéshez;
- tool use-hoz;
- agentic workflow-khoz.
Moonshot AI – Claude és GPT kimeneteket is használhattak
Az amerikai jelentés szerint a Moonshot AI legalább 2025 közepétől használhatott külső modellekből származó adatokat a Kimi modellcsalád továbbfejlesztésére.
Az állítások szerint a célterületek között szerepeltek:
- matematika;
- software engineering;
- supervised fine-tuning;
- reinforcement learning.
A magas minőségű modellválaszok többféleképpen is hasznosíthatók.
Használhatók:
- közvetlen tréningpéldaként;
- benchmarkként;
- modellek válaszainak rangsorolására;
- reward modell kialakítására.
Alibaba – coding és customer-service képességek
Az amerikai figyelmeztetés szerint az Alibaba több Claude- és GPT-modell képességeiből is megpróbálhatott adatokat kinyerni.
A célzott területek között állítólag szerepeltek:
- software engineering;
- customer-service dialogue;
- képgenerálási vagy karakteralkotási feladatok;
- reinforcement learning;
- supervised fine-tuning;
- distillation workflow-k.
Korábban az Anthropic is nyilvánosan vádolta az Alibaba és Qwen környezetéhez kapcsolható szereplőket nagy volumenű Claude-modelldesztillációval.
MiniMax, StepFun és Z.AI is szerepel a listán
A MiniMax állítólag:
- chain-of-thought reasoning;
- reinforcement learning;
- software engineering;
- fine-tuning
jellegű adatokat gyűjtött több Claude- és Gemini modellből.
A StepFun esetében az amerikai szervek szerint főként:
- coding;
- agentic képességek
fejlesztése lehetett a cél.
A Z.AI – korábbi nevén Zhipu AI – esetében pedig több milliárd tokennyi adat kinyerését állítják GPT- és Claude-modellekből, különösen reasoning képességek fejlesztésére.
Miért érzékeny a chain-of-thought kinyerése?
A chain-of-thought esetében a cél nem egyszerűen egy jó végső válasz megszerzése.
A támadó vagy kutató azt próbálhatja feltárni:
- hogyan bont fel problémákat a modell;
- milyen köztes logikai lépéseket használ;
- hogyan választ stratégiát;
- milyen problémamegoldási mintákat alkalmaz.
A modern szolgáltatók emiatt egyre ritkábban adják vissza a modellek teljes belső reasoning folyamatát.
Ehelyett jellemzően:
- rövid magyarázatot;
- összefoglaló indoklást;
- végső választ
mutatnak a felhasználónak.
Nagy volumenű promptvariációval azonban továbbra is lehet következtetni bizonyos működési mintákra.
Milyen jelek utalhatnak modellextraction kampányra?
Az amerikai advisory több olyan mintát említ, amely gyanús lehet.
24/7 folyamatos aktivitás
Egy emberi felhasználó általában:
- alszik;
- hétvégén máshogy dolgozik;
- időzónához köthető aktivitást mutat.
Egy account, amely folyamatosan nagy forgalmat generál, automatizált lehet.
Szokatlan throughput
Ha egy hagyományos premium subscription account olyan terhelést produkál, mint egy enterprise API deployment, az szintén gyanús.
Frissen létrehozott fiókok gyors quota-kimerítése
Ha új accountok rövid időn belül maximális használatot generálnak, majd eltűnnek, az account farmra utalhat.
Hasonló promptstruktúrák több fióknál
Különböző accountok ugyanazokat vagy erősen hasonló kérdéssorozatokat küldhetik.
Folyamatos infrastruktúra-váltás
Gyanús lehet a:
- user-agent változtatás;
- IP-rotáció;
- payment information változás;
- hirtelen régióváltás.
Ezek közül azonban egyik sem bizonyít önmagában rosszindulatú tevékenységet.
Ezért behavioral correlation szükséges.
Erősebb identity kontrollokat javasolnak
Az amerikai szervek szerint az AI-szolgáltatóknak fokozniuk kell az accountok ellenőrzését, különösen nagy volumenű használat esetén.
Lehetséges intézkedések:
- erősebb identity verification;
- premium account sharing korlátozása;
- részletesebb rate limiting;
- anomalous usage detection;
- cross-account correlation.
A high-volume accountoknál indokolt lehet additional verification.
Cross-platform együttműködés is szükséges
Ha egy szereplőt az egyik szolgáltató letilt, könnyen átmehet:
- másik modellproviderhez;
- másik API aggregatorhoz;
- másik cloud szolgáltatóhoz;
- új accountokra.
Ezért a védekezéshez szolgáltatók közötti információmegosztásra is szükség lehet.
Megosztható indikátor lehet például:
- proxy infrastruktúra;
- accountminták;
- automatizálási viselkedés;
- azonos promptstruktúrák;
- fizetési vagy technikai összefüggések.
Mindezt természetesen az adatvédelmi, szerződéses és jogi követelmények figyelembevételével kell végezni.
A szolgáltató akár más válaszokat is adhat a gyanús accountoknak
A figyelmeztetés egyik érdekes védekezési lehetősége a suspicious-user response shaping.
Egy szolgáltató például:
- csökkentheti a reasoning mélységét;
- variálhatja a válaszstruktúrát;
- kevésbé konzisztens eredményeket adhat;
- gyengébb modellre irányíthatja a gyanús forgalmat.
Ezzel csökkenthető az összegyűjtött training dataset értéke.
Ez azonban kockázatos megoldás, mert legitim:
- kutatás;
- benchmark;
- safety evaluation
eredményeit is torzíthatja.
Differential privacy is szóba kerülhet
További védekezési megoldás lehet a differential privacy.
Ez kontrollált statisztikai zaj hozzáadásával csökkenti annak lehetőségét, hogy túl sok információt lehessen kinyerni a modellből vagy a tréningadatokból.
Hátránya, hogy túl agresszív alkalmazás esetén:
👉 csökkenhet a modell pontossága és hasznossága.
Ezért önmagában nem elég, inkább:
- rate limitinggel;
- account monitoringgal;
- behavioral detectionnel;
- identity kontrollokkal
együtt alkalmazható.
Nemzetbiztonsági kérdéssé vált a modelldesztilláció
Az amerikai kormány nem egyszerűen szerződéses vagy szellemitulajdon-jogi problémaként kezeli a kérdést.
Az aggodalom lényege, hogy fejlett AI-modellek képességei felhasználhatók:
- katonai rendszerekhez;
- hírszerzéshez;
- vulnerability researchhez;
- malware analysishez;
- támadó kiberképességekhez;
- automatizált agentekhez.
Ha egy állam vagy vállalat nagy volumenű distillation segítségével jelentősen lerövidítheti a fejlesztési időt, akkor stratégiai technológiai előnyhöz juthat.
Az amerikai szervek ugyanakkor nem mutattak be nyilvános bizonyítékot arra, hogy az összes említett módon megszerzett képességet már kínai katonai vagy támadó kibertevékenységben alkalmazták volna.
A figyelmeztetés inkább egy lehetséges kockázati láncot ír le:
Model extraction → gyorsabb hazai AI-fejlesztés → fejlettebb stratégiai képességek
Kína kettős mércével vádolja az Egyesült Államokat
A kínai álláspont szerint a distillation széles körben elfogadott machine-learning technika.
Peking azt állítja, hogy:
- amerikai cégek is használnak desztillációt;
- kínai modellekből is történhet hasonló tudásátvitel;
- Washington politikai és kereskedelmi korlátozások igazolására használja fel a témát.
Ez jól mutatja, hogy a technikai probléma gyorsan geopolitikai konfliktussá vált.
Hol húzódik a legitim használat határa?
Ez az egész ügy egyik legnehezebb kérdése.
Az AI-modell kimeneteit a szolgáltató szándékosan adja át a felhasználóknak.
A modellextraction tehát nem feltétlenül igényel:
- szerverfeltörést;
- source code lopást;
- model weight ellopását.
A támadó egyszerűen visszaélhet a legitim interfésszel.
Ez alapvetően különbözik egy klasszikus adatlopási incidenstől.
A jogi kérdések között szerepelhet:
- milyen modellviselkedés védhető szellemi tulajdonként;
- mikor válik a tömeges lekérdezés szerződésszegéssé;
- hogyan kezelhetők az automatizált hozzáférések;
- milyen jogi státusza van a modell által generált tréningadatoknak.
Az AI accountok stratégiai értékű credentialökké váltak
Egy másik fontos tanulság:
👉 egy frontier AI-modellel használható API key vagy premium account már önmagában értékes célpont.
Ezek segítségével nemcsak hagyományos szolgáltatáshoz lehet hozzáférni.
Potenciálisan hozzáférést biztosítanak:
- fejlett reasoninghez;
- coding capabilityhez;
- agentic eszközökhöz;
- drága compute-on futó modellekhez;
- nehezen reprodukálható tudáshoz.
Ezért az AI account security egyre közelebb kerül a klasszikus:
- privileged access management;
- API security;
- fraud prevention
területéhez.
Következtetés
A vita messze túlmutat azon, hogy a knowledge distillation önmagában legitim vagy illegitim technológia-e.
A valódi kérdés az, hogy egy szereplő:
- mekkora volumenben használja;
- megkerüli-e a hozzáférési korlátozásokat;
- hamis accountokat használ-e;
- elrejti-e az infrastruktúráját;
- célzottan próbál-e védett modellképességeket reprodukálni.
Az amerikai kormány szerint az ügy már kritikus technológiai és nemzetbiztonsági kérdés.
Az AI-szolgáltatóknak ezért a jövőben nemcsak a:
- model weights;
- source code;
- training infrastructure
védelmére kell koncentrálniuk.
Magát a modell publikus viselkedését is védeni kell az ipari méretű extractionnel szemben.
A frontier model security így egyre inkább egyesíti:
identity security + API security + behavioral analytics + fraud detection + threat intelligence
területeit.
