Anthropic erschwert das Kopieren von Claude

Ein einzelner Prompt wirkt harmlos. Eine Bitte um Programmcode, eine mathematische Herleitung, eine Datenanalyse. Selbst hundert ähnliche Anfragen müssen noch keinen Verdacht wecken. Stellen jedoch Tausende Konten millionenfach nahezu identische Aufgaben und interessieren sich auffällig stark für die ausführlichen Lösungswege eines KI-Modells, wird aus dem gewöhnlichen Dialog eine industrielle Förderanlage.

Das begehrte Rohmaterial besteht weder aus Kundendaten noch aus dem Quellcode des Modells. Abgeschöpft werden seine Fähigkeiten: die Art, wie es Probleme zerlegt, Werkzeuge einsetzt, Fehler korrigiert und aus mehreren Zwischenschritten eine schlüssige Antwort entwickelt. Mit genügend Beispielen kann ein anderes Modell lernen, das Verhalten des leistungsfähigeren Systems nachzuahmen.

Anthropic zufolge ist dieses Absaugen nun erheblich schwieriger. Das Unternehmen teilte am 12. Oktober 2026 mit, neue Schutzmaßnahmen hätten die Zahl der von mutmaßlichen Angreifern abgegriffenen „Reasoning Tokens“ um den Faktor zehn bis hundert gesenkt. Die erbeutete Datenmenge sei demnach um rund 90 bis 99 Prozent zurückgegangen. Zehntausende beteiligte Konten seien gesperrt worden, viele davon weniger als zwei Stunden nach Beginn einer Kampagne. Recherchequelle: anthropic.com→

Bemerkenswert sind diese Zahlen durchaus. Allerdings stammen sie von Anthropic selbst. Bislang gibt es weder eine unabhängige Überprüfung der Messmethode noch der Zuordnung verdächtiger Konten zu mutmaßlichen Angreifern. Das Unternehmen räumt außerdem ein, noch keinen besonders hartnäckigen Angriff erlebt zu haben, der sämtliche neuen Verteidigungslinien systematisch auf die Probe stellt.

Ein endgültiger Sieg ist das nicht. Vielmehr beginnt eine neue Runde in einem Wettrüsten, das weitgehend unsichtbar über Programmierschnittstellen ausgetragen wird.

Vom nützlichen Verfahren zum unerlaubten Kopieren

Modelldestillation ist zunächst keine anrüchige Technik. Große KI-Systeme leisten viel, sind aber teuer und langsam. Entwickler lassen deshalb ein großes „Lehrermodell“ hochwertige Antworten erzeugen und trainieren damit ein kleineres „Schülermodell“. Es soll einen Teil der Fähigkeiten übernehmen und zugleich mit weniger Rechenleistung auskommen.

OpenAI bot Entwicklern bereits 2024 einen entsprechenden Arbeitsablauf an: Antworten eines leistungsfähigen Modells konnten innerhalb der eigenen Plattform genutzt werden, um günstigere Modelle auf bestimmte Aufgaben zu spezialisieren. Dort ist Distillation ein ausdrücklich vorgesehener Prozess, bei dem der Anbieter die beteiligten Modelle, Datenwege und Nutzungsbedingungen kontrolliert. Recherchequelle: openai.com→

Problematisch wird das Verfahren, sobald ein Unternehmen die Systeme eines Konkurrenten ohne Erlaubnis in eine Antwortfabrik verwandelt. Der Angreifer stellt dann nicht gelegentlich eine Frage, sondern produziert planmäßig Trainingsmaterial. Seine Konten arbeiten im Schichtbetrieb, wechseln IP-Adressen, verteilen Anfragen auf Proxy-Dienste und kehren unter neuen Identitäten zurück, sobald ein Zugang gesperrt wird.

Dabei zählt nicht allein die sichtbare Antwort. Besonders wertvoll sind ausführliche Begründungsspuren, häufig als Chain of Thought bezeichnet. Sie zeigen dem Schülermodell nicht nur, welches Ergebnis richtig sein soll, sondern auch, wie sich ein komplexer Lösungsweg gliedern lässt.

Wie groß der Unterschied ausfallen kann, veranschaulicht Anthropic mit einem internen Versuch am Programmierbenchmark SWE-bench Verified. Ein Modell, das mit vollständigen Begründungsspuren von Claude Opus 4.8 trainiert worden sei, habe 80,4 Prozent erreicht. Mit zusammengefassten Herleitungen seien es lediglich 71,8 Prozent gewesen. Für einen menschlichen Nutzer mag die gekürzte Fassung weiterhin hilfreich sein. Als Lehrmaterial für ein anderes Modell ist sie jedoch deutlich weniger ergiebig.

Millionen Gespräche als Lehrmaterial

Einen Eindruck davon, welches Ausmaß solche Operationen annehmen können, vermitteln Berichte von Anthropic aus dem September. Demnach habe eine Alibaba zugerechnete Kampagne zwischen Mai und Juli 2026 mehr als 151 Millionen Interaktionen mit Claude erzeugt. Moonshot AI seien im selben Zeitraum über 23 Millionen Interaktionen zugeordnet worden, DeepSeek innerhalb von 14 Tagen mehr als 12,1 Millionen und Zhipu innerhalb von 17 Tagen rund 3,4 Millionen.

Anthropic stützt diese Zuordnungen unter anderem auf IP-Adressen, Metadaten, gemeinsam genutzte Infrastruktur und zeitliche Übereinstimmungen mit Entwicklungsprojekten der betreffenden Unternehmen. Dennoch stammen die Angaben von einem Unternehmen, das in einem scharfen Wettbewerb um Modelle, Kunden und geopolitischen Einfluss steht. Die genannten Unternehmen haben Anthropics Darstellung der Details nicht bestätigt. Recherchequelle: anthropic.com→

Das von Anthropic beschriebene Muster lässt sich leichter erkennen als der einzelne Prompt. Verdächtig sind das enorme Volumen, häufig wiederkehrende Strukturen und die Konzentration auf besonders wertvolle Fähigkeiten wie Programmierung, Werkzeugnutzung und das Lösen langwieriger Aufgaben. Eine einzelne Anfrage kann vollkommen legitim sein. Für Millionen fein variierter Fassungen derselben Aufgabe gilt das womöglich nicht mehr.

Doch die Angreifer passen sich an. Nachdem Anthropic ausführliche Herleitungen nur noch zusammengefasst ausgegeben hatte, versuchten manche Nutzer, das Modell nachträglich zur Offenlegung zu bewegen. Sie forderten es etwa auf, seine vorherige Begründung wortgetreu zu wiederholen, in eine andere Sprache zu übersetzen oder zwischen bestimmten Textmarkierungen auszugeben. Laut Anthropic soll ein Labor 12.000 unterschiedliche Varianten solcher Aufforderungen getestet haben.

Die Denkspur bekommt ein Siegel

Ein wichtiger Baustein der neuen Verteidigung heißt „Preserved Thinking“. Dabei werden Begründungsblöcke technisch an ihren ursprünglichen Kontext gebunden. Claude prüft, ob ein Block tatsächlich von einem dafür zugelassenen Modell erzeugt wurde und ob frühere Nachrichten, Systemanweisungen oder verwendete Werkzeuge nachträglich verändert wurden.

Auch die Übertragung solcher Begründungsblöcke zwischen Modellen und Konten wird eingeschränkt. Bestimmte Blöcke können nur von festgelegten Claude-Versionen gelesen werden; bei Sonnet 5.5 und Haiku 5.5 bleiben sie zudem an das Konto gebunden, das sie erzeugt hat. Ein kopierter Block lässt sich dadurch nicht mehr beliebig in eine andere Sitzung übertragen, um ein schwächer geschütztes Modell zur Entschlüsselung zu verleiten. Recherchequelle: Claude Platform Docs→

Dass diese Gefahr keineswegs nur theoretischer Natur ist, zeigte eine im August 2026 veröffentlichte Forschungsarbeit. Die Autoren beschrieben darin, wie sich verschlüsselte Begründungsblöcke zwischen Sitzungen oder Modellen verschieben und über schwächer geschützte Systeme wieder lesbar machen ließen. Nach ihren Angaben funktionierten Varianten des Angriffs bei Anthropic, OpenAI und Google. Bei der Untersuchung öffentlich zugänglicher Protokolle fanden sie außerdem personenbezogene Informationen und Zugangsdaten innerhalb solcher Blöcke. Recherchequelle: arxiv.org→

Neben der technischen Bindung nutzt Anthropic ein zweistufiges Filtersystem. Zunächst untersucht eine ressourcenschonende Stufe den laufenden Verkehr. Auffällige Gespräche werden anschließend von einem leistungsfähigeren Klassifikator geprüft. Das Prinzip ähnelt einer Kontrolle am Flughafen: Nicht jeder Koffer wird vollständig zerlegt, doch ein verdächtiges Röntgenbild führt zu einer eingehenden Prüfung.

Ursprünglich war diese Architektur für die Abwehr gefährlicher Anfragen entwickelt worden. In früheren Tests senkte eine verwandte Klassifikatorgeneration die Erfolgsquote von Jailbreak-Angriffen stark, verursachte jedoch zusätzliche Rechenkosten und gelegentlich unbegründete Ablehnungen. Die weiterentwickelte Variante verursacht nach Angaben von Anthropic nur noch ungefähr ein Prozent zusätzlichen Rechenaufwand. Recherchequelle: anthropic.com→

Sicherheit hat Nebenwirkungen

Ganz geräuschlos schließen sich die Türen nicht. Einige Entwickler mussten ihre Anwendungen anpassen, weil sich frühere Gesprächsteile nun nicht mehr beliebig verändern lassen. Wird ein geschützter Begründungsblock verworfen, muss das Modell einen Teil seiner Denkarbeit erneut erzeugen. Die Folge können längere und teurere Antworten sein; zudem kann sich in bestimmten Arbeitsabläufen ihre Qualität verändern.

Dahinter steht ein heikler Grundkonflikt. Ausführliche Herleitungen helfen Entwicklern, Fehler zu untersuchen und komplexe Ergebnisse nachzuvollziehen. Zugleich liefern dieselben Informationen hervorragendes Trainingsmaterial für Konkurrenten. Was der Kontrolle dient, kann zugleich zur Kopiervorlage werden.

Anthropic schränkt deshalb die Offenlegung solcher Herleitungen ein. Verdächtige Abfragen werden blockiert, Konten mit wiederholten Umgehungsversuchen in ihrer Nutzung eingeschränkt oder gesperrt. Seit dem 24. September berechnet das Unternehmen in bestimmten Bereichen sogar Anfragen, die das Schutzsystem abfängt, bevor Claude antwortet. Umgehungsversuche sollen nicht nur scheitern, sondern Geld kosten.

Damit rückt für die KI-Branche eine neue Form schützenswerten Know-hows in den Vordergrund. Geschützt werden nicht allein Datensätze, Programme oder Modellgewichte. Unter Verschluss gerät das Verhalten selbst: die charakteristische Art, in der ein System Aufgaben bearbeitet.

Ein Modell lässt sich schließlich nicht nur kopieren, indem jemand seinen Bauplan stiehlt. Man kann ihm auch lange genug bei der Arbeit zusehen. Genau dieses Zuschauen wird nun schwieriger. Nicht unmöglich – aber teurer, langsamer und riskanter. Das stille Gespräch zwischen Mensch und Maschine bekommt Kontrollschleusen. Und hinter jeder scheinbar belanglosen Frage steht plötzlich eine zweite: Will hier jemand eine Antwort, oder baut er bereits den nächsten Lehrer nach?

Weiterführende Informationen

Quellenhinweis: Einzelne Fakten, Einschätzungen und Prognosen dieses Beitrags stützen sich auf Veröffentlichungen der nachfolgend genannten Unternehmen und Institutionen. Die Links dienen zugleich der weiterführenden Information.

NeoTeo – Anthropic wirft chinesischen KI-Firmen Claude-Destillation im großen Stil vor
Der Beitrag erläutert Umfang, Zeiträume, Infrastruktur und Vorgehensweisen der Alibaba, Moonshot AI, DeepSeek und Zhipu zugeschriebenen Kampagnen.
https://www.neoteo.com/de/anthropic-wirft-chinesischen-ki-firmen-claude-destillation-im-grossen-stil-vor

Claude Platform Docs – Erhaltenes Nachdenken
Die technische Originaldokumentation erklärt die Modell-, Kontext- und Kontobindung geschützter Thinking-Blöcke und deren Folgen für API-Integrationen.
https://platform.claude.com/docs/de/build-with-claude/preserved-thinking

IT BOLTWISE – Anthropic wehrt Distillation-Angriffe auf Claude mit neuen Schutzmechanismen ab
Der Fachbeitrag erläutert anhand der SWE-bench-Werte von 80,4 und 71,8 Prozent, welchen zusätzlichen Trainingswert vollständige Begründungsspuren besitzen.
https://www.it-boltwise.de/anthropic-wehrt-distillation-angriffe-auf-claude-mit-neuen-schutzmechanismen-ab.html