Amerikaanse cybersecurity- en inlichtingendiensten beschuldigen China-gebaseerde AI-bedrijven van AI distillation-aanvallen. Volgens een gezamenlijke waarschuwing van onder meer NSA, CISA en FBI gaat het niet om regulier onderzoek, maar om doelgerichte en systematische pogingen om de waardevolle mogelijkheden van Amerikaanse “frontier”-modellen te extraheren.
De kern van de zorg: deze activiteiten zouden op industriële schaal plaatsvinden en deel uitmaken van een ontwikkelstrategie. Tegelijk signaleren experts dat het onderscheid tussen misbruik en legitiem modelgebruik lastig kan zijn, zeker wanneer aanvallen via meerdere omgevingen worden verspreid.
Wat bedoelen de instanties met “distillation”?
“Distillation” is een bekende methode binnen AI-onderzoek. In grote lijnen wordt een nieuw model getraind op basis van output van een ander (meestal krachtiger) model. Dat kan helpen om prestaties te vertalen naar een kleiner of efficiënter systeem, zonder elk detail van het originele model te hoeven repliceren.
In de waarschuwing wordt distillation op zich dus niet als verdacht bestempeld. Wat wel wordt bekritiseerd, is de manier waarop en de schaal waarop sommige partijen dit zouden inzetten: agressief, gericht en met het doel om beperkte, propriëtaire functionaliteiten te onttrekken aan Amerikaanse frontier-modellen.
Waarom spreken over “systematische extractie”?
De instanties stellen dat China-gebaseerde AI-bedrijven een aanpak volgen die lijkt op het ontginnen van premium kennis uit Amerikaanse modellen. Daarbij zou het gaan om het verzamelen van enorme hoeveelheden tokens over miljoenen verzoeken, met campagnes die ten minste vanaf eind 2024 lopen.
De beschrijving “industrial-scale” wijst erop dat het geen incidentele poging betreft. Het gaat volgens de bulletin-auteurs om een herhaalbaar proces dat grote aantallen uitwisselingen kan verwerken, waardoor de aanvaller binnen kortere tijd de gewenste vaardigheden kan aanleren.
Voorbeelden van beschuldigde AI-bedrijven en doelen
De waarschuwing noemt verschillende bedrijven en omschrijft wat zij volgens de instanties zouden hebben gedistilleerd of geëxtraheerd. Voorbeelden die in de publicatie terugkomen:
- DeepSeek: campagnes van eind 2024 tot halverwege 2025, gericht op redenering (reasoning), gespecialiseerde optimalisaties en domeinspecifieke functies, ter verbetering van R1 en V3.
- Moonshot AI: extractie van Claude Fable 5-data voor Kimi-K3 en van GPT-4o-data voor Kimi-K2.
- Alibaba: distillatie van meerdere Claude-varianten en GPT-5 om o.a. software-engineering, klantgespreksfunctionaliteit, en creatie van beelden/personages te verbeteren, met integratie van technieken zoals RL, SFT en distillation.
- MiniMax: distillatie van o.a. chain-of-thought (CoT) redenering, reinforcement learning (RL), supervised fine-tuning (SFT) en software engineering-capaciteiten voor het verbeteren van een eigen model.
- StepFun: distillatie van content uit meerdere Claude- en GPT-varianten om coding en agent-achtige functies te verbeteren.
- Z.AI: extractie van grote hoeveelheden GPT-5.5- en Claude Opus 4.8-data om CoT-redeneringsmogelijkheden te ontwikkelen.
Let op: de beschuldigingen zijn gebaseerd op signalen en analyses zoals beschreven in de waarschuwing. In deze context gaat het om wat de instanties “aanvallen” noemen, niet om juridische uitspraken.
Hoe verlopen AI distillation-aanvallen in de praktijk?
Volgens de publicatie worden requests op verschillende manieren gerouteerd om ongeautoriseerde toegang mogelijk te maken en om te voorkomen dat herkomst of intentie goed zichtbaar wordt. Daarbij worden met name drie routes genoemd:
- API’s als kanaal om output te verkrijgen en grote hoeveelheden trainingsdata te verzamelen.
- Remote cloud providers om schaal en flexibiliteit te vergroten.
- Derde-partij aggregators die metadata (zoals gebruikerskenmerken) kunnen maskeren om detectie te bemoeilijken.
De waarschuwing benadrukt verder dat frontier-modellen officieel beperkt zijn en niet in China worden aangeboden. Daardoor zouden aanvallers zijn aangewezen op binnenlandse alternatieven of om om om geografische beperkingen heen te werken met technieken zoals VPN-achtige toegang, geobfusceerde accounts en geautomatiseerde agents.
Meer dan “veel requests”: keten, omzeiling en kwaliteit
Wat de instanties opvallend vinden, is dat de aanpak verder gaat dan simpelweg “veel prompts sturen”. Ze beschrijven een reeks geavanceerde tactieken:
- CoT-extractie: het trachten te verkrijgen van chain-of-thought redeneringen.
- Failover bij blokkades: automatisch overschakelen tussen paden wanneer beveiligingen vermoedelijke distillation proberen te blokkeren.
- Kwaliteitsframeworks: evalueren of de verzamelde output voldoende informatie bevat om verdedigingsmaatregelen te omzeilen.
- Verspreiding over het ecosysteem: operaties zouden over meerdere providers en platforms worden verdeeld om buiten radar te blijven.
Daar komt bij dat de kosten mogelijk worden gedrukt doordat de aanvallers zouden kunnen profiteren van bulk-aankoop van premium modelabonnementen die intern worden gedeeld tussen teams. Daarmee ontstaat een schaalbaar modelmisbruik dat minder duur is dan wanneer elke dataset van individuele abonnementen moet komen.
Waarom detectie voor organisaties lastig kan zijn
Defenders krijgen in deze dreiging te maken met een praktisch probleem: misbruik lijkt sterk op legitiem gebruik, zeker wanneer aanvallen worden verspreid over meerdere accounts, kanalen en platformen.
In de waarschuwing wordt ook verwezen naar een bredere logica: zodra een aanvaller geavanceerde reasoning en agent-gedrag kan nabootsen zonder zich aan de geldende regels te houden, kan het voor beveiligingsteams lastiger worden om onderscheid te maken tussen normale tooling en offensieve activiteiten.
Daarnaast is er een kanttekening die in het commentaar van security-experts terugkomt: zelfs organisaties die niet direct met frontier-modellen werken, kunnen geraakt worden. Hun API keys en service accounts kunnen namelijk waardevol worden als de toegang tot modelmogelijkheden in handen komt van partijen die niet geautoriseerd zijn.
Wat adviseren instanties: detecteren én mitigeren
De waarschuwing sluit af met aanbevelingen. Kort samengevat komt het neer op drie verdedigingslijnen:
- Detectie en mitigatie op meerdere niveaus: niet alleen kijken naar individuele requests, maar ook naar gedragspatronen en samenhang tussen kanalen.
- Antwoorden subtiel aanpassen bij vermoedelijke kwaadaardige distillation: zodat aanvallen minder bruikbare informatie opleveren en aanvallers minder voordeel halen.
- Correlatie tussen omgevingen: activiteit koppelen over modelproviders, cloudplatforms en API-aggregators heen, om gedistribueerde campagnes zichtbaar te maken.
In essentie gaat het om het doorbreken van de camouflage. Wanneer aanvallen “verspreid en gedistribueerd” zijn, moet monitoring dat eveneens worden: één losse loggingbron is dan niet genoeg.
Vergelijking met eerdere meldingen
Dit is volgens de publicatie niet de eerste keer dat distillation op industriële schaal onder de aandacht komt. Eerder werd bijvoorbeeld al gemeld dat Anthropic campagnes had ontdekt die door DeepSeek, Moonshot AI en MiniMax zouden zijn uitgevoerd om capabilities uit Claude te extraheren.
Ook kwam er recent een melding van Google Threat Intelligence Group naar voren over een stijging in distillation-campagnes gericht op Google-modellen. Daarbij wordt gesproken over aantallen die kunnen oplopen tot honderden miljoenen prompts en focus op visuele en audio-inzichttaken, beeldgeneratie en videogeneratie.
De praktische impact op klanten en partners
Voor bedrijven die samenwerken met of integreren op AI-diensten betekent dit onderwerp dat “toegang” niet alleen gaat over functionele usability, maar ook over misbruikrisico. Wanneer een systeem API-toegang biedt, ontstaat er een mogelijk aanvalsvlak voor massale extractie.
Dat raakt direct aan bredere security-discussies rond AI-ecosystemen en misbruik van legitieme interfaces. Als je meer wilt lezen over het herkennen van misbruik rond AI-acties en agentgedrag, kan dit artikel nuttig zijn: Verborgen prompt-injecties bij AI-agenten: risico en aanpak.
Wat kun je vandaag doen? Een korte checklist
Hoewel de details uit de waarschuwing vooral gericht zijn op nationaal niveau, kun je als organisatie wel degelijk actie ondernemen. Denk aan maatregelen die passen bij de genoemde aanvalspatronen:
- Monitor verdacht patroon-gedrag: grote volumes, herhaalbare request-batches en terugkerende query-structuren.
- Correlate across kanalen: combineer signalen uit API gateways, cloudlogs en eventuele aggregators.
- Bescherm credentials: behandel API keys en service accounts als high-value targets, met strikte rechten en logging.
- Test responskwaliteit bij verdacht verkeer: werk met je AI-dienst en securityteam aan mitigatiestrategieën voor vermoedelijke distillation.
Zo verklein je de kans dat AI distillation-aanvallen ongezien schaalvoordeel opleveren.
Conclusie
De beschuldigingen van NSA, CISA en FBI schetsen een dreiging waarbij AI distillation-aanvallen worden ingezet om op industriële schaal mogelijkheden uit Amerikaanse frontier-modellen te extraheren. Wat de zaak extra gevoelig maakt, is dat de methode vaak camouflageert als normaal modelgebruik, terwijl aanvallers tegelijkertijd omzeilingstactieken combineren met grootschalige kwaliteitssturing.
Voor organisaties betekent dit: investeer in detectie, correlatie en mitigatie rond AI-toegang. Alleen met een gelaagde aanpak is het mogelijk om gedistribueerde campagnes te herkennen en de impact van misbruik te beperken.
Bron: https://thehackernews.com/2026/09/us-agencies-accuse-china-ai-firms-of.html
