Es ist ein Geschäftsmodell, das in der KI-Branche inzwischen eigene Firmen trägt: fremde Modelle systematisch ausquetschen, um mit den Antworten ein eigenes, billigeres Modell zu trainieren. Anthropic nennt das Distillation und beschreibt es am 12. Oktober in einem technischen Blogpost als „verdeckte, industriell organisierte Kampagnen, um die Fähigkeiten eines Modells abzugreifen und in ein anderes zu kopieren“. Jetzt zeigt das Unternehmen, was es dagegen unternommen hat.
DAS PROBLEM: Dein Denkweg ist das wertvollste Gut
Bei modernen Sprachmodellen steckt der eigentliche Wert nicht nur in der Antwort, sondern im Denkweg dorthin — dem sogenannten Reasoning. Wer diesen Denkweg in großer Zahl absaugt, kann damit ein eigenes Modell trainieren, das fast genauso gut wirkt, ohne die milliardenschwere Trainingsinfrastruktur selbst bezahlt zu haben. Genau das versuchen Distillation-Farmen: Über Netzwerke gefälschter Accounts stellen sie Claude systematisch Aufgaben und sammeln die Antworten in industriellem Maßstab.
DREI SCHICHTEN ABWEHR
Anthropics Antwort besteht aus drei Bausteinen, die zusammen greifen:
- „Preserved thinking“: Neue API-Accounts — seit dem 31. August 2026 — können vorherige Kontext-Blöcke des Denkwegs nicht mehr nachträglich bearbeiten. Das verhindert einen gängigen Trick, bei dem Angreifer den sichtbaren Reasoning-Text manipulieren, um mehr Rohdaten herauszukitzeln.
- Ein zweistufiger Klassifikator erkennt verdächtige Abfragemuster mit einer False-Positive-Rate unter 0,1 Prozent — also fast ohne versehentliche Sperrung normaler Nutzer.
- Strengere Nutzungsgrenzen und Accountsperren für wiederholte Verstöße, oft binnen unter zwei Stunden nach Entdeckung.
Anthropic betont, dass der Klassifikator alle Techniken erkennt, die im eigenen September-Bericht zu Distillation-Mustern beschrieben wurden — ein Hinweis darauf, dass die Abwehr gezielt aus eigener Beobachtung entwickelt wurde, nicht nach allgemeiner Theorie.
DIE ZAHLEN: Ein Faktor zwischen 10 und 100
Nach eigenen Angaben zeigt sich die Wirkung deutlich: Die abgegriffene Datenmenge sank um 90 bis 99 Prozent, die Zahl extrahierbarer Reasoning-Tokens um den Faktor 10 bis über 100. Betroffen von der Klassifikator-Prüfung sind die Modelle Claude Sonnet 5.5, Opus 5 und 5.5 sowie Fable 5 und 5.1 — also praktisch die gesamte aktuelle API-Modellfamilie.
Ehrlich bleiben muss man an einer Stelle: Diese Zahlen stammen aus Anthropics eigener Auswertung, eine unabhängige Prüfung von außen gibt es bislang nicht. Dass irgendwelche Distillation-Versuche weiterlaufen, ist angesichts der wirtschaftlichen Anreize wahrscheinlich — die Abwehr senkt die Ausbeute, beendet das Geschäft aber vermutlich nicht komplett.
WAS DAS FÜR DICH BEDEUTET
Für normale Nutzer der Claude-API ändert sich nichts am Alltag. Wer reguläre Anfragen stellt, bemerkt vom neuen Schutz nichts — die niedrige False-Positive-Rate ist genau dafür gemacht. Relevant wird das Thema höchstens für Entwickler, die selbst größere automatisierte Abfrage-Pipelines gegen die API fahren: Wer dabei versehentlich Muster erzeugt, die wie systematisches Absaugen aussehen, kann in seltenen Fällen anecken.
Für die Branche insgesamt ist die Meldung trotzdem bemerkenswert: Sie zeigt, wie viel technischer Aufwand inzwischen allein dafür nötig ist, das eigene Modell vor Konkurrenten zu schützen, die keine eigene Forschung bezahlen wollen.
FAZIT: Ein stiller Wettlauf um Trainingsdaten
Modell-Diebstahl per Distillation ist kein neues Phänomen, aber Anthropics Zahlen zeigen erstmals öffentlich das Ausmaß: industrielle Abgreif-Kampagnen, die eigene Gegenmaßnahmen auf Infrastruktur-Ebene nötig machen. Für die Nutzer bleibt die Lehre eher indirekt — der Aufwand, den Anbieter wie Anthropic in solche Abwehr stecken, fließt letztlich in Preise und Entwicklungsgeschwindigkeit der Modelle ein, die wir alle verwenden.