OpenAI stoppt Extraktionskampagne für Argumentationsmuster mit Verbindungen zu Moonshot AI

OpenAI hat bekannt gegeben, eine koordinierte Destillationskampagne unterbunden zu haben, die darauf ausgelegt war, systematisch geschützte Argumentations- und Denkfähigkeiten aus seinen Modellen für künstliche Intelligenz zu extrahieren. Das Unternehmen führte einen zentralen Teil der Aktivitäten auf Personen im Umfeld von Moonshot AI mit Sitz in Peking zurück, legte jedoch keine spezifischen technischen Belege für diese Zuordnung offen.

Manipulation verschlüsselter Denkpfade

Nach Angaben von OpenAI gelang den Angreifern kein Einbruch in interne Datenbanken, keine Kompromittierung der Verschlüsselung und kein direkter Zugriff auf Nutzergespräche. Stattdessen manipulierten sie reguläre Modellinteraktionen, um verborgene Denkprozesse entgegen den Nutzungsbedingungen der Plattform in sichtbaren Ausgaben darzustellen. Die Aktivitäten begannen am 1. Juli 2026 mit geringem Volumen und stiegen am 24. und 25. Juli auf 16.000 Extraktionsanfragen über mehr als 4.000 Konten an. Ermittler entdeckten schließlich verwandte Prompt-Muster bei über 15.000 Nutzern, bevor die Operation am 28. Juli 2026 vollständig gestoppt wurde.

Die angewendete Technik basiert auf gegnerischer Destillation („Adversarial Distillation“), bei der unbefugte Akteure Ausgabespuren eines Zielmodells nutzen, um Fähigkeiten in einem anderen Modell zu trainieren, zu verfeinern oder zu replizieren. OpenAI schloss eine Schwachstelle, die es Angreifern mit Zugang zu verschlüsselten Denkpfaden anderer Nutzer ermöglichte, diese erneut einzuspielen und den Klartextinhalt wiederherzustellen. Zudem implementierte das Unternehmen automatisierte Prüfungen zur Abfangung gestreamter Antworten, die Denkgeschehnisse offenlegen könnten, und sperrte die beteiligten Konten.

Systemische Modellrisiken und Branchenauswirkungen

Der Vorfall schließt an akademische Forschungen vom August 2026 durch MATS Research, das ELLIS Institute Tübingen und Synk an. Die Forscher identifizierten systemische Schwachstellen in Modellen von GPT, Claude und Gemini, bei denen verschlüsselte Denkpfade über Sitzungen und Nutzer hinweg austauschbar blieben. Durch das Einspeisen gestohlener Denkpfade in schwächere, weniger geschützte Modelle desselben Anbieters konnten Angreifer das System zwingen, verborgene Argumentationsschritte im Klartext preiszugeben, ohne das primäre Modell direkt per Jailbreak zu kompromittieren.

OpenAI betonte, dass unüberwachte Destillation Sicherheitsrisiken birgt, da extrahierte Denkprozesse fortgeschrittene Fähigkeiten – einschließlich technischem Wissen mit doppeltem Verwendungszweck – auf Drittanbieter-Modelle übertragen können, während ursprüngliche Schutzmechanismen und Inhaltsfilter umgangen werden. Dieser Vorfall stellt einen weiteren Konflikt um Destillationspraktiken unter Beteiligung von Moonshot AI dar; Anthropic warf dem Unternehmen zuvor vor, Kundenanfragen heimlich an Claude weitergeleitet zu haben, um Antworten bereitzustellen und Dialoge für das Training eigener Chain-of-Thought-Modelle unter der Kennung GTG-16002 zu speichern.

KI-generierte redaktionelle Illustration; kein Dokumentarfoto.

Quelle: OpenAI Disrupts Reasoning Extraction Campaign Linked to Moonshot AI Associates