США звинуватили китайські AI-компанії у промисловому масштабі копіювання ШІ-моделей

Як китайські компанії можуть копіювати знання американських ШІ?

Американські відомства заявили про масштабне використання технології, яка сама по собі не є незаконною чи шкідливою. Йдеться про дистиляцію знань – метод машинного навчання, за якого менша модель навчається від більшої та складнішої системи.

Попередження опублікувало Агентство з кібербезпеки та безпеки інфраструктури США (CISA) спільно з Агентством національної безпеки (NSA) та Федеральним бюро розслідувань (FBI). У документі американські відомства назвали виявлену активність "агресивною, зловмисною та цілеспрямованою дистиляцією у промислових масштабах".

Сам принцип дистиляції при цьому є звичайним інструментом у розробці штучного інтелекту. Його використовують, щоб перенести знання великої попередньо навченої моделі, яку називають "вчителем", до меншої моделі-"учня". Це дозволяє створювати компактніші системи, які намагаються відтворювати можливості значно більших моделей.

Проблема, на яку звертають увагу американські спецслужби, полягає не в самому методі, а в способі його застосування.

За версією CISA, китайські розробники замість того, щоб витрачати місяці та мільйони доларів на самостійне отримання певних можливостей, могли надсилати величезну кількість спеціально сформованих запитів до провідних американських ШІ-моделей.

Отримані відповіді потім використовувалися як матеріал для навчання власних систем.

Таким чином, умовно кажучи, замість того щоб самостійно витрачати величезні ресурси на пошук способу виконання певного завдання, розробник може поставити вже готовій передовій моделі мільйони різних запитань і використати її відповіді для вдосконалення власної системи.

Які компанії фігурують у попередженні?

У документі американських відомств згадуються одразу кілька великих китайських розробників.

За даними CISA, DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun та Z.AI могли з кінця 2024 року отримати таким способом мільярди токенів у межах мільйонів обмінів або запитів до американських передових моделей.

Йдеться, зокрема, про моделі DeepSeek R1 та V3, Kimi-K2 та Kimi-K3 від Moonshot AI, а також MiniMax M2.

На іншому боці опинилися американські та західні моделі. Серед них у документі згадуються різні версії GPT, Claude, Gemini та Grok – від попередніх поколінь на кшталт GPT-4, Claude 3.7 і Gemini 2.5 Flash Preview до новіших систем, зокрема GPT-5 та Claude Fable 5.

Американські відомства також вважають, що така діяльність, імовірно, відбувалася за обізнаності уряду Китаю.

Водночас із опублікованого матеріалу не випливає пряме твердження про те, що китайська влада безпосередньо санкціонувала кожну з описаних операцій.

Як система могла обходити обмеження?

Американські відомства стверджують, що кампанії були організовані таким чином, щоб ускладнити їх виявлення та блокування.

Замість використання одного облікового запису або одного каналу доступу запити могли розподілятися між великою кількістю різних точок. У попередженні згадуються:

• численні облікові записи;
• різні точки доступу до API;
• кілька хмарних провайдерів;
• сторонні агрегатори ШІ;
• проксі-сервіси;
• так звані "транзитні станції";
• спільне використання платних підписок між розробниками.

Така схема дозволяє розподіляти величезну кількість запитів між різними сервісами та обліковими записами. Для постачальника ШІ це ускладнює визначення того, що насправді відбувається не звичайне користування моделлю, а систематичний збір її відповідей для подальшого навчання іншої системи.

За оцінкою CISA, йдеться саме про промисловий масштаб. Тобто проблема полягає не в окремому випадку копіювання або використанні чужої моделі, а в організованому процесі, який може генерувати величезні масиви даних.

Чому це стало питанням національної безпеки?

Американські відомства пов'язують проблему не лише з конкуренцією між окремими компаніями.

У їхньому попередженні зазначається, що систематичне вилучення запатентованих або закритих можливостей західних моделей може загрожувати технологічному лідерству США.

Це є систематичним вилученням запатентованих функціональних можливостей і можливостей, що загрожує технологічному лідерству США. Протидія дистиляції у промислових масштабах потребує скоординованої відповіді всієї екосистеми ШІ, включно з ефективним обміном інформацією між урядом США, приватним сектором та країнами-союзниками.

Тут є важливий економічний аспект.

Розробка передових ШІ-моделей потребує величезних витрат на обчислювальні ресурси, дослідження, дані та роботу спеціалістів. Якщо конкурент може отримувати частину необхідних знань, систематично опитуючи вже готові моделі, це потенційно скорочує час і ресурси, необхідні для створення власної системи. Саме тому американські відомства розглядають дистиляцію не просто як технічну проблему, а як питання захисту технологічних переваг.

Що американські компанії можуть зробити?

CISA, NSA та FBI рекомендують розробникам ШІ не обмежуватися традиційними засобами захисту акаунтів.

Перший напрямок – пошук аномальної поведінки. Компаніям радять відстежувати підозрілі запити, облікові записи, мережі та характер використання моделей.

Окремо пропонується аналізувати співвідношення між платною підпискою та фактичним обсягом використання. Незвичайно високе навантаження одразу після створення нового акаунта також може бути сигналом потенційної дистиляції. Ще одним індикатором можуть бути моделі використання, характерні для великих організацій, коли через певний набір облікових записів проходить надзвичайно великий обсяг запитів.

Другий напрямок – цілеспрямована зміна відповідей.

Американські відомства прямо пропонують розробникам змінювати поведінку моделей у випадках, коли система виявляє ознаки зловмисної дистиляції. У документі це описано як "цільові зміни у відповідях".

Мета полягає в тому, щоб "тонко змінювати відповіді для підозрілих спроб зловмисної дистиляції, зменшуючи вигоду для компаній, які проводять кампанії дистиляції у промислових масштабах". Іншими словами, якщо система визначає, що її використовують не звичайні користувачі, а організована кампанія зі збору даних для навчання іншої моделі, постачальник може навмисно змінювати характер відповідей.

Третій напрямок – обмін розвідданими між компаніями.

CISA закликає розробників ШІ об'єднувати інформацію про підозрілу активність і зіставляти дані між різними постачальниками моделей, хмарними платформами та агрегаторами API. Це важливо через саму структуру описаної схеми. Якщо одна компанія бачить лише частину активності, окремі запити можуть виглядати цілком звичайними. Але якщо об'єднати дані кількох провайдерів, можна виявити значно масштабнішу картину.

Дистиляція стає новим фронтом конкуренції ШІ

Ситуація показує, що конкуренція між розробниками штучного інтелекту дедалі більше переходить за межі звичайного порівняння моделей.

З одного боку, дистиляція знань залишається легітимною технологією машинного навчання. Вона використовується для стиснення моделей і перенесення їхніх можливостей у компактніші системи. З іншого боку, американські спецслужби стверджують, що масове та приховане вилучення відповідей із чужих моделей може перетворитися на інструмент промислового отримання технологічних знань.

Якщо описані CISA, NSA та FBI масштаби підтвердяться, боротьба між розробниками ШІ дедалі більше залежатиме не лише від того, хто створює кращі моделі, а й від того, хто краще захищає їхні можливості від систематичного вилучення.

Для американських компаній це означає новий тип кіберзагрози, у якому метою атаки стає не проникнення в корпоративну мережу чи викрадення файлів, а отримання мільярдів фрагментів поведінки та знань самої ШІ-моделі. Саме тому CISA, NSA та FBI наполягають на спільній реакції державних структур, приватних компаній та союзників США.