США обвинили китайские компании, занимающиеся ИИ, в копировании моделей в промышленных масштабах

Как китайские компании могут копировать знания американских ИИ?

Американские ведомства заявили о масштабном использовании технологии, которая сама по себе не является незаконной или вредоносной. Речь идет о дистилляции знаний – методе машинного обучения, при котором меньшая модель обучается на основе более крупной и сложной системы.

Предупреждение опубликовало Агентство по кибербезопасности и безопасности инфраструктуры США (CISA) совместно с Агентством национальной безопасности (NSA) и Федеральным бюро расследований (FBI). В документе американские ведомства назвали выявленную активность "агрессивной, злонамеренной и целенаправленной дистилляцией в промышленных масштабах".

Сам принцип дистилляции при этом является обычным инструментом в разработке искусственного интеллекта. Его используют, чтобы перенести знания большой предварительно обученной модели, которую называют "учителем", в меньшую модель – "ученика". Это позволяет создавать более компактные системы, которые пытаются воспроизводить возможности значительно более крупных моделей.

Проблема, на которую обращают внимание американские спецслужбы, заключается не в самом методе, а в способе его применения.

По версии CISA, китайские разработчики вместо того, чтобы тратить месяцы и миллионы долларов на самостоятельное получение определенных возможностей, могли отправлять огромное количество специально сформированных запросов к ведущим американским ИИ-моделям.

Полученные ответы затем использовались в качестве материала для обучения собственных систем.

Таким образом, условно говоря, вместо того чтобы самостоятельно тратить огромные ресурсы на поиск способа выполнения определенной задачи, разработчик может задать уже готовой передовой модели миллионы различных вопросов и использовать ее ответы для совершенствования собственной системы.

Какие компании фигурируют в предупреждении?

В документе американских ведомств упоминаются сразу несколько больших китайских разработчиков.

По данным CISA, DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun и Z.AI могли с конца 2024 года получить таким образом миллиарды токенов в рамках миллионов обменов или запросов к американским передовым моделям.

Речь идет, в частности, о моделях DeepSeek R1 и V3, Kimi-K2 и Kimi-K3 от Moonshot AI, а также о MiniMax M2.

С другой стороны оказались американские и западные модели. Среди них в документе упоминаются различные версии GPT, Claude, Gemini и Grok – от предыдущих поколений, таких как GPT-4, Claude 3.7 и Gemini 2.5 Flash Preview, до более новых систем, в частности GPT-5 и Claude Fable 5.

Американские ведомства также считают, что такое деяние, вероятно, осуществлялось с ведома правительства Китая.

В то же время из опубликованного материала не следует прямого утверждения о том, что китайские власти непосредственно санкционировали каждую из описанных операций.

Как система могла обходить ограничения?

Американские ведомства утверждают, что кампании были организованы таким образом, чтобы затруднить их обнаружение и блокировку.

Вместо использования одной учетной записи или одного канала доступа запросы могли распределяться между большим количеством различных точек. В предупреждении упоминаются:

• многочисленные учетные записи;
• различные точки доступа к API;
• несколько облачных провайдеров;
• сторонние агрегаторы ИИ;
• прокси-сервисы;
• так называемые "транзитные станции";
• совместное использование платных подписок между разработчиками.

Такая схема позволяет распределять огромное количество запросов между различными сервисами и учетными записями. Для поставщика ИИ это затрудняет определение того, что на самом деле происходит не обычное использование модели, а систематический сбор ее ответов для дальнейшего обучения другой системы.

По оценке CISA, речь идет именно о промышленном масштабе. То есть проблема заключается не в единичном случае копирования или использования чужой модели, а в организованном процессе, который может генерировать огромные массивы данных.

Почему это стало вопросом национальной безопасности?

Американские ведомства связывают проблему не только с конкуренцией между отдельными компаниями.

В их предупреждении отмечается, что систематическое извлечение запатентованных или закрытых возможностей западных моделей может угрожать технологическому лидерству США.

Речь идет о систематическом извлечении запатентованных функциональных возможностей, что ставит под угрозу технологическое лидерство США. Противодействие дистилляции в промышленных масштабах требует скоординированного ответа всей экосистемы ИИ, включая эффективный обмен информацией между правительством США, частным сектором и странами-союзниками.

Здесь есть важный экономический аспект.

Разработка передовых моделей ИИ требует огромных затрат на вычислительные ресурсы, исследования, данные и работу специалистов. Если конкурент может получать часть необходимых знаний, систематически опрашивая уже готовые модели, это потенциально сокращает время и ресурсы, необходимые для создания собственной системы. Именно поэтому американские ведомства рассматривают дистилляцию не просто как техническую проблему, а как вопрос защиты технологических преимуществ.

Что могут сделать американские компании?

CISA, NSA и FBI рекомендуют разработчикам ИИ не ограничиваться традиционными средствами защиты аккаунтов.

Первое направление – поиск аномального поведения. Компаниям советуют отслеживать подозрительные запросы, учетные записи, сети и характер использования моделей.

Отдельно предлагается анализировать соотношение между платной подпиской и фактическим объемом использования. Необычно высокая нагрузка сразу после создания новой учетной записи также может быть сигналом потенциальной дистилляции. Еще одним индикатором могут служить модели использования, характерные для больших организаций, когда через определенный набор учетных записей проходит чрезвычайно большой объем запросов.

Второе направление – целенаправленное изменение ответов.

Американские ведомства прямо предлагают разработчикам изменять поведение моделей в случаях, когда система обнаруживает признаки злонамеренной дистилляции. В документе это описано как "целевые изменения в ответах".

Цель заключается в том, чтобы "незаметно изменять ответы при подозрительных попытках злонамеренной дистилляции, снижая выгоду для компаний, проводящих кампании по дистилляции в промышленных масштабах". Другими словами, если система определяет, что ее используют не обычные пользователи, а организованная кампания по сбору данных для обучения другой модели, поставщик может намеренно изменять характер ответов.

Третье направление – обмен разведывательными данными между компаниями.

CISA призывает разработчиков ИИ объединять информацию о подозрительной активности и сопоставлять данные между различными поставщиками моделей, облачными платформами и агрегаторами API. Это важно из-за самой структуры описанной схемы. Если одна компания видит лишь часть активности, отдельные запросы могут выглядеть вполне обычными. Но если объединить данные нескольких провайдеров, можно выявить гораздо более масштабную картину.

Дистилляция становится новым фронтом конкуренции в сфере ИИ

Ситуация показывает, что конкуренция между разработчиками искусственного интеллекта все больше выходит за рамки обычного сравнения моделей.

С одной стороны, дистилляция знаний остается легитимной технологией машинного обучения. Она используется для сжатия моделей и переноса их возможностей в более компактные системы. С другой стороны, американские спецслужбы утверждают, что массовое и скрытое извлечение ответов из чужих моделей может превратиться в инструмент промышленного получения технологических знаний.

Если описанные CISA, NSA и FBI масштабы подтвердятся, борьба между разработчиками ИИ будет все больше зависеть не только от того, кто создает лучшие модели, но и от того, кто лучше защищает их возможности от систематического извлечения.

Для американских компаний это означает новый тип киберугрозы, в которой целью атаки становится не проникновение в корпоративную сеть или похищение файлов, а получение миллиардов фрагментов поведения и знаний самой модели ИИ. Именно поэтому CISA, NSA и FBI настаивают на совместном реагировании государственных структур, частных компаний и союзников США.