Китайские ИИ учатся у американских моделей — спецслужбы США говорят о промышленном шпионаже

ФБР, АНБ и Агентство по кибербезопасности и защите инфраструктуры США (CISA) предупредили американские компании, разрабатывающие искусственный интеллект, о масштабных кампаниях по так называемой дистилляции моделей. В совместном консультативном документе эти действия названы «агрессивными, вредоносными и целенаправленными», а их масштаб — промышленным.

Дистилляция знаний сама по себе не является незаконной или вредоносной. Это распространённый метод машинного обучения: большая модель-«учитель» передаёт знания компактной модели-«ученику», которая затем старается повторять её возможности. Такой подход используют для сжатия моделей, снижения вычислительных затрат и ускорения работы систем. Американские ведомства признают метод легитимным инструментом исследований, но утверждают, что китайские компании применяют его для извлечения закрытых функций и возможностей американских разработок.

По версии спецслужб США, вместо самостоятельной разработки новых функций китайские компании направляют американским моделям огромное количество специально составленных запросов, а затем используют полученные ответы для обучения собственных систем. В документе упомянуты DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun и Z.AI. Утверждается, что начиная как минимум с конца 2024 года они извлекли миллиарды токенов — единиц текста, которыми оперируют языковые модели, — в ходе миллионов обращений к американским системам.

Среди моделей США, которые, по данным консультативного документа, могли использоваться таким образом, названы различные версии Claude, GPT, Gemini и Grok. В списке китайских разработок фигурируют DeepSeek R1 и V3, Kimi-K2 и Kimi-K3 от Moonshot, а также MiniMax M2. Американская сторона также упоминает более ранние модели GPT-4, Claude 3.7 и Gemini 2.5 Flash Preview, а среди новейших — Claude Fable 5 и GPT-5.

CISA считает, что такая деятельность, вероятно, проходила при осведомлённости китайских властей. При этом ведомство прямо не заявляет, что кампании были официально одобрены государством.

В документе говорится, что запросы распределялись между множеством аккаунтов, точек доступа к API, облачных провайдеров, сторонних агрегаторов ИИ и прокси-сервисов. Также якобы использовались специальные «перевалочные пункты» и общие премиальные подписки, которыми разработчики делились между собой. Такая схема, по версии американских ведомств, должна была затруднить обнаружение и блокировку активности.

Спецслужбы считают, что систематическое извлечение закрытых функций угрожает технологическому лидерству США. Для защиты разработок американским компаниям рекомендуют выявлять подозрительные запросы, аккаунты, сети и модели поведения, отслеживать несоответствие между стоимостью подписки и объёмом использования, резкий выход новых аккаунтов на максимальные лимиты и трафик корпоративного масштаба.

Второй совет звучит необычно: при обнаружении попытки промышленной дистилляции компаниям предлагают намеренно менять ответы модели, чтобы снизить пользу от собранных данных. Проще говоря, подозрительным пользователям система может выдавать слегка изменённые или менее полезные ответы.

Наконец, американские ведомства призывают компании обмениваться разведданными и сопоставлять активность между поставщиками моделей, облачными платформами и агрегаторами API. По их мнению, бороться с такими кампаниями можно только совместно — силами государства, частного сектора и союзных стран.