Kimi K3 обучена на Claude незаконно, заявляет Anthropic

Компании вроде Moonshot AI заводят «десятки тысяч, если не сотни тысяч» поддельных аккаунтов, чтобы выкачивать ответы Claude и учить на них свои модели, а Kimi K3 обучена на новейшей версии Claude незаконно, говорит глава разведки угроз Anthropic Джейкоб Кляйн (Jacob Klein) в материале CNBC от 3 сентября. Законной дистилляция тоже бывает, но здесь, утверждает Кляйн, доступ добывают в обход ограничений Anthropic, а получившиеся копии продают дешевле.

Kimi K3 вышла в июле как более дешёвая модель передового уровня и широко разошлась в Кремниевой долине, отчасти благодаря низкой цене и тому, что компаниям её проще подстраивать под себя. «Мы видели немало такого из Китая, - говорит Кляйн. - С этим сталкивается вся отрасль». Ранее в этом году Anthropic обвиняла в дистилляции своих передовых моделей Moonshot и ещё две китайские лаборатории, DeepSeek и MiniMax, а Alibaba, разработчика моделей Qwen, - в масштабной «дистилляционной атаке». OpenAI и Google тоже выпускали отчёты о дистилляции и говорят, что борются с той же проблемой.

В том раскрытии Anthropic насчитала больше 16 миллионов обменов с Claude примерно через 24 000 мошеннических аккаунтов: свыше 150 000 у DeepSeek, свыше 3,4 миллиона у Moonshot и свыше 13 миллионов у MiniMax. Moonshot, по версии компании, использовала сотни аккаунтов, а позже пыталась извлечь и восстановить цепочки рассуждений Claude. В Anthropic связали кампанию с Moonshot по метаданным запросов, совпавшим с публичными профилями её старших сотрудников.

Откуда берутся аккаунты

Коммерческого доступа к Claude Anthropic не даёт ни в Китае, ни дочерним компаниям китайских фирм за его пределами и объясняет это национальной безопасностью. Эксперты по кибербезопасности рассказали CNBC, что угроза идёт и из Ирана, России и Северной Кореи, где Claude, Gemini и ChatGPT ограничены самими компаниями из-за санкций.

«Существует целая нелегальная экосистема, которая пытается получить доступ к Claude и другим моделям, - говорит Кляйн. - Эта экосистема идёт на любые средства, чтобы обойти наш контроль и заводить аккаунты в экстремальных масштабах». Один из путей ведёт в даркнет, на площадки, где торгуют данными краденых карт и взломанными ИИ-аккаунтами. Другой Anthropic описывает в раскрытии: коммерческие прокси-сервисы перепродают доступ через так называемые hydra cluster, россыпи мошеннических аккаунтов в API Anthropic и на сторонних облачных платформах. На место заблокированного аккаунта в такой сети просто встаёт новый, а одна из них держала одновременно больше 20 000 аккаунтов и смешивала трафик дистилляции с посторонними запросами обычных клиентов.

Получив доступ, лаборатории задают моделям вопросы и собирают ответы, а потом учат на них свою модель, которую часто называют «учеником», объясняет Кляйн.

Почему их трудно поймать

Дистилляцию, по словам Кляйна, выдаёт объём: пользователь задаёт тысячи вопросов вместо десятков и может завести для этого тысячи аккаунтов, а лабораториям остаётся игра в «прибей крота». Anthropic описывает рисунок атаки так: вариации одного запроса десятки тысяч раз приходят через сотни согласованных аккаунтов и бьют в одну узкую способность модели. «Полностью остановить эту проблему очень трудно, но замедлить её, по-моему, хорошо и того стоит», - говорит Кляйн.

Трэвис Лэнхэм (Travis Lanham), технический директор фирмы по кибербезопасности Armadin и бывший инженер Google, говорит о крупных лабораториях: «Эти компании обслуживают миллиарды запросов. Миллионы относительно малы по сравнению со всем остальным, и это попросту проскальзывает, стараясь выглядеть как остальная толпа». Злоумышленники, по его словам, часто остаются незамеченными, потому что ИИ-компании под давлением гонки с конкурентами стараются сделать платформы как можно доступнее.

При чём тут национальная безопасность

Кляйн говорит, что зарубежные компании пользуются технологией с минимальными защитными ограничениями, и называет опасения насчёт слежки и возможного применения в программе биологического оружия. Он упомянул и конкретную, по его описанию, кампанию структуры из Китая, которая с помощью технологий Anthropic вела шпионаж в больших масштабах. «Здесь встаёт вопрос национальной безопасности, если злоумышленники, недобросовестные игроки, которым мы не доверяем, через дистилляцию получают доступ к более способным моделям, чем могли бы получить иначе», - говорит он.

В апрельской записке администрация Трампа назвала «неприемлемой» дистилляцию, которая подрывает американские исследования и закрытую информацию, и пообещала изучить ряд мер, чтобы привлечь иностранных игроков к ответственности.

Угроза нарастает в переломный для Anthropic момент, отмечает CNBC: оценка пятилетней компании на частном рынке приблизилась к 1 триллиону долларов, а на биржу она может выйти уже в октябре.

Кляйн признаёт, что широкая конкуренция для Anthropic ожидаема и что законные способы дистилляции есть: как правило, это разрешения и соблюдение законов об интеллектуальной собственности и экспортном контроле. «Я думаю, конкуренция - это прекрасно, - говорит он. - Беспокоит другое: когда нашу модель берут и дистиллируют мошенническими способами, заводят миллионы фальшивых аккаунтов на краденых картах и краденой инфраструктуре, чтобы потом выпустить модель без защитных механизмов».