Čínské AI se učily na Claude. Anthropic našel 24 tisíc falešných účtů

Co je destilace

Destilace znamená, že méně schopný model se trénuje na výstupech silnějšího. V oboru jde o běžnou věc: i samotné americké laboratoře destilují vlastní velké modely na menší a levnější verze, které pak prodávají zákazníkům. Potíž nastává, když totéž dělá konkurence. Cizí laboratoř získá schopnosti, které by jinak vyvíjela roky a za velké peníze, za zlomek času a nákladů.

Přirovnání: slabší student si od špičkového doučovatele pořídí tisíce vyřešených příkladů a naučí se postupy nazpaměť. Navenek umí skoro to samé, ale porozumění mu chybí. U AI k tomu přibývá jeden důsledek navíc: model se spolu se schopnostmi nepřenese i s bezpečnostními pojistkami. Těm se věnuji níže.

Tři laboratoře, tři cíle

Anthropic připsal obvinění třem firmám s vysokou jistotou. Přiřazení mu umožnily IP adresy, metadata požadavků a shoda s daty partnerských firem, které na svých platformách pozorovaly totožné aktéry. Rozsah kampaní se liší, stejně jako to, co se z Claude snažily vytáhnout.

DeepSeek vygeneroval nejméně výměn, ale zato nejlépe zacílených. Podle Anthropicu požadoval po Claude, aby nahlas popsal vlastní vnitřní uvažování krok za krokem, čímž ve velkém vyráběl tréninková data pro řetězec myšlení. Dál Claude používal jako odměnový model při hodnocení odpovědí a nechal ho tvořit cenzurně přijatelné varianty politicky citlivých dotazů, tedy otázek na disidenty, stranické šéfy nebo autoritářství. Cíl byl zřejmý: naučit vlastní modely odvádět konverzaci od zakázaných témat.

MiniMax měl kampaň největší. Anthropic ji zachytil ještě v běhu, dřív než firma model, na kterém trénovala, vůbec vydala. Když pak Anthropic vypustil novou verzi Claude, MiniMax do 24 hodin přesměroval zhruba polovinu svého provozu, aby vytěžoval právě ji.

Přístup přes falešné účty

Anthropic kvůli národní bezpečnosti nenabízí Claude v Číně. Útočníci proto využili komerční proxy služby, které prodávají přístup ke špičkovým modelům. Ty běží na architektuře, kterou Anthropic nazývá hydra cluster: rozsáhlá síť falešných účtů rozprostřená přes vlastní API i cloudové platformy třetích stran. Když jeden účet zablokujete, nastoupí jiný. V jednom případě řídila jediná síť přes 20 tisíc podvodných účtů najednou a míchala destilační provoz s běžnými požadavky zákazníků, aby se hůř odhalovala. Shodný popis přináší i ČT24, která upozornila, že podle Anthropicu tyto útoky zřejmě nejsou trestné, ale porušují podmínky služby.

Bezpečnostní pojistky

Anthropic a další americké firmy staví do svých modelů pojistky proti zneužití, třeba vývoji biologických zbraní nebo kyberútokům. U destilovaných modelů tyhle zábrany mizí, protože se přes kopírování nepřenášejí. Když se takový model uvolní jako open-source, riziko se násobí: nebezpečné schopnosti se šíří mimo dosah jakékoli kontroly. Podle Anthropicu pak autoritářské režimy můžou nasadit takovou AI do vojenských, zpravodajských nebo sledovacích systémů.

Nejde o ojedinělou stížnost. OpenAI na začátku února informovala Sněmovnu reprezentantů, že DeepSeek podle ní pokračuje ve snahách bezplatně využívat schopnosti vyvinuté americkými laboratořemi. Anthropic zase dlouhodobě podporuje vývozní kontroly čipů a tvrdí, že destilační útoky je obcházejí, a že rychlý pokrok čínských laboratoří je zčásti postavený právě na schopnostech vytěžených z amerických modelů. Podrobnosti jsou v oficiálním vyjádření firmy.

Anthropic a scraping

Kritici ale připomínají, že ani sám Anthropic nemá čistý štít. Claude se trénoval na datech z webu a diskusní platforma Reddit firmu žaluje kvůli scrapingu; podle ní vytěžoval i příspěvky označené ke smazání. Generální ředitel Tesly a xAI Elon Musk zase Anthropic obvinil, že pro trénink ukradl data ve velkém. Část oboru proto firmě vyčítá, že kárá čínskou konkurenci za praktiku, kterou sama v jiné podobě používá.

Pro české uživatele se přitom nic nemění. Claude je v Česku dál běžně dostupný a češtinu zvládá, na rozdíl od Číny, kde ho Anthropic kvůli národní bezpečnosti neposkytuje. Čínské firmy na obvinění zatím nereagovaly.