Die "Opfer"-Maske von Anthropic

Am 10. September veröffentlichte Anthropic einen Bedrohungsinformationsbericht, der sich mit missbräuchlichen Nutzungen von KI wie Cyberangriffen und illegaler Modelldestillation befasst. Der am meisten beachtete Teil des Berichts nennt sieben chinesische KI-Unternehmen und beschuldigt sie, eine „industrielle Destillation in großem Maßstab“ an Claude durchgeführt zu haben. Dies ist bereits die dritte öffentliche Anschuldigung dieser Art des Unternehmens in diesem Jahr.

Die im Zentrum der Anschuldigungen stehende „Destillation“ ist keine neue Technologie. Im Jahr 2015 wurde sie in einem Papier des Google Brain-Teams als Methode für das Modelltraining etabliert und wird seitdem in allen großen Labors der Welt intern verwendet. Die Technologie selbst ist neutral. Über ihre Anwendungsgrenzen und die Frage, ob sie eine Rechtsverletzung darstellt, wird in der Branche seit Jahren diskutiert, ohne dass bisher ein endgültiger Schluss gezogen wurde.

Warum lohnt es sich für ein führendes Unternehmen, mehr als ein halbes Jahr lang dreimal öffentlich Anschuldigungen gegen eine neutrale, gängige Technologie zu erheben, und die Aufmerksamkeit dabei jedes Mal noch größer zu machen? Um diese Frage zu beantworten, muss man die Aktionen von Anthropic in den letzten Monaten zusammen betrachten.

Diesen Juni reichte Anthropic heimlich einen IPO-Antrag bei den Aufsichtsbehörden ein, um einen Börsengang anzustreben, der möglicherweise der größte in der Geschichte wird. Im Juli war es das einzige führende Unternehmen im Silicon Valley, das sich weigerte, den offenen Brief für Open-Source zu unterzeichnen. Am 12. September, zwei Tage nach der Veröffentlichung des Berichts, veröffentlichte Gründer Dario Amodei einen langen Text, in dem er die gesamte Branche aufforderte, die Iterationsgeschwindigkeit der stärksten Modelle zu verlangsamen, um Zeit für die Sicherheitsüberprüfung zu gewinnen.

Zusammengenommen ergeben diese Aktionen eine aufschlussreiche Gegenüberstellung: Einerseits wird ständig vor KI-Risiken gewarnt und eine Verlangsamung der Branche gefordert, andererseits wird die Kommerzialisierung und der Börsengang mit höchster Geschwindigkeit vorangetrieben. Einerseits wird die Sicherheit an die oberste Stelle der Unternehmensmission gestellt, andererseits werden die wertvollsten Modellfähigkeiten fest in einem geschlossenen Quellensystem eingeschlossen, um die größten Gewinne der Industriekette zu erzielen.

Anthropic ist nicht mehr nur ein Modellanbieter. Es agiert gleichzeitig als Anbieter von Konkurrenzanwendungen, als Interpret von Risiken und als Initiator von Regeln, und versucht, unter dem Banner der „Sicherheit“ Einfluss auf Open-Source-Richtlinien zu nehmen, technische Grenzen zu definieren und potenzielle Konkurrenten zu bekämpfen.

Letztendlich verteidigt Anthropic nicht einfach die KI-Sicherheit. Was es bewahren will, sind seine technischen Barrieren, seine kommerziellen Interessen und seine Position in der Branche.

01. Die „Opfer“-Maske von Anthropic

In der Erzählung von Anthropic ist es immer die Seite, die angegriffen wird. Genau so verhält es sich mit den Anschuldigungen zur „Destillation“.

Im Jahr 2015 veröffentlichten Geoffrey Hinton, der gerade zu Google Brain gekommen war, der Teamleiter Jeff und der Forscher Oriol gemeinsam ein Papier, in dem die zuvor verstreuten Ideen zur Modellkomprimierung erstmals systematisiert und als „Wissensdestillation“ bezeichnet wurden. Seitdem wird die Destillation von führenden Forschungslabors bis hin zur Open-Source-Community weit verbreitet für die Komprimierung und das Nachtraining von Modellen verwendet.

Ihre grundlegende Logik ist nicht kompliziert: Ein „Lehrermodell“ mit stärkeren Fähigkeiten generiert Ergebnisse, um ein kleineres „Schülermodell“ zu verbessern. Das Schülermodell kann sowohl die Wahrscheinlichkeitsverteilung jedes Tokens und die Gedankenkette der Ausgaben des Lehrermodells lernen, als auch direkt die endgültigen Antworten lernen, die das Lehrermodell generiert – dies wird als „harte Destillation“ bezeichnet.

In der Branche der großen Modelle wird die Destillation allgemein als effizientes Mittel für das Nachtraining angesehen. Sie ist an sich eine neutrale Technologie, weder ein entscheidender Faktor für die Fähigkeiten eines Modells noch kann sie allein eine Wettbewerbsbarriere bilden.

In diesem Jahr haben die Anschuldigungen von Anthropic zur „Destillation“ stetig zugenommen. Im Februar beschuldigte das Unternehmen erstmals öffentlich die drei Unternehmen DeepSeek, Moonshot AI und MiniMax, über rund 24 000 gefälschte Kontakte mehr als 16 Millionen Interaktionen mit Claude durchgeführt zu haben. Im Juni schrieb es einen Brief an Abgeordnete des US-Kongresses und beschuldigte ein weiteres führendes chinesisches Forschungslabor, den „größten Destillationsangriff der Geschichte“ ausgeführt zu haben. Der Bericht vom 10. September erweiterte den Umfang auf fast 200 Millionen Interaktionen, nannte sieben chinesische Unternehmen und beschrieb die Merkmale der sogenannten „industriellen Größenordnung“ anhand von Überwachungsdaten wie Anzahl der Konten und Häufigkeit der Interaktionen.

Auf rechtlicher Ebene ist die „Destillation“ selbst jedoch kaum direkt zu qualifizieren. Die Nutzungsbedingungen von Anthropic verbieten es Nutzern, die Ausgaben von Claude zum Trainieren von Modellen zu verwenden, die mit Claude konkurrieren. Das bedeutet, dass selbst wenn die Anschuldigungen zutreffen, die direkteste Grundlage ein Vertragsbruch ist. Darüber hinaus stammen alle genannten Interaktionsdaten aus dem eigenen Überwachungssystem von Anthropic und wurden von keiner unabhängigen Drittpartei überprüft.

Unter den genannten Unternehmen hat Alibaba bereits bestritten, unangemessene Handlungen vorgenommen zu haben, während mehrere andere keine öffentliche Antwort gegeben haben.

Angesichts des sogenannten „größten Angriffs der Geschichte“ hat Anthropic die Streitigkeit nicht zuerst vor Gericht gebracht, sondern sich dafür entschieden, Briefe an Kongressabgeordnete zu schreiben und Bedrohungsberichte zu veröffentlichen, um den technischen Streit zu einem öffentlichen Thema zu machen. Denn Gerichte verlangen Beweise, während die Öffentlichkeit nur einen ausreichend spektakulären Bericht braucht.

Aus einer tieferen technischen Perspektive lässt sich die Destillation weder nachweisen noch widerlegen. Heute kann kein einziges Unternehmen beweisen, dass es von einem anderen Unternehmen destilliert wurde, und auch nicht beweisen, dass es nie ein anderes Modell destilliert hat.

Zu der Linie „Technologie ist unschuldig“ hat die US-Industrie eine klarere Haltung. Ende Juli veröffentlichten 25 Institutionen wie Nvidia, Microsoft, Meta und IBM einen gemeinsamen Brief, in dem betont wird, dass die Destillation weit verbreitet zur Verbesserung, Bewertung und Überprüfung von Modellen verwendet wird und nicht mit illegaler Extraktion verwechselt werden darf. Nvidias CEO Jensen Huang erklärte zudem öffentlich, dass die Destillation und das Lernen aus verschiedenen Wissensquellen die Grundlage der Entwicklung von Intelligenz sind. Verfolgt werden sollten konkrete Handlungen, die gegen Datenschutz und Vertrag verstoßen, nicht die Technologie selbst.

Die Debatte über die Destillation ist zu großen Teilen zu einem undurchsichtigen Fall geworden, in dem jede Seite ihre eigene Version der Geschichte erzählt.

Ein Urheberrechtsstreit, an dem Anthropic selbst beteiligt war, enthüllt eine peinliche Tatsache: Das Unternehmen steht nicht auf einem von Natur aus sauberen moralischen Hochplateau.

In dem Fall, in dem Schriftsteller das Unternehmen verklagten, gehen aus Gerichtsdokumenten hervor, dass Anthropic mehr als 7 Millionen Buchkopien aus raubkopierten Quellen heruntergeladen hat, um eine interne Datenbank aufzubauen, und dann einen Teil des Materials zum Trainieren von Modellen ausgewählt hat.

Im Juni 2025 stellte der Richter fest, dass das betroffene Modelltraining eine faire Nutzung darstellt, aber diese Schlussfolgerung erstreckte sich nicht auf das Herunterladen und Aufbewahren von raubkopierten Büchern zur Erstellung einer permanenten Datenbank. Die Parteien einigten sich schließlich auf einen Vergleich in Höhe von 1,5 Milliarden US-Dollar, der am 20. Juli 2026 vom Gericht endgültig genehmigt wurde. Der Vergleich stellt keine Anerkennung der Verantwortung durch Anthropic dar und löst auch nicht alle Urheberrechtsfragen im Zusammenhang mit dem KI-Training. Anthropic räumt auch nicht ein, irgendein Fehlverhalten begangen zu haben.

Es ist mehr als ironisch, dass ein Unternehmen, das einst wegen der Art und Weise der Beschaffung von Trainingsdaten in einen Urheberrechtsstreit verwickelt war und schließlich 1,5 Milliarden US-Dollar für einen Vergleich zahlen musste, jetzt auf einem moralischen Hochstand steht und seine Kollegen der „Destillation“ beschuldigt.

Anthropic kann natürlich Handlungen verfolgen, die gegen Vertrags- und Datenschutzregeln verstoßen, aber es hat kein Recht, sich als moralischer Schiedsrichter in der Welt der KI-Technologie auszugeben.

02. Wenn „Sicherheit“ zu einer kommerziellen Waffe wird

Wenn die Destillationsanschuldigung Anthropic das Image eines „Opfers“ verschafft hat, dann zeigt das Ringen um Open-Source-Modelle noch deutlicher den kommerziellen Nutzen dieses Images.

Um den 24. Juli herum initiierte Nvidia gemeinsam mit 25 mit der KI-Industriekette verbundenen Institutionen einen gemeinsamen Brief mit dem Titel „Offene Gewichtungen und die US-amerikanische KI-Führungsrolle“. Die Liste der Unterzeichner erweiterte sich rasch, darunter die Open-Source-Vertreterin Meta, die Chiphersteller Nvidia und AMD sowie Cloud-Plattformen wie Microsoft und Google. Sogar OpenAI aus dem Bereich geschlossener Quellen unterzeichnete schließlich.

Unter den führenden US-KI-Unternehmen fehlte nur Anthropic. Mehrere Branchenkenner enthüllten zudem, dass das Unternehmen die Regierung dazu drängt, Open-Source-Modelle einzuschränken.

Unter Druck veröffentlichte Amodei am 28. Juli einen langen Antworttext. Er stellte klar, dass Anthropic nie dafür eingetreten ist, Open-Source-Modelle zu verbieten. Gleichzeitig betonte er aber, dass einmal offengelegte Gewichtungen von ausreichend leistungsstarken Modellen nicht mehr zurückgezogen werden können – es wäre zu gefährlich, wenn sie in die Hände von Kriminellen geraten.

Obwohl Amodei nicht ausdrücklich gefordert hat, Open-Source-Modelle zu verbieten, zeigen seine wiederholt betonte KI-Sicherheit und seine wiederholten Anschuldigungen gegen Open-Source-Modellanbieter wegen Destillationsangriffen seine „Unterdrückung“ von Open-Source. Das ist das Geniale an „Sicherheit“ als kommerzielle Waffe: Anthropic muss nicht öffentlich „Open-Source verbieten“ rufen. Solange es Open-Source-Modelle ständig mit Sicherheitsrisiken, missbräuchlicher Nutzung und nationaler Sicherheit verknüpft, wird das politische Umfeld von selbst ungünstiger für Open-Source.

Der Grund für dieses Vorgehen liegt darin, dass die Profitbarrieren von Anthropic schwächer werden, sobald Open-Source-Modelle den Modellen mit geschlossenen Quellen immer näher kommen.

Laut einem Bericht von SemiAnalysis wird Anthropic im zweiten Quartal voraussichtlich seinen ersten Betriebsgewinn von rund 559 Millionen US-Dollar erzielen. Im dritten Quartal wird das EBIT nach GAAP voraussichtlich über 1 Milliarde US-Dollar liegen. Der annualisierte wiederkehrende Umsatz wird von rund 9 Milliarden US-Dollar Ende 2025 auf über 60 Milliarden US-Dollar steigen.

Wenn die Anteile der Vertriebskanäle und die Kosten für das Modelltraining abgezogen werden, könnte die Bruttomarge von Anthropic über 80 % liegen.

Daher sind die Unterdrückung von Open-Source und der Vorstoß zum Börsengang im Grunde Teil desselben Plans. Am 1. Juni reichte Anthropic heimlich den S-1-Entwurf bei der SEC ein. Vor diesem Hintergrund wird die Auswahl der Unternehmenskunden eingeschränkt, die Umsatzsicherheit steigt und politische Barrieren können zu Bewertungsaufschlägen umgewandelt werden, wenn Open-Source-Modelle durch Richtlinien hinter Schwellenwerten gesperrt werden.

Betrachtet man die „Angriffe“ von Anthropic auf Open-Source-Modelle, so verlaufen sie fast synchron mit der Bewertung des Unternehmens. Kurz nach der öffentlichen Anschuldigung gegen chinesische Open-Source-Modellanbieter wegen Destillationsangriffen im Februar dieses Jahres überstieg die Bewertung von Anthropic auf der privaten Sekundärmarktplattform Forge Global 1 Billion US-Dollar und übertraf die von OpenAI. Der Destillationsbericht vom September fällt wiederum in die entscheidende Vorbereitungsphase des Börsengangs nach der Einreichung der Unterlagen.

Für ein Modellunternehmen, das kurz vor dem Eintritt in den Kapitalmarkt steht, lässt sich die Bewertung leichter nach oben treiben, je weniger Konkurrenten es gibt, je stärker die Erzählung von der technischen Überlegenheit des eigenen Modells ist und je stärker der Umsatz auf das eigene Unternehmen konzentriert ist. Wenn man zudem unter dem Banner der „Sicherheit“ die Aufsichtsbehörden dazu bringen kann, die Wettbewerbshürden für einen selbst zu erhöhen, erhält man eine weitere durch Richtlinien aufgebaute Wettbewerbsbarriere.

Darüber hinaus schneiden die Unternehmen für Modelle mit geschlossenen Quellen wie Anthropic nicht nur den Kapitalmarkt ab, sondern erzielen auch übermäßige Gewinne aus der gesamten Industriekette. Die hohen Bruttomargen der Anbieter von Modellen mit geschlossenen Quellen drücken gleichzeitig den Gewinnspielraum der gesamten KI-Industriekette – davon sind sowohl Hardwarehersteller im oberen Bereich als auch Cloud-Anbieter und Anwendungsentwickler im unteren Bereich betroffen. Wenn man die Open-Source-Modelllinie abwürgt, wird der Gewinnspielraum von Anthropic nur noch größer – etwas, das andere Teilnehmer der Branche nicht gerne sehen.

Ein Vergleichsbeispiel ist OpenAI. Nachdem Amodei seinen langen Text zur „Verlangsamung“ veröffentlicht hatte, stimmte OpenAI-CEO Sam Altman öffentlich zu und bestätigte in einem Medieninterview, dass OpenAI in diesem Jahr keinen Börsengang durchführen wird. Die beiden größten Unternehmen für Modelle mit geschlossenen Quellen haben im selben Monat entgegengesetzte Entscheidungen getroffen: Eines verschiebt den Börsengang im Namen der Sicherheit, das andere treibt den Börsengang in der Welle der Sicherheitsdebatte voran.

03. Allgemeine Empörung im Silicon Valley: Die Konkurrenten rücken immer näher

Die Probleme, mit denen Anthropic konfrontiert ist, gehen nicht mehr nur über die Zweifel von Konkurrenten hinaus. Privatanwender machen sich zunehmend Sorgen um den Datenschutz, Unternehmenskunden aus dem B2B-Bereich werden wachsam gegenüber seiner grenzenlosen Expansion in die Anwendungsebene, und chinesische Open-Source-Modelle vollziehen den Übergang von der technischen Verfolgung zur kommerziellen Gegenoffensive.

Ein Unternehmen, das die gesamte Branche auffordert, KI-Risiken höchste Aufmerksamkeit zu schenken, sollte selbst zuerst ebenso strenge Standards für seine eigenen Datengrenzen einhalten. Auf Ebene der Nutzungsbedingungen hat die differenzierte Regelung von Anthropic jedoch schon lange Diskussionen ausgelöst. Privatanwender, die