Wer bei Kimi tippt, sieht Kimi. Anthropic sagt jetzt: In Hunderttausenden Fällen kam die Antwort von Claude – und der Nutzer erfuhr nichts. Über zehn Tage hinweg seien fast 300.000 Kundenanfragen von Moonshot AI still an Claude weitergereicht worden. Angezeigt wurden die Antworten so, als stammten sie von Kimi. Für Betroffene zählt daran weniger der Wettbewerb der Labs als der Vertrauensbruch: Wer glaubt, mit Kimi oder DeepSeek zu sprechen, kann laut diesem Bericht ohne Hinweis bei Claude landen – samt Daten, die er nie dorthin schicken wollte.
Das steht in Anthropics Threat-Intelligence-Bericht vom September 2026. Das Unternehmen beschreibt Operationen, die es selbst gestört haben will, und ordnet sie unter anderem der unerlaubten Destillation zu. Anthropic ist Wettbewerber von Moonshot und DeepSeek. Die Darstellung bleibt ein Vorwurf aus Sicht eines betroffenen Anbieters, kein Gerichtsurteil. Die Nutzerfrage ist trotzdem klar: Was passiert mit Prompts, wenn die Marke im Chatfenster nicht der tatsächliche Antwortgeber ist?
Was Anthropic Moonshot und DeepSeek vorwirft
Laut Anthropic hat Moonshot AI Kundenanfragen still an Claude weitergeleitet, statt sie mit Kimi zu beantworten. Die Claude-Antworten seien den Nutzern als Kimi-Output angezeigt worden. In einem dokumentierten Zehn-Tage-Fenster seien fast 300.000 Anfragen über ein Netz betrügerischer Accounts gelaufen – überwiegend mit Standortbezug Singapur und Japan, großteils an Opus.
Moonshot habe zudem Teile der Dialoge gespeichert und eine Pipeline aufgebaut, um Chain-of-Thought-Transkripte zu extrahieren: unter anderem über Thinking-Signaturen und Cross-Session-Replay. Anthropic schreibt, man wisse nicht, ob Moonshot die Kunden über die Weiterleitung informiert habe.
In denselben Relays sieht Anthropic sensible Kundendaten: etwa die Auswertung von CCTV-Material aus Chengdu – Anthropic bewertet den Fall als PLA-nah – sowie Zugangsdaten und internen Code eines Ingenieurs bei einem großen staatlichen Unternehmen. Das sind Einschätzungen aus Telemetrie und Fallarbeit, keine öffentlich mitverifizierten Gerichtsfakten.
Für DeepSeek beschreibt Anthropic ein ähnliches Muster: stilles Relay ohne Kundenhinweis, CoT-Extraktion über denselben Replay-Ansatz, gezielte Weiterleitung ausgewählter Nutzer von Harnesses wie Claude Code an Opus. Als Beispiele nennt der Bericht interne Dokumente eines KI-Programms einer chinesischen Tech-Firma, Zugangsdaten mit Bezug zu einer russischen Verteidigungsbehörde sowie Fallmanagement-Logik einer städtischen Public Security Bureau – jeweils Anthropic-Behauptungen.
Stilles Relay ist nicht dasselbe wie Destillation
Zwei Dinge werden oft vermengt und sollten getrennt bleiben. Destillation im weiteren Sinn meint: Antworten oder Reasoning-Spuren eines fremden Modells systematisch abgreifen, um eigene Modelle zu trainieren. Anthropic spricht von unerlaubter industrieller Ernte und grenzt das von legitimem Forschungshandwerk ab.
Das stille Relay ist der vorgelagerte Nutzerbetrug: Die Anfrage geht an Claude, die Antwort landet im Chat von Kimi oder DeepSeek, ohne dass der Nutzer den Wechsel sieht. Beides kann zusammenlaufen – gespeicherte Relays als Trainingsfutter. Der Datenschutzschaden entsteht aber schon beim Relay allein.
Der Nutzer schließt mental einen Vertrag mit Anbieter A und landet technisch bei Anbieter B. Ob A das in seinen Nutzungsbedingungen erlaubt, ob B die Daten speichert, und ob ein Transfer in ein anderes Rechtsregime kommuniziert wurde: Das sind ToS- und Datenschutzfragen, keine Modell-Benchmarks.
Vertrauen, Hinweispflicht, Drittland
Wer einen Chatbot unter Markennamen nutzt, tippt oft Geheimnisse, Credentials und interne Pläne. Wenn die Antwort laut Anthropic von Claude kommt, ohne dass das Interface das sagt, bricht die Erwartungshaltung.
Für europäische und deutsche Nutzer verschärft sich das. Drittlandtransfer, Auftragsverarbeitung und Transparenzpflichten sind keine Nebenaspekte, sondern der Kern. Anthropic selbst betont, man kenne keine Kundenbenachrichtigung durch Moonshot – das ist zugleich Eingeständnis begrenzter Sicht und Alarmzeichen für Betroffene.
Unternehmen, die DeepSeek oder Kimi in Tools, Coding-Harnesses oder interne Assistenten einbinden, müssen den Vorwurf ernst nehmen. Nicht weil Anthropic unfehlbar wäre, sondern weil die beschriebene Architektur – Proxy-Accounts, Signatur-Replay, stille Weiterleitung – ein realer Missbrauchspfad ist. Wer nur fragt, welches Modell besser ist, verfehlt den Punkt. Die Frage lautet: Weiß ich, wohin mein Prompt geht?
CISA parallel: Destillation als Behörden-Frame
Am 8. September 2026 veröffentlichten NSA, CISA und FBI die Advisory AA26-251A. Darin warnen die US-Behörden vor industrieller Destillation durch china-basierte Firmen gegen US-Modelle und nennen unter anderem DeepSeek, Moonshot und Alibaba sowie Transferstationen.
Das ist ein paralleler Behörden-Frame zur Destillation – nicht identisch mit Anthropics Anspruch des stillen Kunden-Relays. Wer beide Texte liest, sollte die Unterscheidung halten: CISA spricht Destillation und Industrieskala an. Anthropic dokumentiert zusätzlich den Vorwurf, dass Endkundenantworten heimlich von Claude kamen.
Pekings Zurückweisung – und was offen bleibt
Chinas Außenamtssprecherin Mao Ning reagierte am 11. September 2026 auf den Anthropic-Bericht und die Schließung china-verbundener Operationen diplomatisch knapp. Man kenne die Einzelheiten nicht, China trete für „AI for good“ ein und lehne Versuche ab, China durch Verdrehung von Fakten zu diskreditieren. Das ist eine Zurückweisung des Narrativs, kein detailliertes technisches Dementi der Relay-Technik.
Offen bleiben Nachweis und Unabhängigkeit. Anthropic sieht die eigenen Logs; Moonshot und DeepSeek haben die Relay-Darstellung öffentlich nicht in gleicher Granularität widerlegt. Offen bleiben auch die Konsequenzen für Nutzer – Benachrichtigung, Logs, Vertragsänderungen, Aufsicht.
Bis dahin gilt die praktische Regel: Markenname im Fenster ist kein Herkunftsnachweis. Wer sensible Daten in Consumer- oder Enterprise-Chats tippt, braucht eine dokumentierte Routing- und Anbieterkette – nicht nur ein schönes Logo.
Für diesen Artikel wurden KI-gestützte Recherche- und Editierwerkzeuge verwendet. Der Inhalt wurde redaktionell geprüft.
