Firma MiniMax używała Claude Code do własnej pracy programistycznej, w tym do generowania i przeglądu kodu. Żeby narzędzie nie zorientowało się, u kogo pracuje, operatorzy wstrzykiwali polecenia mające przekonać je, że jest produktem MiniMaksa. Ten szczegół stoi we wspólnym ostrzeżeniu NSA, CISA i FBI z 8 września 2026. Trzy agencje wymieniają w nim z nazwy sześć chińskich firm AI i opisują, jak wyciągają zdolności z modeli amerykańskich. Nazywają to destylacją na skalę przemysłową.
Czym jest destylacja modeli AI
Destylacja to zwykła technika uczenia maszynowego. Duży model odpowiada na tysiące pytań, a jego odpowiedzi stają się materiałem treningowym dla modelu mniejszego. Mniejszy uczy się naśladować większy, za ułamek kosztu.
Dokument tego nie kwestionuje. Pisze wprost, że destylacja jest uznaną i użyteczną techniką badawczą.
Zarzut dotyczy skali i sposobu zdobywania materiału. W oryginale brzmi tak: “China-based AI companies are engaging in aggressive, malicious, and targeted distillation activities at an industrial scale that extract restricted proprietary functionalities”. Po polsku: chińskie firmy AI prowadzą agresywne, złośliwe i ukierunkowane działania destylacyjne na skalę przemysłową, wyciągające zastrzeżone funkcje amerykańskich modeli.
Warto od razu ustawić proporcje. Dokument jest oceną trzech agencji wywiadowczych i śledczych, a nie wyrokiem sądu. Nie ma w nim postępowania, nie ma strony przeciwnej i nie ma odwołania. Każde zdanie o zarzutach czytaj z tym zastrzeżeniem.
Sześć firm i sześć różnych zarzutów
Polskie depesze skupiły się na skali przemysłowej i na liście nazw. Agencje rozpisały to dokładniej, a różnice między firmami są duże.
- DeepSeek – zorganizowana kampania od co najmniej końca 2024 roku, pod modele R1 i V3. Agencje piszą, że deklarowany koszt trenowania w wysokości 5,6 mln dolarów jest mylący, bo pomija koszt pozyskania danych.
- Moonshot AI – kampania od co najmniej połowy 2025 roku. Według dokumentu firma wyciągnęła dane z Claude Fable 5 pod model Kimi-K3 oraz z GPT-4o pod Kimi-K2.
- Alibaba – koniec 2025 roku, praca nad rodziną Qwen. Zakres to inżynieria oprogramowania, dialog obsługi klienta i tworzenie postaci.
- MiniMax – model M2, obszar rozumowania i funkcji agentowych. To tutaj pada opis wstrzykiwania poleceń w Claude Code.
- StepFun – przełom 2025 i 2026 roku, model Step 4, kod i funkcje agentowe.
- Z.AI – do połowy 2026 roku, według agencji miliardy tokenów danych z GPT-5.5 i Claude Opus 4.8, pod zdolności rozumowania.
Jedna liczba wymaga uwagi, bo w streszczeniach zaczęła żyć własnym życiem. Miliardy tokenów w milionach zapytań to wolumen przypisany wszystkim sześciu firmom łącznie, liczony od końca 2024 roku. Osobno miliardy tokenów przypisano jeszcze Z.AI. Przenoszenie tej liczby na każdą z firm po kolei jest przekłamaniem dokumentu.
Stacje przesiadkowe, pule kont i łańcuch rozumowania
Mechanizm opisany w dokumencie ma cztery warstwy i warto je rozumieć osobno.
Pierwsza to dostęp. Zapytania idą równolegle kilkoma ścieżkami: przez interfejsy własne dostawców, przez chmury, przez zewnętrzne agregatory i przez pośredników. Do omijania ograniczeń geograficznych służy szara strefa pośredników nazwanych w dokumencie “transfer stations”, odsprzedających dostęp do modeli za ułamek oficjalnej ceny. Konta zakładane są na fałszywe dane, a abonamenty premium kupowane hurtowo i dzielone między programistów.
Druga to organizacja. StepFun według agencji pracował na pulach kont, z wieloma równoległymi sesjami na osobę i z rozkładem obciążenia, żeby nie wyczerpać limitów. Dzienne budżety na pojedynczego agenta rosły w miarę dojrzewania operacji.
Trzecia warstwa jest najciekawsza technicznie. Chodzi o wyciąganie łańcucha rozumowania, czyli wewnętrznych kroków, które model wykonuje przed udzieleniem odpowiedzi. Dostawcy amerykańscy ukrywają je przed użytkownikiem. Według dokumentu DeepSeek kazał modelom wyobrazić sobie i wypisać krok po kroku rozumowanie stojące za gotową odpowiedzią. Ten materiał uczy model uczący się nie samych faktów, ale metody dochodzenia do wyniku.
Czwarta to utrzymanie ruchu. Systemy pośredniczące czyszczą metadane z identyfikatorów organizacji automatycznie, na poziomie infrastruktury. Działają też potoki kontroli jakości wykrywające, kiedy odpowiedzi zaczynają się psuć. Tempo adaptacji ilustruje jeden szczegół: MiniMax przekierował zapytania na nowy model Claude w ciągu doby od premiery.
Po czym poznać taki ruch we własnym interfejsie programistycznym
Ta część jest praktyczna dla każdego, kto wystawia własny interfejs programistyczny albo odsprzedaje dostęp do modelu. Agencje zebrały przy każdej opisanej technice wskaźniki zachowań, które w logach mogą wskazywać na destylację modeli AI albo na inne nadużycie.
- jedno konto używane z wielu adresów sieciowych i wielu przeglądarek naraz,
- ruch prowadzony całą dobę, bez przerw typowych dla pracy człowieka,
- nietypowy stosunek wykupionego abonamentu do rzeczywistego zużycia,
- nowa subskrypcja od pierwszego dnia na maksimum limitu, zamiast stopniowego rozkręcania,
- spójne wzorce zachowań w różnych, pozornie niezwiązanych pulach kont,
- skorelowane czasy zapytań na różnych ścieżkach dostępu,
- nagła zmiana zachowania tuż po publicznym ujawnieniu kampanii, zwłaszcza zniknięcie stałych znaczników w metadanych,
- nowe konta z natychmiast wysoką trafnością zapytań, co wskazuje na gotowe szablony,
- ruch układany pod trafienia w pamięć podręczną zamiast pod różnorodność zadań.
Jednej rzeczy w dokumencie nie ma i trzeba to powiedzieć wprost. Nie ma klasycznej listy wskaźników kompromitacji: adresów, domen ani sum kontrolnych do wpisania w filtr. Zostają wskaźniki zachowań, które trzeba u siebie policzyć samemu.
Zalecenie, które warto przeczytać dwa razy
Sekcja z zaleceniami jest w większości przewidywalna: limity zapytań na klucz i adres, weryfikacja tożsamości przy zakładaniu konta, logowanie telemetrii, prywatność różnicowa, zespoły czerwone.
Jedno zalecenie wychodzi poza ten schemat. Agencje proponują, żeby przy dużej pewności co do złośliwej destylacji pogarszać odpowiedzi: dokładać szum, skracać rozumowanie albo przełączać na model słabszy. Podpowiadają też, jak to robić, żeby druga strona się nie zorientowała, i wprost odradzają informowanie takiego użytkownika o podmianie.
Uzasadnienie jest logiczne: poinformowany przeciwnik poprawi zabezpieczenia i będzie wiedział, kiedy cofnąć trening. Dokument robi przy tym jeden wyjątek. Badacze bezpieczeństwa i niezależni ewaluatorzy mają być o zmianach informowani.
Dla firmy wystawiającej własne API to jest zalecenie o realnej cenie. Cicha degradacja odpowiedzi wobec podejrzanego konta oznacza, że ktoś płacący za usługę dostaje gorszy produkt bez informacji. Przy pomyłce w klasyfikacji uderza to w zwykłego klienta, który nigdy się nie dowie, dlaczego jakość spadła.
Pierwsza Misja AI · Kodożercy
Rozumiesz zagrożenia AI, gdy rozumiesz jak naprawdę działa.
Kurs Pierwsza Misja AI ma osobną lekcję o ciemnej stronie AI: halucynacje, deepfakes, manipulacja. Zanim zaczniesz się bać, zacznij rozumieć.
Poznaj pełny program →
Europejski haczyk, którego nikt po polsku nie połączył
Z.AI jest jedną z sześciu firm wymienionych w dokumencie. Jest też dostawcą modelu, na którym Mistral buduje kawałek europejskiej suwerenności technologicznej.
Francuska firma ogłosiła 11 sierpnia, że udostępni na własnej infrastrukturze modele o otwartych wagach od innych producentów. Pierwszym z nich jest GLM-5.2 od Z.AI. Model ma działać na tej samej infrastrukturze, z tymi samymi kontrolami regionalnymi i zobowiązaniami dotyczącymi poziomu usługi co modele Mistrala. Ta sama zapowiedź opisuje plan budowy do jednego gigawata mocy obliczeniowej w Europie do 2030 roku.
Obie rzeczy są jednocześnie prawdziwe i żadna z nich nie unieważnia drugiej. Amerykańskie agencje przypisują Z.AI wyciągnięcie miliardów tokenów z modeli GPT i Claude. Europejski projekt suwerenności serwuje jego model z serwerowni w Unii. Przy wybranym regionie europejskim przetwarzanie ma się odbywać w Europie, z zastrzeżeniem ograniczonych i zabezpieczonych transferów poza region.
Dla polskiej firmy wybierającej model do wdrożenia to jest realny dylemat. Dostęp przez Mistrala pomaga kontrolować miejsce przetwarzania danych. Pytania o pochodzenie samych wag ten wybór zostawia otwarte.
Dwie inne strony tej samej sprawy opisaliśmy wcześniej osobno. Jedna to amerykańskie pomysły na ograniczenie chińskich modeli otwartych. Druga to ustalenia Reutersa o destylacji w jednostkach powiązanych z chińskim wojskiem. Ten tekst zostaje przy mechanizmie.
FAQ
Czy korzystanie z DeepSeeka albo Qwena jest w Polsce legalne?
Tak. Dokument amerykańskich agencji nie zakazuje niczego i nie ma mocy prawnej w Polsce. Opisuje sposób, w jaki według służb powstały pewne modele, i doradza dostawcom modeli, jak się przed tym bronić. Korzystanie z modeli o otwartych wagach pozostaje w Polsce legalne, a decyzja o ich wdrożeniu jest kwestią oceny ryzyka i zgodności z RODO oraz z umowami z klientami.
Podsumowanie
Wspólne ostrzeżenie NSA, CISA i FBI z 8 września wymienia z nazwy sześć chińskich firm. Są to DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun i Z.AI, a każdej przypisano inny zakres i inny okres działania. Wartość dokumentu leży w opisie mechanizmu. Składają się na niego równoległe ścieżki dostępu, pośrednicy odsprzedający dostęp taniej i pule fałszywych kont. Dochodzi do tego automatyczne czyszczenie metadanych oraz wyciąganie ukrytego łańcucha rozumowania. Dla firmy z własnym interfejsem programistycznym użyteczna jest lista wskaźników zachowań, bo klasycznych adresów do zablokowania tu nie ma. Najbardziej sporne zalecenie mówi o cichym pogarszaniu odpowiedzi podejrzanym kontom. Destylacja modeli AI ma też wątek europejski. Jedna z wymienionych firm dostarcza model, który Mistral serwuje jako składnik europejskiej suwerenności.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
