Das Hydra-Konto-Problem: Warum die Destillationsabwehr mit Identitätsauflösung beginnt (DE)

Am 23. Februar 2026 veröffentlichte Anthropic Messwerte zu einem Thema, das die KI-Branche bis dahin meist abstrakt diskutiert hatte. In identifizierten Destillationskampagnen berichtete das Unternehmen, dass Labore „über 16 Millionen Austausche mit Claude über etwa 24.000 betrügerische Konten generierten.“ Ein Detail in diesem Bericht rückt das gesamte Problem in ein neues Licht: „Ein einziges Proxy-Netzwerk verwaltete mehr als 20.000 betrügerische Konten gleichzeitig.“

Zwanzigtausend Konten. Ein Akteur.

Das ist die Form der Bedrohung. Adversarial Distillation – die Verwendung der Ausgaben eines Frontier-Modells, um eine billigere Kopie davon zu trainieren – wird nicht von einem verdächtigen Konto mit einer verdächtigen Anfrage ausgeführt. Sie wird von einer Organisation ausgeführt, die eine einzige Extraktionskampagne auf Tausende von Konten, Zahlungsinstrumenten, Geräten und Netzwerkpfaden verteilt, sodass jedes einzelne Konto unauffällig aussieht. Einzeln betrachtet löst keines davon eine Warnung aus. Als Graph betrachtet, sind sie eine Maschine.

Deshalb kann die Verteidigung nicht nur im Modell oder nur im Datenverkehr liegen. Sie muss auch eine Frage beantworten, die diese Ebenen nicht können: Wer steckt tatsächlich hinter diesen Konten?

Wichtige Erkenntnisse

• Anthropic meldete über 16 Millionen Austausche, die durch etwa 24.000 betrügerische Konten in identifizierten Destillationskampagnen generiert wurden, wobei ein einziges Proxy-Netzwerk mehr als 20.000 Konten gleichzeitig betrieb.
• Destillation ist ein koordiniertes Zugriffsproblem, kein Einzelanfrageproblem. Eine pro-Konto-Überprüfung ist strukturell blind dafür.
• Das Februar 2026 Issue Brief des Frontier Model Forum definiert Adversarial Distillation und seine Methoden. Es ist bewusst auf die Bedrohung und nicht auf Kontrollen zugeschnitten und gibt daher keine Empfehlung zur Kontoverifizierung, Identität, Ratenbegrenzung oder Zugriffssteuerung.
• Zu den von Anthropic selbst aufgeführten Minderungsmethoden gehört die „verstärkte Verifizierung für Bildungs- und Startup-Konten“ neben Erkennungsklassifikatoren und Verhaltens-Fingerprinting.
• Eine verifizierte Zugriffsebene leistet drei Dinge, die Modellkontrollen nicht können: Sie reduziert die Anonymität, sie verknüpft Konten, die eine Person, ein Gerät oder ein Netzwerk teilen, und sie macht ein neu generiertes Konto bei Ankunft wirkungslos.
• Die Identitätsverifizierung allein verhindert die Modellextraktion nicht. Sie ist eine von drei Ebenen und ersetzt die anderen beiden nicht.

Was tatsächlich geschah

Der Bericht von Anthropic ist es wert, vollständig gelesen zu werden, aber drei Ergebnisse sind für jeden, der Zugriffssteuerungen entwirft, am wichtigsten.

Das Volumen konzentrierte sich auf wenige Akteure. Anthropic führte „über 13 Millionen“ Austausche auf MiniMax zurück, „über 3,4 Millionen“ auf Moonshot AI und „über 150.000“ auf DeepSeek. Dies sind keine opportunistischen Abgriffe. Es sind nachhaltige Industrieprogramme.

Die Konten waren koordiniert, und die Koordination war in den Metadaten sichtbar. Anthropic beschrieb „identische Muster, gemeinsame Zahlungsmethoden und koordinierte Zeitabläufe“, die „'Load Balancing'“ über Konten hinweg „nahelegten“. Die Zuordnung erfolgte über „Anfragemetadaten und Infrastrukturindikatoren“ – in einem Fall Anfragemetadaten, die „mit den öffentlichen Profilen von leitenden Moonshot-Mitarbeitern übereinstimmten.“

Die Prompts wiederholten sich in absurd großem Umfang. Anthropic stellte fest, dass Prompt-Variationen „zehntausende Male über Hunderte von koordinierten Konten hinweg“ eintrafen.

Liest man diese drei zusammen, ergibt sich ein Muster. Fast jedes Signal, das diese Kampagnen aufdeckte, war ein relationales Signal – etwas, das über Konten hinweg geteilt wurde. Gemeinsame Zahlungsmethoden. Gemeinsames Timing. Gemeinsame Infrastruktur. Gemeinsame Prompt-Vorlagen. Keines davon ist sichtbar, wenn die Analyseeinheit ein einzelnes Konto ist.

Warum die Pro-Konto-Überprüfung fehlschlägt

Die meisten Missbrauchstools basieren auf einem Pro-Konto-Urteil. Ein Konto meldet sich an, wird bewertet, erhält ein Risikoband und eine Entscheidung. Dieses Modell funktioniert gut für den Missbrauch, für den es entwickelt wurde – ein Betrüger, der eine gestohlene Karte verwendet, ein Spammer, der einen Kanal überflutet.

Es versagt bei der Destillation aus einem spezifischen strukturellen Grund: Der Angreifer kontrolliert, wie viel der Kampagne ein einzelnes Konto trägt.

Wenn Ihre Überprüfungsschwelle „ein Konto, das 50.000 ungewöhnliche Anfragen stellt“ ist, verwendet der Angreifer 20.000 Konten, die jeweils 800 Anfragen stellen. Wenn Ihre Schwelle sinkt, fügen sie Konten hinzu. Die Ökonomie begünstigt sie, weil Konten der billigste Input im System sind. Ein Frontier-Modell-API-Aufruf hat echte Grenzkosten; eine E-Mail-Adresse nicht.

Das Optimierungsproblem des Angreifers ist also einfach: Halten Sie das Verhalten pro Konto unterhalb der jeweiligen Pro-Konto-Schwelle und skalieren Sie horizontal. Und es funktioniert, weil die Verteidigung das falsche Objekt misst. Sie misst Konten, während der Gegner ein Akteur ist.

Das ist die Hydra-Eigenschaft. Schlägt man ein Konto ab, erscheinen zwei weitere, weil das, was Konten generiert, nie angetastet wurde. Ein Proxy-Netzwerk, das mehr als 20.000 Konten gleichzeitig betreibt, wie Anthropic berichtete, ist der reine Ausdruck davon – in diesem Umfang ist das Entfernen von Konten einzeln keine Verteidigung, sondern eine Wartungsaufgabe.

Um eine Hydra zu besiegen, muss man aufhören, Köpfe abzuschlagen und anfangen, den Körper zu finden.

Die drei Schichten einer Destillationsabwehr

Eine ernsthafte Verteidigung hat drei Schichten, die unterschiedlich verantwortet werden.

Schicht	Verantwortlich durch	Rolle
Modellkontrollen	Der Modellprovider	Begrenzung sensibler Schlussfolgerungsspuren, Formung der Ausgaben, Schutz des Modellverhaltens
Verkehrserkennung	Der Modellprovider oder ein Forschungs-/Anbieterstack	Erkennung repetitiver, semantisch konzentrierter oder koordinierter Extraktionsmuster
Verifizierter Zugang	Identitätsinfrastruktur	Auflösung, wer hinter einem Konto steckt, Verknüpfung gemeinsamer Identifikatoren, Durchsetzung von Richtlinien für alles, was mit einem bestätigten Missbraucher verbunden ist

Die ersten beiden Schichten sind gut verstanden und werden aktiv erforscht. Auf der Verkehrsseite sind die jüngsten wissenschaftlichen Arbeiten wirklich ermutigend: Liu, Guo und Dong (arXiv 2606.05725, Juni 2026) formulieren die Extraktionsüberwachung als benign-kalibrierte Verteilungsprüfung von Verkehrsfenstern, wobei die maximale mittlere Diskrepanz im semantischen Raum nur auf benignen Verkehr kalibriert wird. Bei vierzehn Angreifer-Normal-Abfragepaaren aus vier Extraktionsszenarien berichten sie über eine 100%ige Erkennungsrate für reine Angreiferfälle bei einer Fehlalarmrate von 0,3% bei benignen Abfragen.

Das ist ein starkes Ergebnis, und es ist wichtig, klar zu sein, was es bedeutet: Verkehrserkennung funktioniert, und es ist nicht die Ebene, über die Didit spricht. Die semantische Analyse von Prompt-Distributionen ist Aufgabe des Modellproviders und sollte dort bleiben.

Die dritte Ebene ist diejenige mit den am wenigsten veröffentlichten Designrichtlinien – auch im kanonischen Brief der Branche zur Bedrohung.

Was der kanonische Brief abdeckt

Das Frontier Model Forum veröffentlichte sein Issue Brief zur Adversarial Distillation am selben Tag wie der Bericht von Anthropic. Es ist ein gutes Dokument. Es definiert Adversarial Distillation als heimlichen Zugriff auf die Ausgaben eines Modells – typischerweise unter Verletzung der Nutzungsbedingungen – um ein sekundäres Modell zu trainieren, das die Fähigkeiten des Lehrermodells repliziert und dabei dessen Sicherheitstraining umgeht. Es katalogisiert die Methoden: Chain-of-Thought-Exfiltration, Chain-of-Thought-Kritik, Chain-of-Thought-Autograding, Prompt-Generierung für Reinforcement Learning und synthetische Datengenerierung. Es nennt die Zielfähigkeiten: mathematisches und wissenschaftliches Denken, agentisches Codieren, multimodale Verarbeitung, allgemeines Denken.

Es erkennt auch die reale Spannung in diesem Bereich an – „diese Sicherheitsbedenken anzugehen, ohne legitime Forschung zu behindern.“

Was es nicht enthält, ist eine Empfehlung zur Kontoverifizierung, Identitätsauflösung, Ratenbegrenzung oder Zugriffssteuerung.

Das ist eine bewusste und vernünftige Entscheidung: Der Brief soll die Bedrohung und ihre Methoden definieren, nicht Kontrollen vorschreiben. Das Design der Zugriffsebene ist einfach ein anderes Dokument.

Es ist jedoch ein Dokument, das die Branche noch nicht wirklich geschrieben hat – obwohl das Labor, das die Bedrohung gemessen hat, „verstärkte Verifizierung für Bildungs- und Startup-Konten“ unter den Minderungsmethoden auflistete, in die es investiert, direkt neben Erkennungsklassifikatoren und Verhaltens-Fingerprinting. Die Zugriffsebene leistet in der Praxis echte Arbeit und hat sehr wenig veröffentlichte Designrichtlinien dahinter. Darum geht es im Rest dieses Beitrags.

Was die verifizierte Zugriffsebene tatsächlich leistet

Seien Sie präzise bei der Behauptung hier, denn Übertreibungen führen dazu, dass diese ganze Kategorie an Glaubwürdigkeit verliert.

Die Identitätsverifizierung erkennt keine Destillation. Sie kann keine Prompt-Semantik sehen, sie weiß nicht, welche Fähigkeit angezielt wird, und sie wird Ihnen niemals sagen, dass ein Anfragenstrom wie Chain-of-Thought-Exfiltration aussieht. Das ist die Aufgabe der Verkehrsebene.

Was die Identität bewirkt, ist, die Kostenstruktur des Angreifers auf vier spezifische Weisen zu ändern.

Sie reduziert die Anonymität. Ein Konto, das an eine verifizierte Person oder ein registriertes Unternehmen gebunden ist, ist ein Konto mit einem zurechenbaren Eigentümer. Das stoppt Missbrauch nicht, aber es ändert, was Missbrauch kostet und welche Risiken er birgt.

Sie verknüpft Konten, die etwas Physisches teilen. Zwei Konten, die von demselben Gesicht, demselben Gerät oder demselben Netzwerk registriert wurden, sind miteinander verbunden, unabhängig davon, ob ihr Verhalten verwandt aussieht. Dies ist das Signal, das eine Pro-Konto-Überprüfung nicht erzeugen kann, und es ist genau die Art von Signal – gemeinsame Zahlungsmethode, gemeinsames Timing, gemeinsame Infrastruktur – die die von Anthropic beschriebenen Kampagnen aufdeckte.

Sie macht die Regeneration teuer. Die Hydra-Eigenschaft hängt davon ab, dass neue Konten billig und von alten getrennt sind. Wenn ein bestätigter Missbrauchsfall auf jeden Identifikator übertragen wird, den er berührt hat – Gesicht, Dokument, Telefon, E-Mail, IP und Gerät – schlägt das nächste Konto, das über dieselbe Infrastruktur erstellt wird, an der Tür fehl, anstatt 800 Anfragen später erwischt zu werden.

Sie hält die Reibung von legitimen Entwicklern fern. Dies ist die Einschränkung, die das Ganze praktikabel macht. Eine Verifizierung, die auf jeden angewendet wird, ist eine Wachstumssteuer. Eine adaptiv angewendete Verifizierung – nach Zugriffsebene, Quote, Kreditvolumen, Geografie oder einer Verhaltenswarnung von der Verkehrsebene – legt die Reibung auf das Risiko und lässt den Pfad für vertrauenswürdige Entwickler schnell.

Vier Dinge. Keines davon ist „verhindert Extraktion“. Alle vier sind real.

Wo Didit passt

Didit ist eine Infrastruktur für Identität und Betrug, und die Primitive, die sich zu einer verifizierten Zugriffsebene zusammensetzen, sind solche, die wir bereits liefern und deren Preise wir veröffentlichen:

• Identitätsverifizierung – Ausweisdokument, passive Liveness, Gesichtsabgleich und IP-Analyse, gebündelt zu 0,33 $ pro Verifizierung, mit 500 kostenlosen KYC-Verifizierungen pro Monat.
• Gesichtssuche 1:N – biometrische Suche über die von Ihrer eigenen Anwendung registrierten verifizierten Benutzer, kostenlos mit Verifizierung. Dies ist das Primitiv, das zwei Konten mit einer Person verknüpft.
• IP- & Geräteanalyse – 0,03 $, und im 0,33 $-Paket enthalten. Gibt DUPLICATED_IP_ADDRESS, DUPLICATED_DEVICE_FINGERPRINT, DEVICE_RECOVERED_HIGH_CONFIDENCE, AUTOMATION_FRAMEWORK_DETECTED und verwandte Codes aus.
• Lists API – Blacklists über 12 Eintragstypen, wobei das Blacklisting von einer bestätigten Sitzung die von dieser Sitzung erfassten Identifikatoren – Gesicht, Dokument, Telefon, E-Mail, IP und Gerät – automatisch extrahiert.
• Biometrische Authentifizierung – 0,10 $ passwortlose Neuverifizierung, zur Bindung einer privilegierten Aktion an die Person, die sich angemeldet hat, und nicht an ein Bearer-Token.
• Unternehmensverifizierung – ab 2,00 $ pro Unternehmen: Registerabfrage, letztendliche wirtschaftliche Eigentümer und leitende Angestellte, mit Unternehmensprüfung zu 0,20 $ und jeder verknüpften Identitätsprüfung für einen wirtschaftlichen Eigentümer, die zu Standard-Benutzerverifizierungspreisen abgerechnet wird. Für Zugriffe auf Organisationsebene und Forschungsebene.

Sie komponieren diese zu der Richtlinie, die Ihre Plattform benötigt. Die Komposition ist Ihre Architektur; die Primitive sind die Teile. Jedes wird über die vereinheitlichte /v3/-API mit einem veröffentlichten Preis und ohne Minimum geliefert – einige als eigener Endpunkt, wie POST /v3/face-search/, und einige über einen Sitzungs-Workflow, wie die biometrische Authentifizierung, die keinen eigenen Standalone-Endpunkt hat.

Anwendungsfälle

Frontier-Modell-Anbieter. Binden Sie Zugriffe mit hoher Quote, hohem Guthaben und Forschungsebene an eine verifizierte Person oder ein Unternehmen, während die kostenlosen und niedrigvolumigen Ebenen reibungslos bleiben.

KI-API-Plattformen und Inferenz-Anbieter. Wiederverkäufer und Aggregatoren erben den Missbrauch, ohne den Erkennungs-Stack zu erben. Eine Zugriffsebene ist oft die einzige Kontrolle, die sie realistisch besitzen.

KI-Codierungs- und Agentenprodukte. Testmissbrauch und Kredit-Farming verwenden dieselben Konto-Multiplikationsmechanismen wie die Destillation. Dieselben Verknüpfungs-Primitive lösen beides.

Cloud-KI-Plattformen und Marktplätze. Eine Verifizierung auf Organisationsebene beantwortet die Frage „Ist dies ein echtes Unternehmen mit echten wirtschaftlichen Eigentümern“, bevor eine Unternehmensquote gewährt wird.

Häufig gestellte Fragen

Verhindert die Identitätsverifizierung die Modelldestillation?

Nein. Die Extraktion wird – soweit möglich – durch modellbasierte Ausgabekontrollen und semantische Verkehrserkennung verhindert. Die Identität reduziert die Anonymität, verknüpft Konten über eine Kampagne hinweg und lässt regenerierte Konten frühzeitig scheitern. Sie ist eine von drei Ebenen.

Wird die Verifizierung legitime Entwickler nicht abschrecken?

Nur wenn Sie sie auf jeden anwenden. Das funktionierende Design ist adaptiv: Verifizieren Sie nach Risiko, Stufe, Quote, Kreditvolumen, Geografie oder einer Verhaltenswarnung. Die meisten Entwickler sollten niemals einen Verifizierungsschritt sehen. Didits wiederverwendbares KYC ist kostenlos, sodass ein Entwickler, der bereits an anderer Stelle im Netzwerk verifiziert wurde, eine Prüfung ohne erneute Durchführung bestehen kann.

Kann Didit mir sagen, ob ein Anfragenstrom wie Destillation aussieht?

Nein. Didit sieht Ihre Prompts nicht und analysiert keine Anfragesemantik. Dieses Signal kommt von Ihrer eigenen Verkehrsebene. Was Didit bietet, ist die Identitätsauflösung, um diese Warnung einem Akteur zuzuordnen, und die Durchsetzungs-Primitive, um über jedes mit ihnen verbundene Konto hinweg zu agieren.

Was kostet das im Maßstab einer KI-Plattform?

Die Verifizierung wird pro erfolgreicher Prüfung ohne Mindestbetrag berechnet: 0,33 $ für das vollständige Identitätspaket, 0,03 $ für die IP- und Geräteanalyse allein, kostenlos für die Gesichtssuche 1:N, 0,10 $ für die biometrische Re-Authentifizierung und ab 2,00 $ für die Unternehmensverifizierung. Da die Richtlinie adaptiv ist, zahlen Sie nur für den Teil des Zugriffs, der tatsächlich eine Prüfung rechtfertigt. Die ersten 500 KYC-Verifizierungen pro Monat sind kostenlos.

Wir haben bereits einen Betrugsanbieter. Warum ist dieser anders?

Die meisten Betrugstools geben ein Pro-Konto-Urteil ab. Das Destillationsproblem ist ein Pro-Akteur-Problem, und die Primitive, die Konten mit einem Akteur verknüpfen – 1:N biometrische Suche über Ihre eigenen Benutzer, Geräte- und IP-Korrelation sowie die Weitergabe von Blacklists über jeden Identifikator aus einem einzigen bestätigten Fall – sind die spezifischen Dinge, die eine Pro-Konto-Bewertung nicht leistet.

Bereit zum Start?

Beginnen Sie mit dem Primitiv, das das Verknüpfungssignal erzeugt, das Ihnen heute fehlt.

• Lesen Sie die Dokumentation – Gesichtssuche 1:N, IP- & Geräteanalyse-Warnungen und die Lists API.
• Sehen Sie sich das Produkt an – Benutzerverifizierung und Unternehmensverifizierung.
• Überprüfen Sie die Preise – jedes Modul ist öffentlich bepreist, Pay-per-Success, keine Mindestbeträge.
• Kostenlos starten – erstellen Sie ein Konto unter business.didit.me und führen Sie Ihre ersten 500 KYC-Verifizierungen pro Monat kostenlos durch.