Anthropic und OpenAI im Anti-Distillationskampf: Kontosperren, versteckte Gedankenketten – doch der Angriff bleibt unaufhaltsam

Autor: Wang Ziyi, LatePost (晚點)

Redaktion: Cheng Manqi

Die Geschäftslogik ist wichtiger als die technische Logik.

Am 10. September 2026 veröffentlichte Anthropic einen 154-seitigen Bericht, in dem es angab, groß angelegte Destillationsangriffe von sieben chinesischen KI-Laboren auf Claude identifiziert und blockiert zu haben.

Destillation ist eine gängige Methode des Modelltrainings: Entwickler generieren Daten mit einem stärkeren Modell und nutzen diese Daten, um ihr eigenes Modell zu trainieren, das das führende Modell imitiert. Anthropic bezeichnet das unbefugte, groß angelegte und verdeckte Extrahieren von Modellfähigkeiten als „unerlaubte Destillation“ (illicit distillation).

Anthropic zufolge nutzten die betreffenden Institutionen beim Extrahieren der Ausgaben der Spitzenmodelle einige eindeutig regelwidrige Methoden: etwa gestohlene Kreditkarten, Anmeldedaten und API-Schlüssel, um massenhaft gefälschte Konten zu erstellen.

Der Bericht führt weiter aus, dass einige chinesische Modellfirmen Nutzeranfragen an Claude weiterleiteten oder Nutzerdialoge von Drittanbieter-Routingdiensten kauften, um mit diesen Daten Modelle zu trainieren. Ein Teil der Dialoge enthielt Namen, Unternehmensdaten und gültige Zugangsdaten.

Dies ist nicht die erste Anschuldigung von Anthropic bezüglich „Destillationsangriffen“. Im Februar 2026 erklärte das Unternehmen, DeepSeek, Moonshot AI und MiniMax hätten über rund 24.000 gefälschte Konten mehr als 16 Millionen Interaktionen mit Claude durchgeführt. Seitdem hat Anthropic seine Abwehrmaßnahmen verstärkt. Auch OpenAI und Google identifizieren und bekämpfen Destillationsangriffe kontinuierlich.

Können diese Maßnahmen Destillation verhindern?

Liu Yi, Assistenzprofessor an der australischen Griffith University, ist skeptisch. Er forscht seit langem zu künstlicher Intelligenz und Cybersicherheit und war zuvor als KI-Forschungswissenschaftler bei Quantstamp tätig. Seine 2023 veröffentlichte Forschung zu Prompt-Injection (prompt injection) wird im Eintrag LLM 01 der globalen Sicherheitsorganisation OWASP als Referenz aufgeführt. Zudem erhielt er zweimal eine Sicherheitslücken-Prämie von Anthropic und hat Angriffe zum Diebstahl von Gedankenketten führender kommerzieller Modelle untersucht.

Liu Yi teilte seine Kernbeurteilung mit:

Am Beispiel von Anthropic haben US-amerikanische Spitzenmodell-Unternehmen derzeit hauptsächlich drei Verteidigungslinien gegen Destillation eingerichtet:

(1) Einsatz von Klassifikatoren, die speziell zur Erkennung von adversarieller Datenextraktion entwickelt wurden, damit das Modell verdächtige Anfragen endogen ablehnt;

(2) Verbergen oder Komprimieren der Gedankenkette in der Architektur, bevor sie ausgegeben wird;

(3) Einsatz externer Detektoren zur Erkennung von Datenextraktion, gefolgt von Abbruch der Anfrage oder Kontosperrung.

Anti-Destillation ist eine Scheinfrage. Theoretisch ist Destillation schwer zu verhindern; das realistischere Ziel der US-Spitzenmodell-Unternehmen ist es, die Kosten der Datenerfassung zu erhöhen, Wettbewerber zu verlangsamen und den Vorsprung zu verlängern.

Für die US-Spitzenmodell-Unternehmen schützt Anti-Destillation nicht nur die Modellfähigkeiten, sondern auch den kommerziellen Wert, der auf dem technologischen Vorsprung aufbaut.

Liu Yi ist der Ansicht, dass beim Verständnis der Anti-Destillationsmaßnahmen der US-Spitzenmodell-Unternehmen die Geschäftslogik wichtiger ist als die technische Logik.

Anthropic kann verdächtiges Destillationsverhalten erkennen, aber schwer eindeutige Beweise erlangen

LatePost : Anthropic veröffentlichte am 10. September einen Bericht, in dem sieben chinesische KI-Labore der unerlaubten Destillation beschuldigt werden. Was genau bedeutet hier „Destillationsangriff“?

Liu Yi: Die derzeitigen großen Sprachmodelle bestehen aus drei Teilen: der Eingabe des Nutzers, der Gedankenkette (chain of thought) des Zwischenschritts und der Ausgabe des Modells. Anthropic und OpenAI verbergen derzeit die Gedankenkette und geben nur die endgültige Antwort aus. Bei komplexen Denkaufgaben ist das Extrahieren der Gedankenkette eine Form des Destillationsangriffs.

LatePost : Warum sind Daten wie Denkverläufe und vollständige Agenten-Trajektorien so wichtig für die Verbesserung der Modellfähigkeiten?

Liu Yi: Man kann die Gedankenkette als die bereits gelöste Antwort eines stärkeren Modells verstehen – hochwertige Daten, die für das Modelltraining verwendet werden können.

Die Leistung großer Modelle wird gemeinsam durch Parameteranzahl (N), Datenmenge (D) und Rechenmenge (C) bestimmt. Die Parameteranzahl steigt bei allen Unternehmen relativ schnell; bei begrenzter Zeit und Rechenleistung benötigen Unternehmen mehr hochwertige Daten, um die Modellfähigkeiten schneller zu verbessern.

Doch die Konstruktion hochwertiger Daten für komplexe, langfristige Aufgaben ist sehr schwierig, und wertvolle Trainingsdaten aus der realen Welt werden immer knapper. Daher destillieren einige große Modellunternehmen auf verschiedene Weise fortgeschrittenere Modelle.

LatePost : Wie extrahiert man die Gedankenkette und weitere Aufgaben-Trajektorien?

Liu Yi: Dafür gibt es verschiedene Technikkombinationen. Zum Beispiel durch Encoding, Jailbreaking (越獄), Prompt-Injection (prompt injection) und anschließend durch verschiedene Arten von Hypnose, bei der man der KI ständig eine Persona zuweist, damit sie glaubt, sie sei ein Forscher, der eine schwierige, aber bedeutungsvolle Aufgabe löst und sich darauf konzentrieren muss. Ich habe nicht viel Austausch mit Leuten in China, aber ich weiß, dass KI-Fachleute im Ausland auf diese Weise Gedankenketten rekonstruieren – im Grunde genügt ein Blick auf die Paper, um die Ansätze zu verstehen.

Neben dem direkten Extrahieren der ursprünglichen Gedankenkette kann man auch versuchen, die Zwischen-Gedankenkette anhand von Eingabe und Ausgabe zu synthetisieren. Angeblich verkaufen einige Datenunternehmen Gedankenketten für langfristige Aufgaben für 800–1000 Yuan pro Stück.

LatePost : Wer wird unter Anthropic, OpenAI und Google am häufigsten destilliert?

Liu Yi: Laut öffentlichen Berichten dürfte es Anthropic sein. Aber ich bin mir nicht sicher. Ich habe mir die tatsächlichen Texte der Gedankenketten von DeepSeek, GLM, Kimi, Anthropic und OpenAI angesehen – die Sprachstile unterscheiden sich kaum. Es ist schwer zu sagen, wer wen destilliert; möglicherweise haben sie anfangs sogar DeepSeek destilliert.

LatePost : Wie erkennt man technisch Destillationsangriffe? Welche Beweiskette ist nötig, um von „diese Anfragen ähneln einer Destillation“ zu „das ist die Destillation einer bestimmten Institution“ zu gelangen?

Liu Yi: Anthropic urteilt stärker anhand des Aufrufverhaltens. Beispielsweise senden bestimmte Konten plötzlich massenhaft Anfragen und extrahieren konzentriert bestimmte feste Datensätze.

Anthropic lokalisiert zunächst abnormale Konten und sucht dann nach Mustern, die verschiedene Konten teilen, etwa identische System-Prompts. Da die verwendeten Agenten-Architekturen (Harness) unterschiedlich sind, unterscheiden sich auch die System-Prompts; dadurch lässt sich das dahinterstehende Unternehmen identifizieren. Mithilfe von Prefix-Caching (prefix caching) kann Anthropic beispielsweise feststellen, welche Prompt-Gruppen denselben Cache teilen und nicht mit den bekannten System-Prompts übereinstimmen – so lassen sich Destillierer leicht lokalisieren.

LatePost : Kann Anthropic nach der Identifizierung abnormaler Konten weiter eindeutig belegen, dass seine Daten tatsächlich in ein bestimmtes Modell eingeflossen sind?

Liu Yi: Eine 100-prozentige Bestätigung ist sehr schwierig. Man kann ein Unternehmen beschuldigen, Claude destillieren zu wollen, aber es ist schwer zu beweisen, dass bestimmte Daten tatsächlich in das Modell des Gegners gelangt sind.

GLM, Kimi und DeepSeek sind zwar Open-Source-Modelle, aber sie veröffentlichen nur die Gewichte, nicht die Datensätze. Aus den Modellgewichten lassen sich kaum eindeutige Destillationsbeweise ableiten. Andernfalls müsste Anthropic im Bericht nicht so vage bleiben und sich auf die Funktionsweise der Relaisstationen (中轉站) konzentrieren – im Kern liegt das daran, dass eine White-Box-Analyse nicht möglich ist.

Ein weiteres Beispiel: Fragt man ein großes Modell nach den ersten 100 Wörtern des ersten Harry-Potter-Buchs, wird es diese wahrscheinlich ausgeben. Das bedeutet aber nicht, dass es direkt auf dem Original trainiert wurde; es könnte auch aus Blogs oder Buchrezensionen stammen, die den Originaltext zitieren.

LatePost : Das heißt, ein „Destillationsangriff“ lässt sich schwer vollständig beweisen und auch schwer widerlegen.

Liu Yi: Anthropic kann über plattformseitige Aufrufprotokolle, Kontoverknüpfungen und Infrastrukturinformationen relativ starke Zuschreibungsbelege bilden. Aber das ist eine andere Frage als der Nachweis am finalen Modell selbst, dass bestimmte Claude-Daten tatsächlich ins Training eingeflossen sind. Letzteres ist technisch deutlich schwieriger.

Anti-Destillation erhöht die Erfassungskosten der Gegner und kann auch normale Nutzer „versehentlich treffen“

LatePost : Welche konkreten technischen Methoden haben die US-Spitzen-KI-Unternehmen derzeit gegen Destillationsangriffe?

Liu Yi: Ich unterteile sie in drei Kategorien.

Erstens, eingebettete Erkennung: Anthropic dürfte über spezielle Klassifikatoren für die Extraktion von Gedankenketten verfügen. Sobald erkannt wird, dass ein mit der Gedankenkette verbundener Zustand aktiviert wurde, kann das Extraktionsverhalten gestoppt werden.

Zweitens, Verbergen auf Produktarchitektur-Ebene: Das Modell gibt nicht mehr die ursprüngliche Gedankenkette aus, sondern komprimiert und fasst sie zuerst zusammen, bevor es sie ausgibt.

Drittens, externe Erkennung: Beispielsweise kann geprüft werden, ob die Ausgabe mit der eigenen Gedankenkette überlappt. Wird eine bestimmte Leckage-Schwelle erreicht, wird die Ausgabe gestoppt. Häufen sich solche Verhaltensweisen, wird das Konto gesperrt.

LatePost : Der Bericht von Anthropic enthält diese Details nicht. Woher wissen Sie davon?

Liu Yi: Das ist meine eigene Vermutung, denn es handelt sich um gängige Vorgehensweisen. Warum veröffentlicht Anthropic Bug-Bounty-Programme (漏洞賞金), um die eigenen Sicherheitsmaßnahmen zu testen? Es will Geld ausgeben, um Leute dazu zu bringen, seine Prompts zu jailbreaken – sobald eine Schwachstelle entdeckt wird, wird sie sofort in den eigenen Klassifikator trainiert, sodass der nächste Angriff immer schwieriger wird.

LatePost : Sie haben zweimal eine Sicherheitslücken-Prämie von Anthropic erhalten. Wie lief das ab?

Liu Yi: Ich habe damals etwa zwei bis drei Wochen gebraucht, hauptsächlich im Rahmen des von Anthropic autorisierten Bug-Bounty-Programms, um adversarielle Tests (Adversarial Testing) gegen den Sicherheitsklassifikator durchzuführen und Eingaben zu finden, die die bestehende Abwehr umgehen können. Denn ein Durchbruch ist zero or one – nur Erfolg oder Misserfolg, kein 0,5-Zustand. Das Ziel der Aufgabe war es, bestimmte von Anthropic vorgegebene Informationen zu erlangen, nicht direkt die Gedankenkette zu rekonstruieren. Aber manche Logik ist ähnlich.

LatePost : Können Maßnahmen gegen Destillationsangriffe normale Abonnement-Nutzer versehentlich treffen?

Liu Yi: Normale Abonnement-Nutzer sollten weitgehend verschont bleiben. Die Risikokontrolle wird vor allem durch abnormale Nutzer ausgelöst, etwa Konten von Relaisstationen oder Konten, die versuchen, Claude anzugreifen.

Ich erinnere mich, dass der Bericht von Anthropic auch zwei Bachelor-Studenten einer Universität in Hunan offenlegte, die selbst einen Cybersicherheits-Agenten entworfen hatten, um damit verschiedene Websites anzugreifen – das wurde alles aufgedeckt.

Theoretisch kann Anthropic alle Informationen einsehen, die Sie mit ihm austauschen, wenn es das will.

LatePost Kann Anthropic also Nutzerdaten abrufen und einsehen, wenn es Nutzer als potenzielle Bedrohung einstuft?

Liu Yi: Das hängt von den Nutzungsbedingungen der jeweiligen Modellunternehmen ab. Soweit ich weiß, bieten Anthropic, OpenAI und Google einen Zero-Data-Retention-Mechanismus (ZDR, Null-Daten-Aufbewahrung) an und versprechen, nach Abschluss der Aufgabe die vom Kunden eingegebenen Prompts und die KI-generierten Antworten sofort zu vernichten – nicht zu speichern, nicht aufzubewahren und nicht für das Modelltraining zu verwenden. Diese Funktion richtet sich hauptsächlich an qualifizierte API- oder Unternehmenskunden und erfordert in der Regel eine Beantragung oder zusätzliche Konfiguration. Für normale Nutzer von Claude, ChatGPT und Gemini gelten die Datenaufbewahrungsrichtlinien der jeweiligen Nutzungsvereinbarungen, die nicht mit striktem ZDR gleichzusetzen sind.

Wenn ein Modellunternehmen Ihre Daten beispielsweise leicht umschreibt und für das Training verwendet – zählt das dann als Nutzung Ihrer Daten?

LatePost : Das heißt, die Spitzenmodelle lassen Nutzer einerseits für die Nutzung bezahlen und verwenden andererseits möglicherweise Nutzerdaten, um weiter zu skalieren?

Liu Yi: Richtig. Wenn Nutzer beispielsweise in Claude Code oder Codex die Antworten des Modells korrigieren, sind diese Rückmeldungen wertvolle Belohnungssignale (獎勵信號), die das Post-Training (後訓練) verbessern können.

Bei der Destillation gilt dieselbe Logik. Das Post-Training aktueller Modelle stützt sich hauptsächlich auf Reinforcement Learning (強化學習); entscheidend sind Belohnungssignale. Wenn ein Modellunternehmen die Gedankenkette eines leistungsstärkeren Modells erhält, entspricht das dem Erhalt des „großen Ergebnisses“ – es bekommt direkt hochwertige Lösungswege. Das reduziert blindes Explorieren, lässt das Modell schneller zu einem besseren Zustand konvergieren und spart Zeit und Rechenleistung.

LatePost : Was ist das Erfolgskriterium der US-Spitzenmodell-Unternehmen bei der Abwehr von Destillationsangriffen?

Liu Yi: Erstens, andere Modellunternehmen daran zu hindern, Abkürzungen beim Training zu nehmen, und den eigenen Vorsprung zu sichern. Zweitens, die Destillations- und Datenerfassungskosten anderer Modellunternehmen zu erhöhen. Gleichzeitig soll die normale Nutzung möglichst wenig beeinträchtigt werden.

LatePost : Kann das verhindert werden?

Liu Yi: Ich denke, es ist nicht vollständig zu verhindern. Solange ein Modell genutzt werden kann, besteht ein Leckagerisiko.

Allerdings habe ich kürzlich gesehen, dass OpenAI am 10. September die öffentliche Beta der Agents API offiziell gestartet hat. Anders als bei der bisherigen Responses API, bei der der Nutzer eine Eingabe macht, das große Modell eine Ausgabe liefert und dazwischen eine Gedankenkette steht, ist die Logik der Agents API: Der Nutzer gibt eine Aufgabe, erhält direkt das Ergebnis der Aufgabe. Die Gedankenkette und der Agenten-Harness-Prozess dazwischen werden verborgen – es wird quasi eine gesamte Ausführungsumgebung verkauft. Der Nutzer muss sich nicht mehr um sehr detaillierte Dinge kümmern; die Aufgabenausführung wird insgesamt immer abstrakter. In diesem Szenario dürften Destillationsangriffe noch teurer werden.

Das wahre Motiv der Anti-Destillation: öffentliche Meinung besetzen, Bewertung schützen

LatePost : Halten Sie Destillation für die optimale Lösung zur Verbesserung der Modellfähigkeiten? Es scheint, als könne die Geschwindigkeit der Nachahmer nie mit der Geschwindigkeit der Spitzeninnovation mithalten?

Liu Yi: Ich hatte früher die Ansicht, dass 2024 kurzfristig die Innovation der Modellstruktur selbst ein Burggraben ist. Danach könnte sich der Burggraben auf Rechenleistung ausweiten. Und danach auf Infrastruktur und Energie. Ich beobachte, dass sich die Entwicklung derzeit ungefähr in diese Richtung bewegt.

LatePost : In welchen Teil Ihrer Burggraben-Herleitung lässt sich Destillation einordnen?

Liu Yi: Ich denke, sie lässt sich der Rechenleistung zuordnen. Theoretisch könnte man durch mehr Versuche auch darauf kommen, aber die Zeit erlaubt es möglicherweise nicht.

LatePost : Was schützt Anti-Destillation letztlich?

Liu Yi: Anti-Destillation ist eine Scheinfrage. Theoretisch ist Destillation nicht zu verteidigen – der menschlichen Natur entsprechend: Solange die Effizienz, dich zu destillieren, höher ist als die Effizienz, eigene Daten für das Modelltraining zu konstruieren, werde ich dich zuerst destillieren.

LatePost : Sie halten den Anti-Destillationskampf der US-Spitzen-KI-Unternehmen also für einen zum Scheitern verurteilten Feldzug?

Liu Yi: Ja. Das ist meine Ansicht.

LatePost : Wenn es technisch zum Scheitern verurteilt ist, warum sind die US-Spitzen-KI-Unternehmen dann so hartnäckig?

Liu Yi: Sie wollen ihren technologischen Vorsprung halten. Kürzlich gab OpenAI an, mit rund 10.000 KI-Agenten (智能體) in 88 Stunden den mathematischen Beweis für eines der sieben „Millennium-Probleme“ (千禧年難題) abgeschlossen zu haben. Angenommen, DeepSeek verkündet Ende dieses Jahres, alle sieben Millennium-Probleme gelöst zu haben, und schreibt im Technikbericht: Ich habe die Aufgabe mit nur einem Zehntel der Kosten von OpenAI erledigt. Dann könnten US-Investoren fragen: Warum brauchst du so viel Geld und bist trotzdem schlechter als andere? Die Bewertung von OpenAI könnte daraufhin sinken.

Das Wesen des Anti-Destillationsverhaltens von OpenAI und anderen US-Spitzenmodell-Unternehmen ist daher letztlich Geschäftslogik und nicht nur die Logik der Technologieentwicklung:

Anthropic will erstens Daten sammeln und ein eigenes Daten-Schwungrad (數據飛輪) aufbauen, und zweitens den ARR (Annual Recurring Revenue, jährlich wiederkehrende Einnahmen) besser aussehen lassen, um sich auf den Börsengang (IPO, Initial Public Offering) vorzubereiten.

Bei OpenAI ist die Logik ähnlich. Warum verteilt OpenAI ständig Reset-Karten (重置卡) an alle – ist das nicht so, als würde man bei jedem Drücken Geld verschenken? Genau, um Daten zu sammeln und die Finanzberichte besser aussehen zu lassen.

LatePost : Am 12. September veröffentlichte Anthropic-Gründer Dario Amodei einen Beitrag, in dem er die gesamte Branche aufforderte, das Tempo der Iteration von Spitzen-KI-Modellen zu verlangsamen. Wie sehen Sie das?

Liu Yi: Ich denke, sie haben einige Engpässe erkannt. Die Engpässe könnten drei Faktoren haben: erstens Daten, zweitens Rechenleistung, drittens Infrastruktur/Energie. Welcher Engpass es konkret ist, kann ich derzeit nicht sagen; möglicherweise spielen alle drei Faktoren eine Rolle.

Kapital ist stets profitorientiert. Theoretisch: Wenn ich AGI (Artificial General Intelligence, künstliche allgemeine Intelligenz) bauen könnte, könnte ich die ganze Welt ernten; es gäbe keinen Grund, die Entwicklung zu stoppen – ich würde einfach „volle Kraft voraus“ AGI verwirklichen. Wahrscheinlich sind sie auf Engpässe gestoßen und treten deshalb unter dem Deckmantel der KI-Sicherheit an die Öffentlichkeit und rufen: KI ist zu gefährlich, lasst uns erst einmal zusammensetzen und diskutieren, wie wir die Entwicklung von KI begrenzen.

LatePost : Was ist Ihrer Meinung nach der eigentliche Grund für die Anti-Destillation der Spitzenmodell-Unternehmen?

Liu Yi: Die Destillationskosten der Gegner erhöhen und den eigenen Vorsprung halten. Sie gehen vielleicht davon aus, dass chinesische Modelle sie bald einholen werden, haben aber keinen besseren Weg gefunden, ihren Vorsprung zu halten, und können nur die Beschränkungen verschärfen und zuerst die Deutungshoheit in der öffentlichen Meinung besetzen.

Aus Sicht des einfachen Branchenkonsenses ist Destillation ein großes Sicherheitsproblem, gleichbedeutend mit dem Diebstahl geistigen Eigentums. Aus praktischer Sicht ist sie jedoch im Kern eine Art KI-Gleichberechtigung. Destillation ist eine Möglichkeit, den Markt schnell auszugleichen. Gerade weil es viele Wettbewerber gibt, kann kein einzelnes Modellunternehmen monopolisieren, allein dominieren und die Preise nach Belieben festsetzen.

LatePost : Sie haben die positive Seite der Destillation erwähnt. Welche potenziellen Schäden kann Destillation andererseits für die gesamte Branche und für normale Nutzer mit sich bringen?

Liu Yi: Für die Branche gleichen sich die Ausgabestile an; Modelle erben bestimmte Fehlermuster der Lehrer-Modelle. Für Nutzer bestehen gewisse Risiken des Datenlecks.

LatePost : In welchem Zustand befindet sich Ihrer Ansicht nach der KI-Sicherheitsbereich insgesamt, einschließlich des Destillations-Angriffs- und Verteidigungsspiels, und vor welchen Herausforderungen steht er?

Liu Yi: Ich achte stärker auf die strukturelle Spannung zwischen KI-Sicherheit und kommerziellen Anreizen.

Modellunternehmen investieren tatsächlich erhebliche Ressourcen in Sicherheit, aber in manchen Szenarien können strengere Sicherheitsmaßnahmen die Modellfähigkeiten beeinträchtigen, Produktveröffentlichungen verzögern oder die Nutzererfahrung verschlechtern. Sicherheitsziele und Wettbewerbsziele sind also nicht immer vollständig deckungsgleich. Eine wichtige Governance-Frage ist daher, wie sich Sicherheitsinvestitionen besser mit den kommerziellen Anreizen der Unternehmen in Einklang bringen lassen. Zumindest kurzfristig ist es schwer, eine elegante Lösung zu finden, die sowohl Sicherheitsprobleme löst als auch die Modellleistung nicht opfert.

LatePost : Wie wird sich der Destillationsangriff Ihrer Meinung nach weiterentwickeln?

Liu Yi: Angriff und Verteidigung werden weitergehen und ein dynamisches Gleichgewicht erreichen. Es dürfte mehrere Strömungen geben: Erstens, ohne Gedankenkette direkt zu destillieren und zu erkunden, wie weit sich ein Spitzenmodell destillieren lässt. Zweitens, unter Beibehaltung der Gedankenkette die ursprüngliche Gedankenkette zu erlangen. Drittens, die Gedankenkette selbst zu synthetisieren.

LatePost : Welchen Rat haben Sie für normale Nutzer, um die Preisgabe privater Daten zu vermeiden?

Liu Yi: Nutzen Sie keine Relaisstationen. Wenn Sie bei bestimmten Modellen auswählen können, ob Ihre Daten für das Training verwendet werden dürfen, wählen Sie nicht „Ja“. Mehr können Sie nicht tun. Schließlich gilt: Der Mensch ist das Messer, ich bin der Fisch.