Distillatie-aanval: hoe een AI-model heimelijk wordt gekopieerd
Stel je voor: een chef-kok heeft jarenlang geëxperimenteerd om het perfecte recept voor een gerecht te ontwikkelen. Een concurrent mag niet in de keuken kijken, maar bestelt wel honderdduizenden keren het gerecht, proeft steeds heel precies wat erin zit en reconstrueert zo, hap voor hap, het recept. Uiteindelijk serveert de concurrent een bijna identiek gerecht, zonder ooit het origineel te hebben gezien. Iets vergelijkbaars kan gebeuren met kunstmatige intelligentie: een distillatie-aanval is een manier om de kennis van een geavanceerd, vaak duur trainen AI-model te kopiëren door simpelweg heel veel vragen aan dat model te stellen en de antwoorden te gebruiken om een eigen, goedkoper model te trainen.
Het woord "distillatie" komt oorspronkelijk uit een onschuldige en veelgebruikte techniek in AI-onderzoek: knowledge distillation, waarbij een groot "lerarenmodel" een kleiner "leerlingmodel" traint door het te laten oefenen op de uitkomsten van de leraar. Dat is normaal gesproken legitiem en gebeurt met toestemming, bijvoorbeeld om een AI-model geschikt te maken voor een telefoon. Een distillatie-aanval is de schaduwzijde daarvan: dezelfde truc, maar dan zonder toestemming, gericht op een model waar je normaal geen toegang tot de binnenkant hebt, zoals een commerciële chatbot die je alleen via internet kunt bevragen.
Wat is het precies?
Een modern AI-model, zoals een grote taalmodel (large language model, LLM), is het resultaat van maanden training op enorme hoeveelheden data en dure rekenkracht, die kan oplopen tot tientallen miljoenen euro's. Bedrijven maken hun model daarna vaak toegankelijk via een API (application programming interface): een soort loket waar gebruikers een vraag insturen en een antwoord terugkrijgen, zonder dat ze de interne opbouw van het model kunnen zien.
Bij een distillatie-aanval stuurt iemand stelselmatig en op grote schaal vragen naar dat loket. Elk antwoord dat terugkomt, wordt opgeslagen als trainingsvoorbeeld. Na verloop van tijd ontstaat zo een grote verzameling van vraag-antwoordparen die het gedrag van het originele model nabootsen. Die verzameling wordt gebruikt om een nieuw, eigen model te trainen dat leert de antwoorden van het origineel te imiteren, ook wel "model-extractie" of "model stealing" genoemd.
Het slimme, en tegelijk problematische, aan deze aanpak is dat de aanvaller de binnenkant van het doelmodel niet hoeft te kennen. Er is geen toegang nodig tot de broncode, de trainingsdata of de gewichten (de miljarden getallen die de "kennis" van het model vastleggen). Alleen de buitenkant, de vraag-en-antwoordinterface, is genoeg. Onderzoekers noemen dit een black-box aanval: je kijkt niet in de doos, je leert alleen van wat er uitkomt.
Wat wil men ermee bereiken?
De motieven achter distillatie-aanvallen lopen uiteen. Sommige actoren willen simpelweg geld besparen: het trainen van een topmodel vanaf nul is extreem duur, terwijl het "aftappen" van een bestaand model via zijn API relatief goedkoop is. Zo kan een kleinere partij een model bouwen dat qua prestaties in de buurt komt van een marktleider, zonder de bijbehorende onderzoekskosten te dragen.
Andere motieven zijn strategisch of geopolitiek. Toegang tot de allernieuwste AI-chips is door exportbeperkingen niet voor iedereen even makkelijk, waardoor distillatie een manier kan zijn om met minder rekenkracht toch een sterk model te bouwen, gebaseerd op de "ervaring" van een model dat wel met veel rekenkracht is getraind. Ook kan het gaan om het omzeilen van veiligheidsmaatregelen: door te leren van een model dat al goed gefilterde, betrouwbare antwoorden geeft, kan een kopie soms ongewild ook die eigenschappen overnemen, of net de kwetsbaarheden ervan.
Voor de bedrijven die het slachtoffer zijn, gaat het niet alleen om gederfde inkomsten. Een gekopieerd model kan ook gebruikt worden om kwetsbaarheden in het origineel op te sporen, omdat een offline kopie makkelijker te onderzoeken en te "kraken" is dan het beveiligde origineel.
Voorbeelden uit de praktijk
Het fenomeen is niet nieuw, maar kreeg de afgelopen jaren steeds meer aandacht naarmate AI-modellen waardevoller werden.
- Tramèr e.a., 2016: onderzoekers van Cornell University en Google publiceerden een van de eerste wetenschappelijke studies die aantoonden dat commerciële machine-learning-diensten (zoals die van Amazon en het toenmalige BigML) via hun voorspel-API's konden worden nagebouwd door er systematisch vragen aan te stellen.
- Carlini e.a., 2024: een team van onder meer Google DeepMind en OpenAI liet zien dat het mogelijk was om exacte onderdelen van productiemodellen, waaronder versies van OpenAI's GPT-3.5, via de publieke API te reconstrueren, wat aantoonde dat ook zeer grote taalmodel niet immuun zijn.
- DeepSeek-controverse, eind 2024 - begin 2025: OpenAI en Microsoft meldden aanwijzingen dat groepen gelieerd aan het Chinese bedrijf DeepSeek op grote schaal de API van OpenAI hadden bevraagd, mogelijk om via distillatie de eigen modellen te trainen. Dit voorval, breed uitgemeten in de internationale technologiepers, zette het onderwerp voor het eerst prominent op de kaart bij een breed publiek.
- Onderzoek naar gezichtsherkenning- en sentiment-API's, 2018-2020: diverse academische teams toonden aan dat ook commerciële API's voor gezichtsherkenning en tekstanalyse via distillatie konden worden nagebouwd, met modellen die tachtig tot negentig procent van de nauwkeurigheid van het origineel behaalden.
Hoe ver is de techniek?
Distillatie-aanvallen zijn technisch al langere tijd haalbaar voor relatief eenvoudige modellen, zoals classificatiemodellen die bijvoorbeeld spam herkennen. Bij grote taalmodel met miljarden parameters ligt het lastiger: een volledige, perfecte kopie maken blijft zeer moeilijk en duur, omdat daarvoor enorme aantallen API-aanroepen nodig zijn, wat opvalt en geld kost.
Wat wél goed lukt, is het benaderen van het gedrag van een model zonder het exact te evenaren. Een kopie hoeft niet identiek te zijn om nuttig te zijn voor een aanvaller: als een goedkoper model 80 tot 95 procent van de kwaliteit van het origineel haalt tegen een fractie van de trainingskosten, is dat voor veel toepassingen al voldoende.
De belangrijkste obstakels voor aanvallers zijn detectiemechanismen (bedrijven monitoren afwijkend gebruikspatroon van hun API's), gebruiksvoorwaarden die distillatie expliciet verbieden, en technische tegenmaatregelen zoals het toevoegen van kleine, onzichtbare variaties aan antwoorden ("watermerken") om herkomst aantoonbaar te maken. Deze verdedigingen zijn nog geen van allen waterdicht, en het is oprecht onzeker hoe effectief ze op lange termijn blijven tegen steeds slimmere extractiemethoden.
Wie werken eraan?
Aan de aanvalskant van het onderzoek staan vooral universitaire groepen die de risico's in kaart willen brengen, waaronder onderzoekers van Cornell University, Google DeepMind en de ETH Zürich, die regelmatig publiceren over model-extractie als onderdeel van bredere AI-veiligheidsstudies.
Aan de verdedigingskant investeren de grote AI-aanbieders zelf het meest, simpelweg omdat zij het meeste te verliezen hebben. OpenAI, Google DeepMind, Anthropic en Microsoft hebben allemaal detectiesystemen en aangescherpte gebruiksvoorwaarden geïntroduceerd die grootschalig, geautomatiseerd bevragen van hun API's aan banden leggen. Ook academische instellingen zoals het Center for AI Safety en verschillende Europese onderzoeksgroepen, onder meer verbonden aan initiatieven van de Europese Unie rond AI-beleid, bestuderen hoe modelbescherming en intellectueel eigendom in de AI-sector het beste kunnen worden gewaarborgd.
Op geopolitiek niveau speelt de discussie zich vooral af tussen de Verenigde Staten en China, waarbij Amerikaanse bedrijven en beleidsmakers zich zorgen maken over ongeautoriseerde distillatie van hun modellen door partijen die daardoor sneller kunnen opschalen dan via eigen fundamenteel onderzoek.