Vývojář napsal dotaz do čínského modelu Kimi. Odpověď, kterou dostal, ale nenapsal Kimi — napsal ji Claude, protože Moonshot požadavek potichu přeposlal Anthropicu a část těch konverzací si uložil na trénink. Totéž podle Anthropicu dělal DeepSeek a Xiaomi. Pro českou firmu je to nepříjemné zjištění z jednoho konkrétního důvodu: když jste dali vývojářům levný čínský model přes router, možná jste o tom nevěděli, komu všemu jste posílali firemní kód a přístupové údaje. A z pohledu GDPR jste za to vy, ne oni.
Co se stalo
- Kdo to zveřejnil a kdy: Anthropic vydal 10. září 2026 zprávu Detecting and countering misuse of AI: September 2026, pokrývající aktivitu, kterou přerušil mezi prosincem 2025 a srpnem 2026. Sekce o nelegální destilaci popisuje kampaně, které přiřadil sedmi laboratořím se sídlem v Číně: Alibaba, Moonshot, DeepSeek, Zhipu (venku jako Z.ai), Xiaomi, SenseTime a MiniMax. Anthropic píše, že šlo o modely veřejně dostupné; na Mythos 5 a Mythos Preview útoky nepozoroval.
- Moonshot servíroval Claude místo Kimi. Anthropic to popisuje takto: Moonshot „tiše přeposílal zákaznické požadavky Claudovi místo toho, aby je zpracoval Kimi", a odpovědi Clauda pak ukazoval uživatelům. Ti si mysleli, že používají Kimi. Za deset dní takto přeposlal skoro 300 000 zákaznických požadavků, drtivou většinu na Opus, přes síť 5 380 podvodných účtů, které se tvářily jako účty v Singapuru a Japonsku. Celkem Anthropic Moonshotu připsal přes 23 milionů výměn mezi květnem a červencem 2026.
- DeepSeek dělal totéž — a vybíral si podle nástroje. Tohle je detail, který v přehledech zapadl: DeepSeek podle Anthropicu kontroloval textové řetězce v příchozích požadavcích a označkoval si uživatele, kteří pracovali přes vývojářské nástroje typu Claude Code, Claude Agent SDK nebo OpenCode. Právě těm pak požadavky přesměroval na Claude Opus. Nešlo tedy o náhodný vzorek provozu, ale o cílený výběr toho nejhodnotnějšího — programátorských sezení. Rozsah: přes 12,1 milionu výměn za 14 dní v červenci 2026.
- Xiaomi přehrával uložené relace uživatelů — přes běžné vývojářské harnessy. Anthropic výslovně jmenuje, že přehrávané konverzace a programátorská sezení z vlastních modelů MiMo posílal Xiaomi do Clauda „často přes kódovací harnessy OpenClaw a OpenCode". Přes 400 000 požadavků přes více než 1 500 účtů, v období březen–duben 2026. Anthropic dodává, že Xiaomi možná spustilo model MiMo-V2-Pro s bezplatným zkušebním obdobím — které pak prodloužilo — právě proto, aby nárůst mezinárodního vývojářského provozu využilo k destilaci; hlavní vlna útoků prý začala zrovna ve chvíli, kdy trial končil.
- Co v těch přeposlaných promptech bylo. Tady přestává jít o spor dvou firem o duševní vlastnictví. Anthropic uvádí, že přeposlaná data obsahovala „jména, e-mailové adresy, firemní data a další citlivé údaje stovek koncových uživatelů nejméně v tuctu jazyků". Zveřejnil dvě začerněné ukázky skutečných promptů: jeden byl interní model investičních výdajů farmaceutické firmy s částkami pro závody v Ho Či Minově Městě, Kuala Lumpuru, Bangkoku a Lublani, druhý živé přístupové údaje vývojáře — token Telegram bota, Feishu appSecret a integrační klíč do Notionu. Napsal je člověk, který řešil, proč mu nefunguje oznamovací bot. Netušil, že píše dvěma firmám najednou.
- A ještě horší obsah. Mezi relacemi, které Moonshot přeposlal, Anthropic našel uživatele, kterého vyhodnocuje jako pravděpodobně spojeného s čínskou armádou; ten do domnělého Kimi nahrával archiv záznamů ze stovek kamer v Čcheng-tu, aby model posoudil, jestli se sledovaná osoba nechová nezvykle. U DeepSeeku zase mezi přeposlanými požadavky byly živé přihlašovací údaje do databáze ruského vládního úřadu spojeného s ministerstvem obrany a práce inženýrů, kteří stavěli systém pro městský úřad veřejné bezpečnosti v Číně. Všichni tihle lidé posílali data někam, kam poslat nechtěli.
- Právní hodnocení od Anthropicu: „Tyto praktiky jsou pravděpodobně v rozporu se zákony na ochranu soukromí a s vlastními podmínkami služby těchto laboratoří." Anthropic u Moonshotu dodává, že neví, zda Moonshot své zákazníky o přesměrování informoval.
- Druhý, nezávislý a úřední zdroj: ještě před Anthropicem, 8. září 2026, vydaly NSA, CISA a FBI společné varování AA26-251A. Píše se v něm, že čínské AI firmy „pravděpodobně s vědomím čínské vlády" získaly „miliardy tokenů napříč miliony výměn" z amerických špičkových modelů — jmenovitě z variant Claude, GPT, Gemini a Grok — nejméně od konce roku 2024. Úřady jmenují DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun a Z.AI. Přístup si podle nich firmy obstarávaly přes šedý trh proxy služeb zvaných „transfer stations".
- Jedna věta z úředního dokumentu, která má vlastní hodnotu: „Veřejně uváděné tréninkové náklady DeepSeeku ve výši 5,6 milionu dolarů jsou zavádějící, protože nezahrnují skutečnou cenu dat získaných rozsáhlou škodlivou destilací." To je přímá reakce tří amerických úřadů na číslo, které se poslední rok cituje v každé druhé prezentaci o levné AI.
Co jsem při ověřování našel navíc: ty dva seznamy se neshodují. Anthropic jmenuje sedm laboratoří a jsou mezi nimi Xiaomi a SenseTime, které v úředním varování nejsou. Úřady naopak jmenují StepFun, který v Anthropicově zprávě chybí. Společný průnik je pět firem: DeepSeek, Moonshot, Alibaba, MiniMax a Z.AI/Zhipu. Když někde uvidíte jedno souhrnné číslo „šest" nebo „sedm firem", je to zkratka — jde o dvě různá šetření s různým záběrem, které se překrývají jen částečně. Pro praxi to znamená, že ani jeden seznam nemusí být úplný.
Druhá věc, která mi z primárního zdroje přišla zajímavější než čísla: Zhipu se podle Anthropicu nejdřív pokoušel destilovat kybernetické schopnosti z Anthropicova modelu Fable, ale vzdal to, protože ho zastavila tamní ochranná opatření — a přešel na starší Opus 4.6 a na model jiné americké laboratoře, „výslovně proto, že podle jejich posouzení tam byla ochrana slabší". Útočník si vybírá dodavatele podle toho, kde je nejmenší odpor. To je přesně ta logika, kterou u sebe potřebujete otočit.
Proč se to týká i vás
Většina českých firem nemá vlastní model a tenhle příběh čte jako souboj velmocí. Jenže praktický dopad je docela přízemní a týká se nejspíš i vás, pokud ve firmě někdo programuje.
Levné čínské modely — Kimi, DeepSeek, GLM, MiMo, Qwen — se u nás používají hodně, protože stojí zlomek ceny amerických a v kódu si vedou dobře. Skoro nikdo je nevolá přímo; jde se přes routery a agregátory, kde si přepnete model v rozbalovacím seznamu. Anthropic přitom výslovně píše, že podstatná část přeposlaného provozu šla „přes služby třetích stran pro směrování modelů, běžně používané uživateli v USA a Evropě". Jinými slovy: ta trasa vede přes nástroje, které tady používáme taky.
Z toho plyne konkrétní riziko ve třech vrstvách:
Osobní údaje. Pokud vaši lidé vkládali do promptů jména, e-maily nebo cokoli o zákaznících, jste vy jako správce odpovědní za to, kdo ta data zpracovává. Zpracovatel nesmí zapojit dalšího zpracovatele bez vašeho souhlasu — to je základ článku 28 GDPR. Když poskytovatel modelu potichu přepošle požadavek někomu dalšímu, o kom vaše dokumentace neví, nedodrželi jste tuhle povinnost vy, i když jste o tom neměli tušení. Argument „nevěděli jsme to" vám nezmizí, ale nezbaví vás odpovědnosti; zbaví vás jí jedině to, že jste to měli ošetřené dřív.
Obchodní tajemství a přístupové údaje. Zveřejněná ukázka s tokenem bota a integračním klíčem je typická. Vývojář v zápalu ladění nakopíruje do promptu celý konfigurační soubor. Když ten prompt skončí u dvou firem místo jedné, máte úniku přístupových údajů, o kterém se nikdy nedozvíte z logu — protože se nic nerozbilo.
Smluvní dokumentace, která už neodpovídá skutečnosti. Pokud jste zákazníkovi nebo v záznamech o činnostech zpracování napsali, které dodavatele AI používáte, a jeden z nich si mezitím tiše přidal dalšího do řetězce, je ten dokument nepřesný. To se týká i firem, které mají AI Act vyřešený na papíře — tohle není otázka AI Actu, ale obyčejné správy dodavatelů.
Podotýkám, že Anthropic je v téhle věci zaujatá strana: popisuje útoky na sebe a má zjevný zájem na tom, aby se čínská konkurence jevila jako nelegitimní. Právě proto je podstatné, že část tvrzení nezávisle potvrzují NSA, CISA a FBI v úředním dokumentu. Obviněné firmy se podle CNBC k věci bezprostředně nevyjádřily; jejich stanovisko tedy zatím nemáme a je dobré s tím počítat.
Co s tím
- 1. Zjistěte, přes co vaši lidé volají modely. Ne „jaký model používáme", ale jakou cestou: přímo k dodavateli, přes agregátor, nebo přes nástroj, který si trasu vybírá sám? Stačí jeden dotaz vývojářům a pohled do fakturace. Kde je mezi vámi a modelem prostředník, tam nevíte, kdo vaše prompty vidí — a tenhle případ ukazuje, že to nemusí být jen teorie.
- 2. Rotujte klíče, které někdo mohl vložit do promptu. Když vaše firma v posledním půlroce používala čínské modely přes router a vývojáři do nich vkládali konfigurační soubory, berte tokeny a API klíče z toho období jako potenciálně kompromitované. Rotace klíče stojí půl hodiny; zjišťovat, jestli unikl, se nedá.
- 3. Napište do vývojářského pravidla jednu větu, která tam nejspíš není. „Do promptu se nevkládají přístupové údaje ani celé konfigurační soubory; místo hodnoty se použije zástupný text." Je to banalita, ale ukázka zveřejněná Anthropicem je přesně tenhle případ a stalo se to profesionálovi.
- 4. Ověřte, že seznam dodavatelů v dokumentaci odpovídá realitě. Pokud v záznamech uvádíte poskytovatele AI, projděte, jestli tam někdo nepřibyl nebo se nezměnila trasa. U dodavatelů mimo EU si zkontrolujte, co mají v podmínkách o zapojení dalších zpracovatelů — a jestli se o změnách vůbec zavazují informovat.
- 5. Nevyvozujte z toho zákaz čínských modelů. Byl by to snadný, ale špatný závěr. Ten problém není v zemi původu, ale v neprůhledné trase mezi vámi a modelem — a ta může být neprůhledná i u evropského agregátoru. Rozhodující je, jestli víte, kdo požadavek skutečně zpracuje, a jestli se to zavázal nezměnit bez vašeho vědomí.
A teď proti vlastnímu byznysu: na tohle nepotřebujete AI audit ani nikoho zvenčí. Celé to uzavřete za jedno odpoledne vlastními silami — seznam nástrojů, rotace klíčů, jedna věta do interního pravidla. Pokud vám někdo (včetně mě) na základě téhle zprávy nabízí rozsáhlé posouzení rizik, zeptejte se ho napřed, jaké tři konkrétní kroky vám doporučí, a jestli je zvládnete sami. Většinou zvládnete.
Kde to řeším s klienty
Co z tohohle tématu u klientů skutečně dělám, je nudná věc: mapa toho, kudy ve firmě tečou prompty — které nástroje kam volají, kdo je mezi vámi a modelem, a co z toho je zachyceno ve smlouvách a v záznamech o činnostech zpracování. Obvykle se najde jeden nástroj, o kterém vedení nevědělo, a jeden dodavatel, který v papírech chybí. Je to součást AI Act Readiness Auditu, ale dává smysl i samostatně, protože s AI Actem to nemá nic společného — je to GDPR a správa dodavatelů. Jestli chcete jen rychle vědět, jestli se vás to týká, napište mi přes kontakt; když z prvních otázek vyjde, že voláte modely napřímo a klíče máte mimo prompty, řeknu vám, že jste v pořádku, a nebudeme v tom pokračovat.