CSET: Ping-basierte Chip-Ortung ist die beste Option, lohnt sich aber womöglich nicht

Schmuggel trotz Exportkontrollen

Seit 2022 beschränkt die US-Regierung die Ausfuhr der leistungsfähigsten KI-Chips nach China und in andere problematische Länder. Laut CSET haben Schmuggler diese Kontrollen wiederholt umgangen und Hunderttausende Chips umgeleitet. Eine vom Zentrum zitierte Schätzung geht davon aus, dass allein 2024 und 2025 mehr als 450.000 moderne KI-Chips nach China geschmuggelt wurden. Das entspricht nach Angaben des CSET der Rechenleistung von ein bis zwei hochmodernen KI-Supercomputern, Stand Anfang 2026.

Jacob Feldgoise vom CSET zufolge erleichtern zwei Merkmale des Chiphandels den Schmuggel. Die Wertschöpfungskette ist globalisiert: Die meisten im Ausland verkauften KI-Chips werden von US-Unternehmen entworfen, aber nicht in den USA gefertigt, was es den US-Strafverfolgungsbehörden erschwert, Umleitungen aufzuspüren. Zudem verkaufen die Entwickler oft nicht direkt an die Endnutzer. Ein Chip kann daher über einen Serverhersteller, einen Distributor und einen Wiederverkäufer laufen, und jede dieser Transaktionen bietet eine Gelegenheit zum Schmuggel.

Das tatsächliche Ausmaß ist unbekannt. Anklagen des US-Justizministeriums und investigative Recherchen haben mehr als zehn Schmuggelsysteme aufgedeckt, die eine Untergrenze markieren. Forscher von Epoch AI und CNAS haben auf Grundlage dieser Berichte statistische Modelle entwickelt, doch Feldgoise zufolge sind die Schätzungen sehr unsicher, weil nur aufgedeckte Umleitungen bekannt sind. Er vergleicht das mit einem Eisberg: Ob der verborgene Anteil 50 oder 90 Prozent beträgt, mache einen großen Unterschied.

Was der Bericht untersucht hat

Der Bericht Tracking AI Chips: Assessing Location Verification as an Export Control Enforcement Tool stammt von Feldgoise, Kyle Miller und Hanna Dohmen. Er untersucht Instrumente, mit denen Aufsichtsbehörden feststellen können, wo sich Chips physisch befinden. US-Politiker sehen solche Methoden zunehmend als Möglichkeit, Schmuggel aufzudecken, und der vorgeschlagene Chip Security Act soll eine Standortverifizierung von KI-Chips vorschreiben.

Das Bureau of Industry and Security (BIS) im Handelsministerium stützt sich derzeit auf Handels- und Lizenzdaten, Erkenntnisse aus allen Quellen, Hinweise aus der Branche, freiwillige Selbstanzeigen und Endverwendungskontrollen im Ausland. Feldgoise sagt, diese Methoden deckten durchaus Schmuggel auf, doch das bestehende System habe Mühe, die Kontrollen für KI-Chips ausreichend durchzusetzen. Schmuggel ganz zu verhindern sei unmöglich, ergänzt er, Ziel sei es, große Schmugglerringe aufzudecken und zu zerschlagen.

Das Team prüfte fünf Kategorien von Methoden: physische Inspektionen, Inspektionen per Postversand, Videoinspektionen, Bestandsverwaltungswerkzeuge und Geolokalisierungsmechanismen. Die Geolokalisierung unterteilt sich in GPS-basierte, topologiebasierte und ping-basierte Standortverifizierung (PLV). Bei der PLV wird der Standort eines Chips geschätzt, indem gemessen wird, wie lange Signale vom Chip zu vertrauenswürdigen Servern und zurück brauchen.

Die Forscher bewerteten jede Methode anhand von vier Kriterien: Sie muss überprüfbar, genau, sicher und wiederholbar sein. Nur physische Inspektionen und die PLV erfüllen diese Anforderungen laut Bericht derzeit. Die übrigen Methoden scheitern an der Sicherheit, einige zusätzlich an der Überprüfbarkeit oder Genauigkeit. Nach der Simulation von mehr als 10 Millionen Szenarien stellte das Team fest, dass physische Inspektionen in keinem davon pro Dollar mehr umgeleitete Chips aufspürten als die PLV. Als Ergänzung sollten physische Inspektionen dennoch dienen, insbesondere für anschließende Durchsetzungsmaßnahmen.

Fünf Grenzen der PLV und wie es weitergeht

Das CSET nennt fünf wesentliche Einschränkungen der PLV, von denen die meisten auch für andere Methoden der Standortverifizierung gelten:

• Bereits im Umlauf befindliche Chips könnten die PLV nur unterstützen, wenn die Endnutzer ein Software- oder Firmware-Update installieren, was Kooperation voraussetzt, und hardwarebasierte PLV lässt sich nach der Fertigung nicht nachrüsten.
• Reagiert ein Chip nicht mehr, kann die PLV nicht unterscheiden, ob er umgeleitet wurde, eingelagert oder unterwegs ist oder absichtlich vom Netz genommen wurde.
• Finanzstarke Schmuggler könnten die PLV täuschen und einen Standort melden, an dem sich der Chip eigentlich befinden sollte, und selbst starke Sicherheitsmaßnahmen können dieses Risiko nicht vollständig ausschließen.
• Selbst unter Idealbedingungen wäre die PLV wohl bestenfalls auf etwa 20 Meilen genau. Sie kann daher nahe beieinanderliegende Rechenzentren verschiedener Betreiber nicht zuverlässig unterscheiden und auch nicht das Land eines Chips nahe einer Grenze bestimmen.
• Die PLV prüft, wo Chips sind, nicht, wer sie nutzt. Eine Weitergabe an einen nicht autorisierten Nutzer am selben Ort bliebe daher unentdeckt.

Der Bericht empfiehlt, dass das BIS Unternehmen zunächst jede Methode einsetzen lässt, die alle vier Kriterien erfüllt. Die Standortverifizierung könnte Ansatzpunkte für Ermittlungen liefern und die Kosten für Schmuggler erhöhen, wobei sich laut Feldgoise nicht beziffern lässt, wie stark sie abschreckt.

Sein Fazit fällt vorsichtig aus. Sollten sich die Politiker für eine Standortverifizierung entscheiden, würden die Empfehlungen sie so kosteneffizient wie möglich machen, doch angesichts der Einschränkungen seien „wir nicht überzeugt, dass sie den Aufwand wert ist“. Ob sie eingeführt wird oder nicht: Die Politik sollte die Durchsetzung der Exportkontrollen stärken, so Feldgoise, unter anderem durch den Ausbau der herkömmlichen Durchsetzungsmethoden des BIS und die Modernisierung der IT des Bureaus.