概要
米国のNSA(国家安全保障局)、CISA(サイバーセキュリティ・インフラセキュリティ庁)、FBI(連邦捜査局)は9月8日、共同勧告(AA26-251A)を発表し、DeepSeek、Moonshot AI、Alibaba、MiniMax、StepFun、Z.AIの中国AI企業6社が2024年末以降、AnthropicのClaude、OpenAIのGPT、GoogleのGemini、xAIのGrokといった米国製フロンティアAIモデルに対して「産業規模」の組織的な知識蒸留(distillation)キャンペーンを行っていたと非難した。両機関は、これらの企業がより大規模で高性能なモデルの出力を用いて自社モデルを訓練する手法により、数十億トークンを不正に抽出していたとし、「中国を拠点とするAI企業は、制限された独自機能を抽出する攻撃的かつ悪質、標的型の蒸留活動を産業規模で行っている」と強い表現で警告した。
蒸留の手口と規模
勧告によれば、各社はネイティブAPI、リモートクラウドプロバイダー、サードパーティのアグリゲーターを経由したリクエストの分散に加え、地理的制限や利用制限を回避するための代理経路「トランスファーステーション」(中国国内ではTaobaoやXianyuといったプラットフォームでグレーマーケットのプロキシサービスとして流通)を活用していたとされる。具体的な手法としては、モデルに隠れた推論過程を開示させるジェイルブレイク型プロンプトによるチェーン・オブ・ソート(思考過程)の抽出、ブロック時に自動的に別経路へ切り替えるフェイルオーバー機構、防御側の対抗策を検知する高度な品質評価フレームワーク、開発チーム間で使い回す大量のサブスクリプション購入などが挙げられている。企業別では、DeepSeekが2024年末から2025年中頃にかけて推論能力や特化型最適化を標的にしたほか、Moonshot AIはClaude Fable 5やGPT-4oのデータを抽出、AlibabaはClaude-4、Claude Opus、Claude Sonnetといった複数バージョンのClaudeとGPT-5をソフトウェア工学用途で蒸留、MiniMaxは2025年後半にClaudeやGeminiからCoT推論を抽出、StepFunはコーディング機能目的でClaudeやGPT-5系列にアクセスし、Z.AIはGPT-5.5やClaude Opus 4.8から数十億トークンを抽出していたと指摘されている。抽出は数百万件のAPIリクエストにまたがっており、新規アカウントが即座に利用上限まで達する、人間が使わない時間帯も含め継続的にアクセスがある、多数のIPアドレスからアカウントを共有している、複数プロバイダーで同一のプロンプトが使われている、サブスクリプションに対して利用率が異常に高い、といった挙動が不審な兆候として示された。
安全保障上の位置づけと対策の呼びかけ
勧告は、蒸留が中国AI企業の開発戦略における「単なる補完ではなく中核」をなしており、開発期間の大幅な短縮や訓練コストの削減を可能にしていると評価した。またその作戦規模と巧妙さから、中国政府がこうした活動を認識している可能性があるとの見方も示している。CISAのニック・アンダーセン長官代行は、AI企業に対し「知識蒸留キャンペーンから自社プラットフォームを守るため直ちに対策を講じる」よう促した。具体的な対策としては、異常なプロンプトやアカウント挙動の検知、不正利用が疑われる場合の応答内容の意図的な変更、複数プロバイダー・プラットフォーム間での組織横断的な脅威情報共有、クエリのレート制限や差分プライバシーの導入などが挙げられている。Arctic Wolf社のラボ・脅威調査・インテリジェンス担当バイスプレジデント、イスマエル・バレンズエラ氏は、今回の事案が「正当なアクセス権限の悪用」に当たると指摘し、高度で資金力のある攻撃者に対する協調的な対応の必要性を強調した。
背景と今後の展望
今回の共同勧告は、中国AI企業への蒸留疑惑としては今回が初めてではない。Anthropicは2026年2月にも同様のキャンペーンを報告しており、Googleの脅威インテリジェンスチームも、視覚・音声理解や画像・動画生成能力を狙った1億件を超えるプロンプトによる蒸留キャンペーンを最近観測している。米国のAI技術的優位性を揺るがしかねないこの問題は、米中間のAI開発競争における新たな争点として今後も注視される見通しで、フロンティアモデルを提供する企業側には検知技術の高度化と業界横断の情報共有体制の構築が急務となっている。