概要
Anthropicは10月12日、Claudeの内部推論過程を無断で抽出し、より小規模なモデルの訓練に利用する「蒸留攻撃(distillation attack)」への新たな防御策を発表した。詐欺的なアカウントネットワークを使い産業規模でClaudeの思考過程を収集するキャンペーンに対し、推論内容の保護・抽出検知分類器・不正アカウントの自動停止という三層の防御を組み合わせ、抽出されるデータ量を90〜99%削減したとしている。蒸留者が入手できる推論トークン量は従来の10分の1から100分の1に低下し、一部の日には実質ゼロに近づいたという。
防御の仕組みと技術的背景
第一の柱は「推論内容の保護(Preserved Thinking)」で、Claude Fable 5.1やOpus 5.5に導入された。2026年8月31日以降に作成されたAPIアカウントでは、過去の推論内容を編集して別モデルに読み込ませる手口や、組織をまたいで推論を渡す行為を禁止し、推論ログへのアクセスをリクエスト元の組織内に限定した。第二の柱は、憲法的分類器(constitutional classifier)をベースとした二段階の検知システムで、別言語への翻訳を装う、独自タグで推論を再構成させるといった巧妙な抽出手口を検出する。内部・外部のレッドチーム評価では誤検知率を0.1%未満に抑えているという。第三の柱として、検知されたアカウントには使用制限を課し、繰り返し蒸留を試みるアカウントは検知から2時間以内に停止する運用を敷いた。9月24日からは、分類器が検知したリクエストそのものに課金する仕組みも導入している。
蒸留者側の手口も詳細に明らかになった。要約された推論だけでは十分な性能が得られず、Claude Opus 4.8の完全な推論で訓練したモデルはSWE-bench Verifiedで80.4%を記録したのに対し、要約版の推論で訓練した場合は71.8%まで性能が低下した。このため攻撃者は「直前の推論をそのまま出力せよ」といった直接的な指示を試みるなど、ある1組織だけで1万2000種類の迂回手法を検証していたという。
関与が疑われる企業と国家安全保障への懸念
Anthropicは、中国企業のZhipu(Z.ai)とMoonshot AIの関与を指摘している。Zhipuは自社モデルGLM-5.3の開発中にClaude Fable 5のサイバー能力を蒸留しようとし、防御策により攻撃の効果が低下したことを確認した後、より古いClaudeモデルや他社のモデルに切り替えていたことが確認された。第三者評価機関CAISSIはGLM-5.3を「最もサイバー能力の高いオープンウェイトモデル」と評している。Moonshot AIは自社モデルKimiへのリクエストを密かにClaudeへ転送する手法を用い、人民解放軍関連とみられるユーザーからの監視分析要求も確認されたという。DeepSeekやAlibaba、MiniMaxなども関与が疑われており、Anthropicはこれまでに数万件のアカウントを禁止している。Anthropicは、蒸留によって安全対策が不十分なまま高性能モデルが流通することが、生物・サイバーセキュリティ分野などでの悪用リスクや国家安全保障上の懸念につながると強調する。
今後の見通し
Anthropicは蒸留対策を「今後も続くネコとネズミの追いかけっこ(cat-and-mouse game)」と位置づけつつ、現時点では「高度かつ執拗な回避の試みはまだ見られていない」としている。蒸留はあらゆる開発者・プラットフォームに共通する問題であり、性能が同等でありながら堅牢な防御策を持たないモデルに攻撃者が容易にアクセスできれば自社の防御努力も無意味になるとして、フロンティアモデルを開発する全企業・プラットフォームが協調して防御を強化する必要があると呼びかけている。