Anthropic、Claudeを狙った3社の大規模な蒸留攻撃を公表
「生成AIニュースメモ」は、生成AIの最新ニュースを要点3行＋詳細メモで記録していくシリーズです。関連するG検定キーワード解説への内部リンク付きで、最新動向のキャッチアップと試験の時事対策に使えます。
- 1DeepSeek・Moonshot・MiniMaxの3社が約24,000の不正アカウントで1,600万件超のやり取りを生成し、Claudeの能力を不正に抽出していたと特定
- 2不正に蒸留されたモデルは安全対策を欠いたまま能力が拡散するため、国家安全保障上のリスクや輸出規制の骨抜きにつながると指摘
- 3分類器による検知、業界・当局との情報共有、アクセス管理の強化、蒸留の効果を下げる対抗策の開発などで対応
Anthropicは2026年2月23日(米国時間)、DeepSeek・Moonshot・MiniMaxの3つのAIラボが、Claudeの能力を不正に抽出して自社モデルの改善に利用する産業規模のキャンペーンを行っていたと公表しました。3社は約24,000の不正アカウントを通じてClaudeと1,600万回を超えるやり取りを生成しており、利用規約と地域のアクセス制限に違反していると指摘しています。強いモデルの出力で別のモデルを訓練する「蒸留」を悪用したもので、Anthropicは検知手法の強化や業界との情報共有などの対応を進めるとしています。
発表の概要
AnthropicはDeepSeek・Moonshot・MiniMaxの3つのAIラボが、Claudeの能力を不正に抽出して自社モデルの改善に使う産業規模のキャンペーンを行っていたと特定しました。3社は約24,000の不正アカウントを通じてClaudeと1,600万回を超えるやり取りを生成しており、利用規約と地域のアクセス制限に違反しているとしています。各キャンペーンはIPアドレスの相関、リクエストのメタデータ、インフラの指標、同じ行動を観測した業界パートナーの裏付けなどから高い確度で各社に帰属させたとし、いずれもエージェント的な推論、ツール使用、コーディングというClaudeの差別化された能力を標的にしていました。
蒸留は、強力なモデルの出力でより能力の低いモデルを訓練する手法で、広く使われる正当な訓練方法ですが、競合他社が独自開発よりはるかに短い時間と低いコストで能力を獲得する不正な目的にも使えると説明しています。
なぜ問題か
不正に蒸留されたモデルは必要な安全対策を欠くため、生物兵器の開発や悪意あるサイバー活動を防ぐ保護が取り除かれた形で危険な能力が拡散し、国家安全保障上の重大なリスクを生むと指摘しています。保護のない能力が軍事・諜報・監視システムに投入されるおそれがあり、蒸留されたモデルがオープンソース化されればリスクはさらに拡大します。
また、こうした攻撃への可視性がないと、これらのラボの急速な進歩が輸出規制は無効だという誤った証拠として受け取られかねないが、実際にはその進歩は米国のモデルから抽出した能力に大きく依存しており、大規模な抽出の実行には高性能チップへのアクセスが必要であることから、蒸留攻撃はむしろ輸出規制の根拠を補強すると論じています。
3社のキャンペーンの内訳
- ▸DeepSeek(15万件超のやり取り) — 多様なタスクの推論能力、Claudeを強化学習の報酬モデルとして機能させるルーブリック採点、政治的に敏感な質問への検閲対応回答の生成を標的。完成した回答の内部推論を想像して段階的に書き出させ、チェーン・オブ・ソートの学習データを大規模に生成する手法も観測され、メタデータから特定の研究者まで追跡できた
- ▸Moonshot AI(340万件超のやり取り) — エージェント的推論とツール使用、コーディングとデータ分析、コンピュータ操作エージェント開発、コンピュータビジョンを標的。数百の不正アカウントを複数の経路で使い分けて検知を困難にし、後期にはClaudeの推論トレースの抽出・再構成も試みた
- ▸MiniMax(1,300万件超のやり取り) — エージェント型コーディングとツール使用・オーケストレーションを標的。モデル公開前の進行中の段階で検知され、Anthropicが新モデルを公開すると24時間以内にトラフィックの半分近くを新モデルへ振り向けた
アクセスの手口
Anthropicは国家安全保障上の理由から中国ではClaudeの商用アクセスを提供しておらず、各ラボはこれを回避するため、Claudeなどのフロンティアモデルへのアクセスを大規模に転売する商用プロキシサービスを利用していました。こうしたサービスは「ハイドラクラスター」と呼ぶ不正アカウント網でAPIやサードパーティのクラウドにトラフィックを分散させており、あるプロキシ網は2万を超える不正アカウントを同時に管理していたといいます。単体では無害に見えるプロンプトでも、少数の能力に集中した大量アクセス、極めて反復的な構造、モデルの訓練に価値の高い内容という特徴がそろえば蒸留攻撃と判別できると説明しています。
Anthropicの対応
- ▸検知 — 蒸留攻撃のパターンを識別する分類器と行動フィンガープリンティングを構築し、チェーン・オブ・ソートの引き出しや多数アカウントにまたがる協調行動も検出
- ▸情報共有 — 技術指標を他のAIラボ・クラウド事業者・関係当局と共有
- ▸アクセス管理 — 不正アカウントの作成に最も悪用されやすい教育アカウント、セキュリティ研究プログラム、スタートアップ向け経路の確認を強化
- ▸対抗策 — 正規顧客の体験を損なわずに、不正な蒸留に対するモデル出力の有効性を下げる製品・API・モデルレベルの安全策を開発中
この規模の蒸留攻撃には一社だけでは対処できず、AI業界・クラウド事業者・政策立案者による迅速で協調した対応が必要だとして、利害関係者が使えるよう証拠を公開したとしています。
関連キーワードの解説記事で、背景となる技術・概念を確認できます。
このニュースの月のまとめ号があります。その月の生成AIニュースの全体傾向と、G検定試験風の理解度チェック問題を1本にまとめています。
