米国家安全保障局（NSA）、サイバーセキュリティ・インフラセキュリティ庁（CISA）、連邦捜査局（FBI）の3機関は9月8日（米国時間）、中国のAI企業が米国の最先端AIモデルから能力を抜き出す「知識蒸留」を産業規模で行っているとする共同サイバーセキュリティアドバイザリ（AA26-251A）を出した。名指しされたのはDeepSeek、Moonshot AI、Alibaba、MiniMax、StepFun、Z.AIの6社で、少なくとも2024年後半から、Claude、GPT、Gemini、Grokの各系統のモデルを相手に数百万回のやり取りを重ね、数十億トークン（AIが扱う文字の単位）を抜き出したという。3機関は、これが中国政府の認識の下で行われた可能性が高いとしている。
「蒸留」とは何か 正当な技術が大規模な抜き取りに
蒸留は、性能の高い「教師」役のモデルに多数の質問を投げて回答を集め、それを学習データにして別の「生徒」役のモデルに振る舞いをまねさせる手法だ。少ない計算資源で高い性能に近づけられるため、AI研究では広く使われている。アドバイザリも、蒸留そのものは「正当で有用な技術」と認めている。
問題にしているのは、他社のモデルを無断で、しかも工場のような規模で相手にする使い方だ。アドバイザリは、中国企業にとって蒸留は開発の「補助ではなく中核」になっており、これによって最先端モデルの開発期間と費用を大きく縮めていると指摘した。DeepSeekが公表していた560万ドルという訓練費用についても、蒸留で得たデータの本当の費用を含んでおらず「誤解を招く」と書いている。
各社の利用先も具体的に挙げた。DeepSeekは2024年後半から2025年半ばにかけ、Claude Sonnet 4やGPT-5、Gemini 2.5 Pro Preview、Grok 4などから学習データを集め、モデル「R1」と「V3」の訓練に使ったとする。Moonshot AIは2025年半ば以降、Claude Fable 5のデータを「Kimi-K3」の、GPT-4oのデータを「Kimi-K2」の訓練に使ったという。Z.AIは2026年半ばまでにGPT-5.5とClaude Opus 4.8から数十億トークンを抜き出し、推論能力の強化に充てたとしている。MiniMaxは、新しいClaudeのモデルが出てから24時間以内に抽出先を切り替えていたという。
地域制限をすり抜ける「中継所」 手口の数々
米国の最先端AIの一部は、中国などからの利用を制限している。アドバイザリによると、中国企業はこの制限を「transfer stations（中継所）」と呼ばれるAPI（外部からAIを呼び出す窓口）の代理業者の闇市場を通じてすり抜けている。中継所は正規の価格のごく一部で最先端モデルへの接続を転売し、利用者の素性を追いにくくする。中国企業はさらに、国籍を隠したアカウントで有料プランをまとめ買いし、開発チームで共有して費用を抑えていたという。
手口には、AIが回答の前に内部で進める「思考過程（CoT）」を引き出すものもある。米国のモデルの多くは、利用者にこの思考過程をそのまま見せない。これに対しDeepSeekは、出し終えた回答の裏にある推論を想像させて一歩ずつ書き出させる指示を使ったという。3機関は、こうしたデータは事実の知識だけでなく、複雑な作業やプログラミング、論理の証明に必要な「推論の進め方」そのものを生徒モデルに教えてしまうと説明する。
組織の痕跡を自動で消す仕組みや、遮断されると別の経路へ自動で切り替える仕組み、回答の質が落とされていないかを機械的に点検する仕組みも見つかった。3機関は検知の手がかりとして、1つのアカウントが多数のIPアドレスから使われる、人の休憩が見られないまま24時間使われ続ける、新規の契約がいきなり上限まで使われる、といった兆候を挙げた。
OpenAI、Moonshot関係者の組織的な抽出を阻止
OpenAIは9月30日、自社モデルの非公開の推論を抜き出そうとする組織的な活動を特定し、阻止したと発表した。活動は7月1日に小さな規模で始まり、7月24日と25日に急増した。この2日間で4,000人を超える利用者から、抽出の型に当てはまる要求が1万6,000件送られた（同社は成功した件数ではなく試みの件数だと注記している）。調査を広げると、関連する手口を使う1万5,000人超の利用者群が見つかり、7月28日までにすべて遮断したという。
同社によると、暗号を破ったりデータベースに侵入したりしたわけではない。ある会話で得た暗号化済みの推論を別の会話に貼り付け、モデルに解読と書き起こしを求めるといった操作で、隠された推論を見える形で再現させていた。すべてが単一の主体によるものかは分からないとしつつ、中核の一群は対話AI「Kimi」を開発するMoonshot AIの関係者によるものだと判断している。
対策として、不正なアカウントの停止や制限、登録時の確認の強化に加え、他人の暗号化された推論を再送して中身を取り出せる経路を閉じた。推論が漏れるおそれのある出力を検知して送信を保留する仕組みも入れた。同社はこの手口が自社モデルに固有のものではないとして、AI開発企業でつくる業界団体「Frontier Model Forum」と政府の情報共有の経路を通じて調査結果を共有した。提携先のクラウドで動かすモデルにも同じ保護を広げる作業は、まだ終わっていないとしている。
中国製AIへの入力が、知らないうちに米国製AIへ
アンソロピック（Anthropic）は9月の脅威報告書で、2026年2月の最初の公表以降、中国を拠点とする7つの研究組織による蒸留を新たに見つけ、遮断したと報告した（報告書全体の内容は「Anthropic（アンソロピック）、Claude悪用の遮断事例を公表 ロシア諜報が20超の組織に侵入 中国側の実行役は湖南省の大学生2人 侵害は2〜3時間で完了」）。同社が観測したやり取りの件数は次のとおりで、観測期間は組織ごとに異なる。
| 組織 | 観測期間 | 観測したやり取り |
|---|---|---|
| Alibaba | 2026年5〜7月 | 1億5,100万回超 |
| Moonshot AI | 2026年5〜7月 | 2,300万回超 |
| DeepSeek | 2026年7月の14日間 | 1,210万回超 |
| Zhipu（Z.ai） | 2026年6〜7月の17日間 | 340万回超 |
| Xiaomi | 2026年3〜4月の20日間 | 40万回超 |
Alibabaの活動は同社が測った中で最大で、ピーク時には3,500を超える不正アカウントから1日に300万回近いやり取りがあった。抜き出した推論は、同社のAI「Qwen」の3.5〜3.7の訓練に使われたという。
報告書が特に問題視したのは、利用者のデータの扱いだ。Moonshot AIは、自社のKimiに届いた顧客の要求を自社で処理せず、知らせないままClaudeへ転送し、Claudeの回答をKimiの回答として表示していた。ある10日間には30万件近い要求を中継し、その大半は上位モデルのOpusに回されていた。使われた5,380の不正アカウントの多くは、シンガポールと日本に所在するように見えたという。DeepSeekも、Claude Codeなどのプログラミング支援ツールから自社モデルを使う利用者を選び出し、その要求をClaude Opusへ中継していた。両社は中継したやり取りを保存し、学習に使っていた。
この結果、中国のAIを使っているつもりの利用者の入力がアンソロピック側に渡った。同社は例として、人民解放軍の関係者とみられる利用者が成都の数百台の監視カメラの映像を読み込ませ、特定の人物の行動に異常がないかを分析させた事例や、中国の大手国有企業のシステムを作る技術者が社内のコードと有効な認証情報を入力していた事例、ロシア国防省に関係する政府機関のデータベースの認証情報が含まれていた事例を挙げた。利用者は転送を知らされていなかった可能性が高いとしている。
安全対策は「写し取られない」 米当局は事業者の連携を求める
蒸留が問題になるのは、技術や費用の面だけではない。OpenAIは、抜き出された推論で別のモデルを訓練すれば、元のモデルにかけていた安全対策が引き継がれないと指摘した。アンソロピックも、自社の研究では、蒸留したモデルが生物やサイバーの分野で危険な能力を得うることが分かったとしている。同社によると、Zhipuは新モデル「GLM 5.3」の公開前に、他社の最上位モデルのサイバー攻撃の能力を狙った蒸留を行っており、安全対策が弱いと判断したモデルへ標的を移していたという。重みが公開されたAIの攻撃能力については、IPAのAI安全機関による評価もある（「重みが公開されたAI、攻撃コードの開発能力は「限定的」 IPAのAI安全機関が評価 16点満点の平均はGLM-5.2が2.80、Claude Opus 4.8は5.22」）。
3機関はアドバイザリで、米国のAI企業に3つの対応をすぐにとるよう求めた。異常なプロンプトやアカウント、利用の型を検知すること、蒸留が疑われる要求には目立たない形で回答を変えて得るものを減らすこと、モデルの提供者とクラウド事業者、APIの仲介業者の間で情報を突き合わせ、複数の経路に分散した活動を浮かび上がらせることだ。回答を変える際は、相手に気づかれないよう推論を浅くするなどの変化をばらつかせ、性能を落としたモデルに切り替えたことを本人に知らせないよう勧めている。一方で、安全性の研究者や第三者の評価機関には変更を伝えるべきだとした。
アンソロピックは、思考過程を要約してから回答する仕組みや、新しいアカウントが推論の前の文脈を書き換えられないようにする仕組みを導入したと説明している。中国やロシア、イランなど提供していない国からの利用が疑われるアカウントには本人確認を求め、応じなければ利用を止めるという。
IPAは10月16日公開の「AIセキュリティ短信 2026年10月号」で、この動きを「モデル蒸留を米当局が警告し、AIの能力と政策情報が争奪対象に」とまとめ、6つの主要論点の一つに挙げた。短信は、AIサービスの提供者が利用者の入力を無断で他社のサービスに中継し、その結果として利用者が入力した機微な情報が中継先に渡っていたとする報告もある、と注意を促している。