Anthropicは2026年9月10日、Claudeモデルを狙った大規模な不正蒸留攻撃キャンペーンの詳細を報告した。DeepSeek、Moonshot AI、Alibaba、MiniMaxといった中国系AI企業が、約2万4,000の不正アカウントを通じて1,600万回以上のやり取りをClaudeと行い、モデルの能力を抽出していたと指摘している。

蒸留とは何が問題なのか

蒸留（distillation）とは、より高性能なモデルの出力を教師データとして使い、規模の小さいモデルを効率的に訓練する手法だ。研究の場では広く使われる正当な技術だが、Anthropicが問題視しているのは、この手法が競合他社によって無断で、しかも大規模に悪用された点にある。

蒸留されたモデルは、元のモデルに組み込まれていた安全装置を引き継がない。Anthropicは、生物兵器開発や悪意あるサイバー活動を防ぐための保護機構が欠落したモデルが出回るリスクを、国家安全保障上の懸念として強調している。

企業ごとの攻撃規模

Anthropicが特定した中で最大規模だったのはAlibabaだ。2026年5月から7月にかけて1億5,100万件の交換が記録され、ピーク時には1日300万件に達した。手口は3,500の偽装アカウントを使い分けるというもので、抽出した出力は自社モデル「Qwen」の訓練データ作成に使われたとみられる。

Moonshot AIについては、顧客からのリクエストを自社モデル「Kimi」で処理せず、密かにClaudeへ転送していたことが判明した。TechCrunchの報道によれば、約5,000アカウントを使い、Opusモデルを標的にした一連のリクエストの一部は中国軍関連の発信元から直接ルーティングされていたという。DeepSeekとMiniMaxについても、それぞれ数万件から数百万件規模の不正な交換が確認されている。

米当局も同時に警告

同じタイミングで、米国家安全保障局（NSA）、サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）、FBIが共同で、中国AI企業による組織的な抽出行為への警告を発表した。対象にはDeepSeek、Moonshot AI、Alibaba、MiniMaxに加え、StepFunやZ.AIの名も挙がっている。

当局によると、この抽出活動は2024年末から2026年中盤にかけて継続しており、中国政府の了解を得ている可能性があるという。手口としては、モデルの「思考の連鎖（チェーン・オブ・ソート）」を抽出する巧妙な問いかけに加え、VPNや偽装アカウント、自動化エージェントを使った地理的制限の回避が確認されている。攻撃対象はClaudeにとどまらず、GPT、Gemini、Grokなど複数の米国製フロンティアモデルにまたがり、抽出されたトークン数は数十億に及ぶとみられる。

業界への影響

Anthropicは今回、検知システムの強化、脅威インテリジェンスの共有、アクセス制御の厳格化、対抗措置の開発を進めていると説明している。民間企業単独の対応から、政府機関を巻き込んだ協調対応へと局面が移りつつあることを、今回の同時発表は示している。

API経由でモデルを利用する開発者にとっても無関係な話ではない。不正取得されたAPIキーや偽装アカウントが攻撃の温床になっている以上、認証情報の管理やアクセス権限の見直しは、米中対立の域を超えて実務上の課題として意識しておく必要がある。