AI蒸留攻撃とは｜DeepSeekらが2.4万偽アカウントでClaude能力を抽出か

「これは泥棒が泥棒にやられた話だ」。Redditでは、こうした論調のコメントが数多く支持を集めた。

2026年2月23日（米国時間）、Anthropicは公式ブログで「Detecting and preventing distillation attacks」と題した告発を公開した。中国のAI企業3社、DeepSeek・MiniMax・Moonshot AIが、約2万4,000の偽アカウントを作成し、Claudeとの間で1,600万回以上のやり取りを実行。Claudeの能力を不正に抽出して自社モデルの訓練に利用した、とAnthropicは主張している。

AI業界を揺るがす「蒸留攻撃」の実態。だが業界の反応は、Anthropicへの同情一色とはならなかった。

要点: (1) 中国AI3社が偽アカウント2.4万件でClaudeから能力を抽出したとAnthropicが告発、(2) OpenAI・Googleも同様の被害を報告、(3) 業界は「偽善だ」vs「安全保障上の脅威だ」で二分、(4) API開発者はレスポンスシェーピングと認証厳格化の影響に要注意

そもそも「蒸留攻撃」とは何か

知識蒸留（Knowledge Distillation）自体は、機械学習の正当な技術だ。2015年にGoogleのGeoffrey Hintonらが提唱したもので、大きなモデル（教師）の知識を小さなモデル（生徒）に移転する手法を指す。DistilBERTがBERTの97%の性能を60%のサイズで実現した例は有名だ。

問題は、この手法が他社のモデルに対して無断で行われた場合だ。

Anthropicが告発した「蒸留攻撃」の構造はこうなる。

1. 偽アカウントを大量に作成し、APIアクセスを確保する
2. 巧妙なプロンプトでモデルに推論過程（チェーン・オブ・ソート：回答に至るまでの思考ステップ）を出力させる
3. その出力を訓練データとして自社の小規模モデルを学習させる
4. 結果、数十億ドルと数年の研究投資で築かれた能力が、利用料金だけで抽出される

通常の知識蒸留との決定的な違いは、利用規約と地域制限を意図的に回避している点だ。

DeepSeek・MiniMax・Moonshotの蒸留手口を比較

Anthropicの報告によれば、3社は同じ「蒸留」という目的を共有しつつも、手口に明確な違いがあった。

MiniMax：最大の通信量

MiniMax（中国・上海拠点）は、3社の中で最大の1,300万回以上のやり取りを記録した。単純な量で圧倒するアプローチだ。

Moonshot AI（Kimi）：標的型の精密攻撃

Moonshot AI（北京拠点、Kimiモデルの開発元）は340万回以上のやり取りを実行。量ではMiniMaxに劣るが、ターゲットが明確だった。

• エージェント型推論とツール使用
• コーディングとデータ分析
• コンピュータ操作エージェントの開発
• コンピュータビジョン

Anthropicが特にエージェント機能とComputer Useの開発に注力していた時期と重なる点が注目に値する。

DeepSeek：量より質の推論抽出

DeepSeekのやり取りは15万回以上と3社中もっとも少ないが、手口はもっとも技術的に洗練されていた。プロンプトは「Claudeに、完成済みの回答の背後にある内部推論を想像して段階的に書き出させる」ように設計されていた（CNBC）。

つまり、Claudeの最終回答だけでなく、そこに至る思考プロセスそのものを訓練データとして生成させていた。チェーン・オブ・ソートの蒸留は、単なる回答の蒸留より遥かに価値が高い。推論能力そのものを移転できるからだ。

Anthropic蒸留告発への業界反応：批判と支持

Anthropicの告発に対して、業界の反応は大きく割れた。

冷笑・批判派

IO.Netの共同創業者Tory Greenは、Xで「オープンなインターネットで訓練しておいて、他人が自分から学ぶと『蒸留攻撃』と呼ぶのか」と批判した（Decrypt）。Pliny the Liberatorは「シリコンバレー地方で蒸留されたものだけがClaudeだ」と、シャンパンの原産地呼称になぞらえて皮肉った。

Hacker Newsでも「アメリカの大企業がライセンスを無視してインターネットを漁るのはOKで、外国企業がAnthropicから学ぶのは違法なのか？」（Hacker News）という意見が支持を集めた。

批判の根底にあるのは、Anthropicを含む米国AI企業もWeb上の膨大なデータ（Redditの投稿、書籍、記事など）を訓練に使用しているという事実だ。米国著作権局は「プロンプトを提供するだけではAI出力に著作権は発生しない」と再確認しており、法的には今回の件は知的財産の窃盗ではなく、利用規約違反にとどまる可能性がある。

支持・懸念派

DeepTempoの創業AIエンジニアMayank Kumarは「フロンティアAIシステムは新しいクラスの攻撃対象として浮上している」と、セキュリティの観点から問題の深刻さを指摘する（SiliconAngle）。The China Academyの分析も「蒸留されたモデルは安全ガードレールを引き継がない」という点を強調している（The China Academy）。Anthropic自身もブログで、蒸留モデルが「権威主義的な政府による攻撃的サイバー作戦、偽情報キャンペーン、大規模監視への活用」につながるリスクを警告した。

TechCrunchは、この告発が米中AI競争の文脈で行われたタイミングに注目した。AI半導体の輸出規制が議論されるさなかの告発は、「ワシントンという唯一の観客に向けた演出」（The China Academy）と見る向きもある。

Anthropicの対策：4層の防御戦略

告発と同時に、Anthropicは多層的な防御策を公開した。

1. 検知システム 複数の分類器と行動フィンガープリンティングにより、APIトラフィック内の蒸留パターンを検出。チェーン・オブ・ソート引き出しの試みや、多数のアカウントによる協調的アクティビティを識別する。

2. インテリジェンス共有 技術的指標を他のAI企業、クラウドプロバイダ、関連当局と共有。業界横断的な対応を目指す。

3. アクセス制御の強化 教育アカウント、セキュリティ研究プログラム、スタートアップ向け組織の認証を厳格化。偽アカウント作成に使われた経路を塞ぐ。

4. レスポンスシェーピング 正規ユーザーの利便性を維持しつつ、蒸留目的での出力の価値を低減する製品・モデルレベルの変更を実施。

筆者の見解として、この4層構造はAIセキュリティ対策として理にかなっている。だが「レスポンスシェーピング」には注意が必要だ。蒸留防止のために出力を制限しすぎれば、正規のAPI利用者にも影響が出る。このバランスは、今後のClaude APIの使い勝手を左右する。

PMとしての所感：これはAI業界の「構造問題」

筆者はPMとしてClaude APIを日常的に使っている。この事件を「中国企業が悪い」で片付けるのは簡単だが、本質はそこにない。

蒸留攻撃が成立する構造自体が問題だ。 APIを公開する以上、出力は利用者の手に渡る。利用規約で禁止しても、技術的に防ぎきれない。これはAnthropicだけでなく、OpenAIも、Googleも、APIを提供するすべてのAI企業が抱えるジレンマだ（Anthropic vs OpenAIのビジネスモデル比較も参照）。

Reddit の批判に一理あるのも事実だ。AI企業がWeb全体のデータで訓練し、その出力を「使うな」と言う構図には矛盾がある。ただし、24,000のアカウントを組織的に偽造し、地域制限を回避して産業規模で実行する行為は、個人が「ChatGPTの回答を参考にした」のとは次元が違う。

フリーランスエンジニアとして気にすべきは、蒸留されたモデルの安全性だ。元モデルの安全ガードレールは蒸留では移転されない。性能だけが抽出され、安全性が欠落したモデルが市場に出回るリスクは現実味を帯びている。

蒸留攻撃時代にAPI開発者が取るべき対策

この事件から得られる実務的な教訓をまとめる。

APIプロバイダとして

• 蒸留検知の仕組みは今後業界標準になる可能性が高い
• 出力の透かし（watermarking）技術の開発が加速するだろう
• 利用規約だけでは防御にならない。技術的な対策が必要

APIユーザーとして

• 認証の厳格化により、新規アカウント作成のハードルが上がる
• レスポンスシェーピングにより、特定のプロンプトパターンで出力が変わる可能性がある
• 蒸留モデルの安全性を確認せずにプロダクトに組み込むのは危険

業界全体として

• AIモデルの知的財産保護の法的枠組みがまだ整っていない
• 米中AI競争の激化により、蒸留問題は地政学的な文脈でも議論される
• OpenAIとAnthropicの同時告発は、業界横断的な対応の始まりかもしれない

Anthropic蒸留攻撃事件のまとめ

Anthropicの蒸留攻撃告発は、AI業界の「見て見ぬふり」が限界に達したことを示している。

• 規模: 24,000偽アカウント、1,600万回以上の不正アクセス
• 手口: 各社で異なる戦略（量の MiniMax、精密な Moonshot、推論抽出の DeepSeek）
• 反応: 業界は「偽善だ」と「深刻な問題だ」で二分
• 対策: Anthropicは4層の防御を構築。だがAPI公開モデルの本質的な矛盾は解消されていない

API利用者として今すぐ取れるアクションは3つ。(1) 自社アカウントの認証情報を最新に保つ（厳格化に備える）、(2) 蒸留モデルをプロダクトに組み込む前に安全性を評価する、(3) レスポンスシェーピングの影響で出力品質が変化していないかモニターする。蒸留攻撃は対岸の火事ではなく、API経済の信頼基盤に関わる問題だ。

---

関連記事:

• Anthropic完全ガイド｜Claudeを生んだAI安全企業の全貌
• Claude Code Security｜AIが脆弱性を狩る時代へ
• Anthropic vs OpenAI｜ビジネスモデルの違いを徹底比較

---

本記事の情報は2026年3月25日時点のものです。蒸留攻撃に関する状況は急速に変化する可能性があります。本記事はAnthropicの公式発表および各種報道に基づく情報提供を目的としており、法的助言を構成するものではありません。3社はいずれも告発に対して公式に反論しておらず、司法判断は出ていません。最新情報はAnthropic公式ブログをご確認ください。