6月27日、PyMNTSが「Anthropic Accuses Alibaba Of Running 29 Million Fake Queries to Clone Claude」と題した記事を公開した。AnthropicがAlibabaと同社のAIラボ関係者による大規模な「モデル蒸留攻撃」でClaudeのクローンを作ろうとしたと告発した件を詳報している。
2,880万件以上のクエリで何を盗もうとしたのか
今回の疑惑の核心は「モデル蒸留（Model Distillation）」と呼ばれる技術にある。蒸留とは、強力なAIモデルの出力を大量に収集し、それをトレーニングデータとして別のモデルを学習させる手法だ。正規の用途としては、大規模モデルを軽量・高速化するために広く使われている。問題となるのは、他社のモデルに無断で実施する場合である。
Anthropicの告発によれば、Alibabaおよびその傘下のAIラボに関連するオペレーターが約2万5,000の不正アカウントを用い、2025年4月22日から6月5日のわずか6週間でClaudeとの2,880万件以上のインタラクションを生成したとされる（CNBCが報道）。
この規模感を把握するために比較すると、Anthropicが今年2月に告発した件では、DeepSeek・Moonshot AI・MiniMaxの3社が合計で約2万4,000の不正アカウントから1,600万件超のインタラクションを生成したとされていた。今回のAlibabaに帰される疑惑の件数は、その3社合計を6週間で上回る数字だ。
なぜ検出が難しいのか
蒸留攻撃の厄介な点は、正規のAPIリクエストと見た目が区別できないことにある。コードのデバッグを頼む開発者のリクエストと、Claudeのコーディング挙動を組織的に抽出しようとするキャンペーンのリクエストは、クエリ単体では同一に見える。
検出できる唯一のシグナルは「パターン」だ。膨大な件数、繰り返しの構造、特定の機能に絞り込んだプロンプト、そして数百の連携アカウントから連続して届くリクエストの組み合わせが手がかりとなる。
商業的な問題に加え、安全性の問題もある。フロンティアモデルを無断で蒸留した場合、コピー先のモデルには元モデルに組み込まれた安全ガードレールが引き継がれない。有害なリクエストを拒否させるために費やした数ヶ月の調整作業は、出力結果には含まれないからだ。危険な能力だけが出力を通じて移転される。
Anthropicが議会に立法を求める理由
AnthropicのポリシーヘッドであるSarah Heckは上院議員への書簡の中で、今回の攻撃が「米国のAI能力を組織的かつ産業規模で収奪し、訓練・研究開発コストを負担せずに自社製品として再パッケージするために不法に実施された」と述べた（Business Insider報道）。
議会側でも動きがある。共和党のBill Hagerty上院議員と民主党のAndy Kim上院議員は、こうしたキャンペーンを実施したと判定された企業をブラックリストまたは制裁対象とする条項を法案に盛り込もうとしている（元記事ではその法案の性格について「中国製AIに関する制裁措置」として言及されている）。ホワイトハウスの科学技術政策局（OSTP）も4月に、外国による産業規模での米国AIモデル蒸留への警戒を呼びかけるメモランダムを発出している。
AIをサービスとして売ることとの矛盾
この問題の構造的な難しさは、蒸留攻撃を完全に防ぐにはモデルへのアクセスを制限するしかないという点にある。しかしそれは、AIをAPIで広く販売するというビジネスモデルと真っ向から対立する。
悪意ある蒸留が常態化すれば、AIラボはトレーニングと同じコストをアクセス制御やなりすまし検出に費やすことになるかもしれない。すべてのAPIコールを収益機会としてではなく、潜在的な情報漏洩として扱う世界だ。フロンティアモデルの開発に数十億ドルを投じる経済的インセンティブが、蒸留の低コストによって侵食される——この非対称性こそが、今回の告発が業界全体の問題として受け止められている背景だ。
詳細はAnthropic Accuses Alibaba Of Running 29 Million Fake Queries to Clone Claudeを参照していただきたい。
