9月12日、The Hacker Newsが「Anthropic Says Seven China-Based AI Labs Ran Industrial-Scale Claude Distillation Attacks」と題した記事を公開した。中国を拠点とする7つのAIラボがAnthropicのClaudeに対して産業規模の不正蒸留攻撃を行っていたことが判明した件で、Anthropicが脅威インテリジェンスレポートを公開した。各社の手口はそれぞれ異なるが、なかにはユーザーの同意なしに会話を保存・販売していたプロキシネットワークの存在も確認されており、単なる利用規約違反にとどまらないプライバシー上の深刻な問題をはらんでいる。
「蒸留攻撃」とは何か
まず前提を整理する。知識蒸留（Knowledge Distillation） 自体は正当な機械学習の手法だ。大規模な「教師モデル」の出力を学習データとして用い、より小さな「生徒モデル」に能力を継承させる技術を指す。GoogleやOpenAIも過去に同様の被害を訴えており、フロンティアモデルを標的にした不正蒸留はAI業界が繰り返し直面してきた問題である。
問題となるのは「不正蒸留」だ。盗まれたクレジットカード情報・ログイン認証情報・APIキーを使って大量の偽アカウントを作成し、対象モデルの能力を無断で大規模に収奪・複製する行為を指す。規約上の問題にとどまらず、モデル開発に投じられた膨大なコストと知的財産を無断で搾取する行為として、米国の情報機関も深刻視している。
Alibaba主導の「史上最大の攻撃」が突出している
Anthropicが公開した脅威インテリジェンスレポートによると、2026年2月以降、中国系AIラボによる不正蒸留キャンペーンが6件検出された。関与が確認されたのはAlibaba、Moonshot AI、DeepSeek、Zhipu（Z.ai）、Xiaomi、SenseTime、MiniMaxの計7社だ。ただし後述の通り、各社の手口は異なり、全社が同一の行為を行っていたわけではない。
中でも規模が際立つのが、Alibaba関連事業者によるGTG-16005である。
- 観測された会話数：1億5,100万件（2026年5〜7月）
- ピーク時は1日あたり約300万件
- 3,500以上の不正アカウントから実行
- 標的：Claude Opus 4.6/4.7のChain-of-Thought（CoT）推論トランスクリプト
- Anthropicは「これまで観測した中で最大の蒸留攻撃」と明言
CoT（Chain-of-Thought）推論とは、モデルが回答を導き出すまでの思考過程を逐次出力する機能のこと。この「思考の軌跡」こそが、次世代モデルの訓練データとして高い価値を持つ。攻撃者はエージェント型タスク、ソフトウェアエンジニアリング、カーネル開発、長期タスクといった分野のCoTトランスクリプトを標的にしていた。
各社の手口の詳細
他のキャンペーンも手口が具体的で興味深い。各社のアプローチはAlibaba型の大規模収集とは異なり、プロキシ経由の迂回や再入力パイプラインの構築など、それぞれ独自の戦術をとっていた。
Moonshot AI（GTG-16002）は、自社チャットボット「Kimi」への問い合わせをユーザーに知らせることなくClaudeに横流しし、Claudeの回答をそのままユーザーに返していた。10日間で約30万件のリクエストをAnthropicに中継し、5,380の不正アカウント（大半はシンガポール・日本に所在）を経由した。観測された会話数は2,300万件に上る。
DeepSeek（GTG-16001）もMoonshot AIと同様の手法を用い、14日間で1,210万件以上の会話を収集した。
Zhipu（GTG-16006）は273の不正アカウントをローテーションしながら、ClaudeのCoT推論トレースをClaudeに再入力するパイプラインを構築していた。340万件以上の会話が17日間で観測されている。
Xiaomi（GTG-16008）は自社のMiMoモデルとユーザーとの会話・コーディングセッションをClaudeに再生する形で学習データを収集。40万件以上が20日間で観測された。
SenseTime（GTG-16012）はサードパーティのデータベンダーからClaudeとユーザーの会話トランスクリプトを購入していた。MiniMax（GTG-16003）はシェル会社を通じてプロキシネットワークを自社構築し、ClaudeとOpenAIへのアクセスを提供しながら会話を収集していた。SenseTimeとMiniMaxの手口は、ユーザーの会話が第三者を介して売買されていた点で、他の5社とは質的に異なるリスクをはらんでいる。
ユーザーの会話が本人の知らぬ間に売買されていた
この件で看過できないのは、一部のプロキシサービスがユーザーの同意なしに会話を保存・販売していたという事実だ。
Anthropicは次のように指摘している。
「一部のプロキシネットワークは、対応地域外のユーザーにClaudeへのアクセスを提供しつつ、その会話を保存して他のラボに販売している」
中国・イラン・ロシアといった非対応地域のユーザーが非公式ルートでClaudeを利用した場合、その会話が学習データとして取引される構造が出来上がっていた。会話の中には、個人ユーザーや大手多国籍企業、国家関連アクターの機微な情報が含まれていたとAnthropicは述べている。この問題はSenseTimeおよびMiniMaxの手口として確認されたものであり、7社すべてが同様の行為を行っていたわけではないが、プロキシ経由でClaudeを利用するユーザー全体にとってのリスクとして受け止める必要がある。
Anthropicが講じた対策
Anthropicはすでに複数の対策を実施している。
- 非対応地域（中国・イラン・ロシア等）からのリセラーアカウントをバン
- CoTの内部推論を要約してから応答する仕様に変更（盗まれたトランスクリプトを訓練に使いにくくする）
- Fable 5.1（Anthropicが開発した内部セキュリティフレームワーク）で「preserved thinking」を導入。新規APIアカウントがClaudeの推論前のシステムプロンプト・ツール・メッセージを改ざんできないよう制限。推論自体は暗号化されるが、その前のコンテキストを編集してClaudeに推論を漏洩させる手法への対策として機能する
この件と時期を同じくして、米国のサイバーセキュリティ・情報機関も中国系AI企業による米国フロンティアモデルの「組織的な機能抽出」を正式に非難する声明を発表している。
詳細はAnthropic Says Seven China-Based AI Labs Ran Industrial-Scale Claude Distillation Attacksを参照していただきたい。
