10月7日、Scientific Americanが「What is AI model distillation, and why is it so hard to stop?」と題した記事を公開した。AIモデルの蒸留（distillation）を阻止しようとすると、防御策そのものがモデルの有用性を損なうという構造的なジレンマが存在する——この問題の技術的な核心と、産業上の緊張を詳細に紹介した内容だ。
「蒸留」とは何か
ウイスキーの蒸留と同じ語を借用したAIのモデル蒸留とは、大規模な既存モデル（「教師モデル」）から多数の出力を引き出し、それを訓練データとして小規模な新モデル（「生徒モデル」）を育て上げる手法だ。生徒モデルは教師の振る舞いを模倣するよう学習するため、教師が膨大なコストをかけて獲得した能力を、はるかに少ない計算資源で再現できる。
概念自体は新しくない。Niculescu-Mizil and Caruana（2005）らによる先駆的な研究など、2000年代初頭から確率的分類器の校正や圧縮の文脈でニューラルネットワークへの応用が研究されてきた手法だ。問題化したのは、自社モデルではなく他社の商用モデルを無断で蒸留する行為が表面化してからだ。
2025年初頭、中国のスタートアップDeepSeekが30万ドル未満で訓練したとされる推論モデル「R1」を公開した。アメリカの主要ラボが費やした額の何分の一かという数字が衝撃を与え、OpenAIのモデルから不正に抽出したデータを使ったのではないかという疑惑が浮上した。
なぜ「検出」が構造的に難しいのか
ここが技術的に最も面白いポイントだ。
蒸留の効率を高めるのは、モデルが最終的な回答だけでなくそれ以上の情報を漏らしてしまうという性質にある。Washington University in St. LouisのYevgeniy Vorobeychik教授はこう説明する。
「教師モデルは単に答えを返すだけでなく、より細かい情報を提供することが多い」
具体的には、各回答候補への確率分布や、推論モデルが回答前に経由するステップバイステップの思考過程などがそれにあたる。
AnthropicとOpenAIが2025年9月に公開した報告書によれば、攻撃者はいくつかの巧妙な手法を使っていた。
- 自社サービスの顧客クエリをClaudeに横流しし、その応答を保存して訓練データに転用する
- OpenAIの場合、暗号化された推論トレースをある会話からコピーし、別の会話でモデルに復号させるという手口で、隠蔽されたはずの思考過程を引き出す
後者の攻撃を詳細に研究したのが、Max Planck Institute for Intelligent SystemsのAlexander Panfilov氏らだ。彼らはこのプロジェクトを「Stolen Thoughts」と名付け、OpenAIも彼らの貢献を公式に認めている。
検出については、Anthropicが2025年5月から7月にかけてAlibaba（Qwenファミリーを開発）に紐付くアカウントとの1億5100万件以上のやり取りを観測したと報告している。短時間での大量プロンプト送信や、特定パターンの質問を監視する手法が使われているようだが、ラボ側は手口の詳細を明かしていない——次の攻撃者に対策のヒントを与えることになるためだ。
Panfilov氏は検出の限界をこう指摘する。
「各クエリ単体では完全に無害に見える。それを普通の利用と区別するのは非常に難しい」
さらに、ゼロデータ保持ポリシー（企業が顧客のプロンプトと応答を保存しない契約形態）を採用している場合、そもそも検出のためのデータが手元にない。
防御しようとするとモデルが劣化する
Vorobeychik氏らは今夏、モデルの推論過程を蒸留の訓練材料として使いにくい形に書き換える手法を研究した（ACL 2026掲載論文 "Distillation-Resistant Reasoning"）。精度を落とさずに蒸留耐性を持たせることはできたが、副作用として人間にとっても読みにくい推論になってしまった。
「LLMが訓練しにくいということは、人間も理解しにくいということだ」とVorobeychik氏は言う。
すでに「出力が読みにくい」と批判を受けることの多いAIにとって、これは歓迎できないトレードオフだ。蒸留を防ごうとするとモデルの有用性が下がり、有用性を保とうとすると蒸留されやすくなる——この構造的矛盾が、問題を本質的に難しくしている。
競争上の問題として
記事はこの問題を技術的な話に留めず、産業上の緊張として位置づけている。AnthropicもOpenAIも蒸留を「不正（illicit）」「無断（unauthorized）」と表現する一方、両社自身もインターネット上のデータを無断で訓練に使ったとして著作権訴訟を抱えている。OpenAIに対してはNew York Timesらメディア各社が訴訟を起こしており、Anthropicに対しても音楽出版社Universal Music Groupらが提訴している。誰が誰の何を「盗んでいるか」という問いに対して、業界全体がクリーンな立場を取りにくい状況にある。
DeepSeekやMoonshot AI（Kimi開発元）は疑惑を否定しているが、中国のAI能力への警戒感と絡み合いながら、この問題はアメリカのAI産業全体の競争力に関わる話題として扱われている。
記事はこう締めくくっている——ラボは密造酒を摘発する税務官のように、違法な蒸留を一つずつ潰しているが、それだけでは十分ではないかもしれない、と。
詳細はWhat is AI model distillation, and why is it so hard to stop?を参照していただきたい。
