10月13日、The Decoderが「Anthropic says it cut Claude reasoning token theft by up to 99% in fight against industrial-scale distillation」と題した記事を公開した。AnthropicがClaudeの内部推論トークンを組織的に収集していたとして中国のAI企業ZhipuとMoonshotを実名で告発し、防御策の導入によって盗用を最大99%削減したと主張している。単なる利用規約違反を超え、安全保障上のリスクとして訴えている点が業界内外で注目を集めている。
産業規模の「モデル蒸留攻撃」とは何か
モデル蒸留（distillation）とは、大規模AIモデルの出力を大量に収集し、それを学習データとして自社の小型モデルを訓練する手法だ。研究分野では合法的な知識移転の技術として広く使われており、それ自体が違法というわけではない。問題となるのは、利用規約に反して商業目的で他社モデルの能力を無断で取得する「悪用」のケースだ。
合法・違法の境界線は現時点で法的にグレーな部分も多く、「モデルの出力を学習データに使うこと」がどこまで許容されるかは国・地域によっても解釈が異なる。Anthropicが今回問題視しているのは、利用規約への明確な違反と、組織的・大規模な手口の二点だ。
具体的には、攻撃者が数十万規模の偽アカウントを組織的に運用し、Claudeに大量のクエリを投げることで、モデル内部の推論トークン（chain-of-thought）を収集していたとAnthropicは主張している。推論トークンとは、モデルが最終回答を導き出すまでの内部的な思考ステップのことで、これを大量に入手すれば高品質な学習データになる。通常の出力テキストよりも「どのように考えたか」という過程が詳細に記録されているため、能力移転に特に有効とされる。
中国企業を名指しで告発
Anthropicは公式ブログで、中国のAI企業ZhipuとMoonshotを具体的な攻撃者として名指しした。いずれもAnthropicの主張であり、両社からの公式な反論や確認は現時点では伝えられていない。
- Zhipu：米国の主要AIモデルからサイバー関連の能力を抜き取り、オープンウェイトのコーディングモデル（Anthropicはブログ内でモデル名に言及しているが、読者は元記事および公式ブログで最新のモデル名を直接確認されたい）に組み込んだとAnthropicは主張している。
- Moonshot：Claudeへのクエリを密かに自社経由でルーティングし、出力を収集していたとAnthropicは主張している。
さらにAnthropicは、こうして盗まれた能力が外国の軍事システムや監視システムに転用される可能性を指摘している。単なる利用規約違反にとどまらず、安全保障上のリスクとして訴えている点は注目に値する。
Anthropicが実装した防御策
Anthropicは以下の3層の対策を導入した。
- 推論トークンへのアクセス制限：Claudeの内部chain-of-thoughtステップを外部から参照しにくくする。
- 抽出試行の検出クラシファイア：蒸留攻撃のパターンを検出する機械学習モデルを稼働させる。
- 自動アカウント禁止：フラグが立ったアカウントを自動的にBANする。すでに数万アカウントが停止されている。
この防御策の効果として、抽出された推論トークンの量を90〜99%削減したとAnthropicは主張する。
防御策導入後、蒸留の成功件数が急減したとAnthropicは説明している。
誤検知の問題と業界への呼びかけ
一方でAnthropicは、正規ユーザーが誤ってBANされるケースも発生していることを認めている。大量アクセスを行う正当な用途——研究者やヘビーユーザー、自動化パイプラインを組む開発者など——がフィルタに引っかかるリスクは構造的に避けにくい。防御の精度を上げれば誤検知が増え、誤検知を減らせば攻撃が漏れやすくなるという本質的なトレードオフが存在する。
またAnthropicは、この問題を自社だけで解決しようとするのではなく、他のAI開発者にも同様の防御策の導入を呼びかけている。モデル蒸留攻撃はOpenAIやGoogleといった他のプロバイダにも同様に向けられうる問題であり、業界横断的な対応の必要性を訴えている形だ。なお、MetaもすでにClaudeやCodexの利用を制限し、競合AIが自社学習データに混入することを防ぐ措置をすでに講じており、大手プロバイダ間での防衛意識の高まりがうかがえる。
「知的財産としてのAI推論」という新たな争点
今回の件が示すのは、AIモデルの「出力」だけでなく「思考過程」そのものが知的財産として争われる時代に突入しつつあるということだ。推論トークンの保護という形でどこまでモデルの能力を守れるか、また技術的な防御と正規ユーザーへの影響をどう両立するか——これは一企業の問題にとどまらず、AI産業全体が直面する構造的な課題である。AnthropicがあえてZhipuとMoonshotを実名で告発した背景には、業界・規制当局・研究コミュニティへの問題提起という意図もあるとみられる。
※編集部の考察：モデル蒸留の「合法・違法」の線引きは各国の著作権法やAI規制の整備状況によって大きく異なる。今後の法整備の動向が、こうした攻防の帰趨を左右する可能性が高い。
詳細はAnthropic says it cut Claude reasoning token theft by up to 99% in fight against industrial-scale distillationを参照していただきたい。
