2024年後半からClaudeとGPTは中国6社に蒸留され続けていた

NSA・FBIが中国6社を名指し　Claude・GPTから抽出された

米国のNSA（国家安全保障局）・CISA（サイバーセキュリティインフラセキュリティ庁）・FBIは2026年9月8日、中国のAI企業が米国のフロンティアモデルから産業規模の「知識蒸留」を行っているとする共同勧告を公開した。名指しされたのはDeepSeek・Moonshot AI・Alibaba Group・MiniMax・StepFun・Z.AIの6社だ。

標的はAnthropicのClaude、OpenAIのGPT、GoogleのGemini、xAIのGrokで、少なくとも2024年後半から数百万件のリクエストを通じて数十億トークンが抽出された。知識蒸留自体は一般的な研究手法だが、米企業の利用規約やアクセス制限を組織的に破り自社モデル開発の中核に据えた点が問題視された。

DeepSeekの学習費560万ドル　蒸留コストは含まれていない

DeepSeekは2024年後半からClaude Sonnet 3.7・Claude Sonnet 4・GPT-4o・GPT-5などを標的に組織的な蒸留キャンペーンを実施し、推論モデルDeepSeek-R1の訓練データを生成していた。法律分野の最適化やAPI駆動型タスク、エージェント機能が抽出の対象だった。

米当局はDeepSeekが公表する学習コスト560万ドルについて「蒸留で取得したデータのコストが含まれておらず誤解を招く」と指摘している。Moonshot AIはClaude Fable 5やGPT-4oから自社モデルKimi-K2・K3の訓練データを抽出。MiniMaxはClaude CodeやGemini 3 Proからコード生成・レビュー能力を引き出し、プロンプトインジェクションでClaude Code自身に自社製品と誤認させた事例も確認された。

偽アカウントとAPIプロキシ　推論の手順まで引き出した

勧告が示した攻撃手法は脅威フレームワーク「MITRE ATLAS」に整理されている。初期アクセスには「中継所」と呼ばれるAPIプロキシのグレーマーケットが使われた。正規価格より安くフロンティアモデルへのアクセスを再販する仕組みで、地域制限の回避やアカウント追跡の妨害に悪用された。

偽情報で作った大量のアカウントやサードパーティーのAPIアグリゲーターも併用し協調的な大量クエリが実行された。抽出段階ではプロンプトインジェクションやジェイルブレイクでモデルに内部推論をステップ・バイ・ステップで書き出させた。事実知識だけでなく複雑なタスクの思考手順そのものが引き出されている。

利用者のデータは対象外　APIの認証は厳しくなる

今回の蒸留は利用者の個人データを狙ったものではない。モデルの推論能力や専門知識の組織的な抽出が目的だ。ただしAPI提供側は不正利用検知やアクセス制御の強化に動くと見られる。

AnthropicやOpenAIはすでに利用規約で蒸留を禁じているが、偽アカウントやプロキシを使った迂回が産業規模で行われていた実態が公式に示された。APIを使う開発者にとっては認証の変更や利用制限の見直しが今後の影響として想定される。モデル提供側が防御的にデータ品質を下げる可能性もあり、APIの応答品質に変化が出ることも考えられる。