Anthropic、中国AI企業による「蒸留攻撃」を告発。DeepSeekやMiniMaxなどがClaudeを不正利用

AI開発の競争が激化する中、Anthropic（アンソロピック）は2月23日、競合する中国のAIラボ3社（DeepSeek、Moonshot、MiniMax）が、同社のフラッグシップモデル「Claude」を自社モデルの改善のために不正に抽出していたことを明らかにした。

Anthropicの発表によると、これら3社は利用規約や地域的なアクセス制限に違反し、約2万4000件の不正アカウントを通じて1600万回以上のやり取りを発生させるという、産業規模のキャンペーンを展開していたという。

産業規模の「蒸留（Distillation）」攻撃とは何か

彼らが用いたのは「蒸留（Distillation）」と呼ばれる手法だ。これは、より強力なモデルの出力結果を使って、能力の劣るモデルをトレーニングするというもの。自社モデルを軽量化・低コスト化するために使われる場合は正当な手法だが、今回のように他社のモデルに対して無断で行われた場合、本来なら自力で開発するのにかかる膨大な時間とコストのほんの数分の一で、他社の強力なAI能力を「横取り」できてしまうことになる。

標的となった能力と3社の手口

Anthropicは、IPアドレスの相関関係、リクエストのメタデータ、インフラの指標などから、高い確度でこれらの攻撃を以下の3社に特定したとしている。いずれもClaudeの差別化要因である「エージェント的な推論」「ツール使用」「コーディング能力」を明確に狙っていた。

• DeepSeek（15万回以上のやり取り）： アカウント間で同期されたトラフィックを生成し、スループットを上げるための「ロードバランシング（負荷分散）」を行っていた形跡がある。特筆すべきは、Claudeに回答の背後にある「推論の過程（思考の連鎖）」をステップ・バイ・ステップで書き出させ、トレーニングデータを大量生成していた点だ。また、政治的に敏感な質問に対する「検閲を回避した回答」をClaudeに生成させ、自社のモデルが特定の話題を避けるように訓練していた可能性も指摘されている。
• Moonshot AI（340万回以上のやり取り）： Kimiモデルで知られる同社は、数百の不正アカウントを使用。コーディングやコンピューター・ビジョン、エージェント推論を標的にした。リクエストのメタデータがMoonshotのシニアスタッフの公開プロフィールと一致したことで特定されたという。
• MiniMax（1300万回以上のやり取り）： 最も規模が大きく、エージェントのコーディングやツールのオーケストレーション能力を標的にした。AnthropicがMiniMaxの攻撃中に新しいClaudeモデルをリリースした際、彼らはわずか24時間以内にトラフィックの約半分を新モデルへと振り向けたという。

なぜこれが問題なのか？安全保障と輸出規制への影響

TechCrunchの読者にとって特に注目すべきは、この問題が単なる「企業間の技術の盗用」にとどまらないという点だ。

1. 安全保障上のリスク（ガードレールの喪失）： Anthropicなどの米国企業は、AIが生物兵器の開発やサイバー攻撃などに悪用されないよう、厳重な安全機能（ガードレール）を組み込んでいる。しかし、蒸留によって抽出されたモデルにはこの安全機能が引き継がれない可能性が高い。結果として、権威主義的な政府によるサイバー攻撃や監視システムに、何の制限も持たない最先端のAI能力が組み込まれる危険性がある。
2. 米国の輸出規制の形骸化： Anthropicは、最近の中国AI企業の「急速な進歩」の背後には、米国のAIモデルから抽出された能力が大きく貢献していると指摘する。つまり、「中国企業は独自のイノベーションで米国の輸出規制（半導体規制など）をいとも簡単に回避している」という見方は不正確であり、むしろこの蒸留攻撃を防ぐためにも、AI学習に不可欠な高度チップへのアクセス制限（輸出規制）の重要性がより強まったと主張している。

イタチごっこの防衛戦

現在、Anthropicは中国国内やその国外子会社に対する商用アクセスを制限している。しかし攻撃者たちは、APIへのトラフィックを分散させる「ハイドラ・クラスター（Hydra cluster）」と呼ばれる巨大なプロキシネットワークを構築して検知を逃れている。あるケースでは、単一のプロキシネットワークが同時に2万以上の不正アカウントを管理していたという。

Anthropicは現在、蒸留攻撃のパターン（特定の狭い能力を狙った異常なプロンプトの反復など）を識別するシステムを構築し、他のAIラボやクラウドプロバイダーと脅威インテリジェンスの共有を進めている。

AI業界全体を巻き込む「能力の盗用」という新たな脅威に対し、Anthropicは「一社単独で解決できる問題ではない」と警鐘を鳴らし、政策立案者やグローバルなAIコミュニティ全体での協調した対応を呼びかけている。