2026年6→7月　最新トレンドAI企業は、モデルを盗まれない世界を作れるのか

こんにちは黒パグです🐾
今回は蒸留のお話。蒸留と聞くと真っ先にウイスキーが思い浮かぶ私はお酒大好き人間ですが、今日の蒸留はほぼ直訳。

金庫は破られていない。モデルウェイトも流出していない。
なのに、知能は盗まれたかもしれない。
今回の主役は、サーバールームに忍び込むスパイではない。APIに大量の質問を投げ続ける、合法に見える侵入者だ。

Reutersが2026年6月24日に報じたところによると、Anthropicは米上院銀行委員会のTim Scott委員長およびElizabeth Warren筆頭委員に宛てた6月10日付書簡で、Alibabaおよびその研究機関Alibaba Qwenに「関連する」オペレーターが、2026年4月22日から6月5日までの間に、約25,000の不正アカウントを使ってClaudeと2,880万件超のやり取りを行い、Claudeの能力抽出を狙ったと主張した。

Anthropicが「自社に対する史上最大規模の蒸留攻撃」と位置付けた事案である。
ここで先に注釈を入れておく。これは現時点ではAnthropic側の一方的な主張だ。Reuters取材時点でAlibabaはコメント要請に応じていない。Anthropicの書簡の表現も「Alibabaおよびその研究機関Alibaba Qwenに関連するオペレーター」であって、Alibaba本体が攻撃を組織的に主導したと確定したわけではない。第三者がAlibabaのエコシステムやブランドを悪用した可能性も、現時点では排除できない。

それでも、この事案はAI業界にとってひとつの分水嶺だ。
なぜなら、ここで起きているのは「ユーザー利用規約違反」を遥かに超えた、LLM API時代の新しい攻撃面の輪郭だからである。

第1章: そもそも蒸留とは何か

最初に、蒸留(Distillation)を悪者扱いから入らないでおきたい。

知識蒸留は本来、強い教師モデルの振る舞いを小さい生徒モデルに移す、正当な圧縮・高速化技術である。古典的にはHinton, Vinyals, Dean (2015) "Distilling the Knowledge in a Neural Network" が代表例で、巨大なアンサンブルや高性能モデルの知識を、扱いやすいモデルへ圧縮する発想だった。

フロンティアAI企業は、自社モデルを小型化・高速化するために、いまも日常的に蒸留を使う。Anthropic自身もそうだ。HaikuはOpusの蒸留品とも言える(厳密にはもっと複雑なパイプラインだが、概念上)。蒸留そのものを否定したら、AI企業は自分の足を撃つことになる。

問題は、技術ではない。どこから出力を集めて、何を学ばせるかだ。
第2章: では、何が問題なのか

争点は、ふたつある。
ひとつ。他社のAPI出力を、自社の競合モデルの訓練ターゲットにしているか。
これはAnthropicのヘルプセンターが明示的に禁じている行為だ。Claudeの出力を、競合モデル、汎用チャットボット、オープンエンド生成モデルの訓練に使うこと、あるいは出力を training target にすることは、利用規約違反である。一方で、感情分析、分類、要約、情報抽出、セマンティック検索、異常検知のような非競合な下流タスクへの利用は許容例として明示されている。

ふたつ。それが、組織的に、大規模に、長期間にわたって行われているか。
誰かがClaudeの出力をひとつ二つ訓練データに混ぜたとしても、それは事故か、社内の暴走か、と片付けることもできる。だが、25,000アカウント、2,880万リクエスト、44日間、特定の能力領域への集中、というスケールは、もはや事故ではなく作戦である。

つまり、ここで問われているのは「Claudeを蒸留したか」ではなく、「Claudeを蒸留する目的で、競合する汎用能力の複製に向かう運用を、組織的に行ったか」だ。
ここを区別しないと、議論が一気に粗くなる。

第3章: Mission: Distill Possible の手口

ここは少し映画っぽく書かせてほしい。
スパイは金庫をこじ開けない。代わりに、毎日受付にやってきて、笑顔で質問する。
ある日はコード修正、ある日はエージェント設計、ある日は長時間タスクの分解、ある日は推論手順の説明、ある日は評価ルーブリックの書き方。
1回の質問は、普通に見える。むしろ、勤勉なエンジニア、誠実なリサーチャーに見える。

しかし、
数万アカウントが
数千万リクエストを
同じ能力領域に集中させ
似たプロンプト構造で
同期したアクセスパターンで投げ続ける
このとき、通常利用ではなく「能力抽出」の輪郭が浮かび上がる。
Anthropicの主張によれば、Alibaba事案で標的になったのは、Claudeの最も価値の高い領域 ── ソフトウェアエンジニアリング、高度な推論、長時間タスク管理だった。Anthropicはこれを、中国がAnthropicの先端モデルMythos Previewに追いつく時間を加速させるための作戦だと位置付けている。

ちなみに2026年2月にAnthropicが公表した別件 ── DeepSeek、Moonshot、MiniMaxによるキャンペーン ── では、規模はそれぞれ15万件超、340万件超、1,300万件超で、合計約1,650万件。Alibaba事案の2,880万件はその合計をひとつのキャンペーンで超えている。

スケールが、ひと桁上がった、ということだ。
第4章: これは昔からあるモデル抽出問題の、LLM版である

技術的な厚みを出しておく。
2016年、Tramèrらは "Stealing Machine Learning Models via Prediction APIs" (USENIX Security) で、公開された予測APIだけからMLモデルを複製できることを示した。ML-as-a-Serviceは「ブラックボックスだから安全」ではない、というのが当時の問題提起だった。

LLM時代に何が変わったか。
旧来のモデル抽出は、決定境界の再構成、すなわち「APIの確率出力やラベルを十分に集めると、似た判別器が作れる」という話だった。クラス分類問題が中心だ。

LLMでは、出力そのものがコード、推論連鎖、評価基準、ツール使用方針、長文回答といった、そのまま訓練データとして商業価値を持つものになった。
つまり、
旧来: 境界面の再構成 ──「どちらに分類するか」を盗む
LLM時代: 振る舞い・技能・作業手順の収集 ──「どう考えてどう書くか」を盗む
これは質的な飛躍である。盗まれているのは"判断"ではなく"仕事"だ。

しかも厄介なことに、攻撃者はもう自力で再現する必要すらない。Anthropicの調査が示唆するところでは、中国側のグレーマーケットでは、盗まれた認証情報やモデル置換を組み合わせてClaude APIへのアクセスが90%引きで再販され、ユーザーのプロンプトと出力そのものが、AI訓練データとしてさらに転売されている。
蒸留攻撃は、もう地下経済になっている。

第5章: なぜ検知が難しいのか

ここがLLM API Securityの本丸である。
SQLインジェクションならペイロードが臭う。 ' OR 1=1 -- は見ればわかる。
DDoSならトラフィックが尖る。グラフが教えてくれる。
しかし蒸留攻撃は、1リクエストだけ見れば「仕事熱心なユーザー」にしか見えない。

Anthropicは、プロキシサービスや hydra cluster型の不正アカウント網によって、大量アクセスが多数のアカウントへ分散され、正規利用のなかに紛れ込むと説明している。
つまり、防御は単純なRate Limitでは絶対に足りない。

必要なのは、
アカウント横断の相関: 別々のアカウントが、本当に別の人間か
プロンプト構造の指紋: テンプレート化されていないか、語彙分布が偏っていないか
能力領域の偏り: 普通のユーザーはこんなにagentic reasoningだけ叩かない
時間同期: 数万アカウントが特定時間帯にだけ起きていないか
支払い・インフラ指標: 課金経路、IPブロック、デバイス指紋が同一クラスタに属していないか
出力取得パターン: streaming中断率、リトライ率、長文要求率の異常
を横断で見る必要がある。

エンジニア向けに言い換えるなら、Token Bucketだけではダメで、
Semantic Rate Limit (意味的近接度に基づくスロットリング)
Capability Budget (能力カテゴリごとの予算管理)
Account Graph Analysis (アカウント間の関係グラフ解析)
Prompt Shape Fingerprint (プロンプト構造の指紋化)
Output Harvesting Detection (出力収集パターン検出)
までやらないと、もう守れない。Web API SecurityはOWASP Top 10で済んだ時代があった。LLM API Securityは、OWASP Top 10 for LLMが出てもなお、足りない。

第6章: 防御策 ── LLM API Security Stack

Anthropicが公表している対応をまとめておく。
distillation patternを検知する専用分類器
behavioral fingerprinting(アカウント・セッション単位での振る舞い指紋化)
chain-of-thought elicitation の検知(推論連鎖を意図的に引き出そうとするプロンプトを見抜く)
大量アカウント連携の検出(hydra clusterの解体)
他社・クラウド事業者・当局とのインテリジェンス共有
教育・研究・スタートアップ系アカウントの検証強化
API・プロダクト・モデルレベル、それぞれでの多層防御
注目したいのは、これが単一企業だけでは絶対に解けない問題として整理されている点だ。AnthropicはEO 14409を背景に、米政府との脅威インテリジェンス共有の強化を上院に要請している。要するに、LLM API Securityはもう、ベンダー単体のセキュリティ運用ではなく、業界横断・国家関与の枠組みに進入している。

第7章: 規制と安全保障

2026年6月2日、米政府は大統領令14409 "Promoting Advanced Artificial Intelligence Innovation and Security" を発出した。柱は3本である。
政府情報システムのサイバー防衛強化
フロンティアAIモデルの安全な展開のためのvoluntary framework(公開前最長30日間、政府にアクセスを提供する任意枠組み)
AIを悪用した犯罪行為への取締強化
EO 14409は輸出管理そのものを規定しているわけではない(誤解されがちなので注記する)。輸出管理に関しては別動だ。Anthropicが書簡を送った2日後の2026年6月12日、商務省はAnthropicの最新Mythos / Fable 5モデルに対し、中国その他の懸念国の軍・情報機関に利用される懸念から制限を課し、Anthropicは該当モデルへのアクセスをグローバルで無効化した。
つまり、2026年6月の数週間で、
6/2: 大統領令でフロンティアモデル評価枠組み
6/9: PentagonがAlibabaを「中国軍関連企業リスト」に追加(Alibabaは異議申し立て中)
6/10: AnthropicがAlibaba蒸留事案を上院に書簡
6/12: 商務省がMythos / Fable 5の流通制限
6/24: Reutersが書簡を報道
という連鎖が起きた。Anthropic書簡は、この流れのなかに置かれている。

蒸留攻撃は、もはや単なる利用規約違反ではない。輸出管理、クラウドアクセス、フロンティアモデル評価、国家安全保障の交差点に立っている。

第8章: でも、オープンモデル時代にそれは可能なのか

ここでバランスを取る。
正直に言って、能力は完全には閉じ込められない。
APIとして公開した瞬間、モデルは世界に対して振る舞いを漏らす。重みを守っても、回答、推論様式、コード修正能力、エージェント設計能力は、観測可能だ。観測可能なものは、十分なサンプル数があれば、近似できる。これは情報理論の含意である。
オープンウェイトモデルが世界に大量に存在し、合成データ生成技術が成熟し、評価ベンチマークが共有資産化していくこの時代、「うちのモデルの能力は完全に秘密です」というシナリオは、もう成立しない。

だから、目指すべきは「モデルを盗まれない世界」ではない。
盗むコストを上げる
早期に検知する
規約・技術・インフラ・政策を多層で重ねる
盗まれた前提で、自社の優位性を継続的に再生産する
の四点だ。Mission Impossibleではない。Mission: Distill Possibleである。完全防御は不可能だが、攻撃を高コスト化することは可能だし、それこそが現実的な戦略だ。

そして、もうひとつ大事な視点を最後に。
Claudeのような最先端モデルが、訓練データとして欲しがられているという事実は、屈辱ではなく、評価でもある。盗む価値がないものは、誰も盗まない。問題は、盗まれること自体ではなく、盗まれた結果として、開発投資のインセンティブが構造的に毀損されることだ。それは、長期的にはAI研究全体を貧しくする。

だから、これは「米中対立」の話だけではない。
「能力を生み出す側」と「能力を回収する側」の構造をどう設計するか、という、AI業界全体の話だ。

結論

これからのAI企業にとって、守るべきものはモデルウェイトだけではない。
APIの向こう側に漏れ出す「振る舞い」もまた、知的財産であり、安全保障資産であり、攻撃対象である。
泥棒は、もう金庫を破らない。
彼らは、質問する。
何百万回も。
出典

Anthropic 公式 "Detecting and countering misuse of AI"(2026年2月公表、DeepSeek / Moonshot / MiniMax 事案、蒸留の定義、検知・防御策)

Reuters(2026年6月24日報道、Anthropic書簡、Alibaba / Qwen 関連キャンペーンの主張、2,880万件超 / 約25,000不正アカウント / 2026年4月22日〜6月5日)

CNBC / Tom's Hardware(同事案の補足報道、ターゲットされた能力領域: software engineering / advanced reasoning / long-duration task management)

Claude Help Center(Claude出力を競合モデル訓練に用いることの禁止、許容される非競合用途)

Hinton, Vinyals, Dean (2015) "Distilling the Knowledge in a Neural Network"

Tramèr et al. (2016) "Stealing Machine Learning Models via Prediction APIs" (USENIX Security)

White House Executive Order 14409(2026年6月2日、"Promoting Advanced Artificial Intelligence Innovation and Security")

商務省 Mythos / Fable 5 流通制限(2026年6月12日)

Pentagon "Chinese military companies" list 更新(2026年6月、Alibaba追加 ── 同社は異議申し立て中)

#AI #LLM #Claude #Anthropic #Alibaba #Qwen #AIセキュリティ #LLMセキュリティ #API #APIセキュリティ #蒸留攻撃 #DistillationAttack #知識蒸留 #モデル抽出 #AI安全保障 #エンジニア #LLMエンジニア #生成AI #機械学習 #サイバーセキュリティ #ゼロトラスト #米中AI競争 #フロンティアモデル #MythosPreview #Fable5 #EO14409 #大統領令 #