Anthropic、Claudeを狙う大規模なモデル蒸留活動を公表

導入

最先端AIをめぐる競争は、ベンチマークや製品機能だけでなく、モデルが持つ能力そのものをどう守るかという段階に入っている。Anthropicは新たな報告書で、中国に拠点を置く複数のAI企業に関連するとみられるモデル蒸留活動を明らかにした。ここ数か月で、規模も防御を回避する手法も高度化したという。

同社が確認したキャンペーンは五つで、関連するやり取りは合計で約2億件に達した。標的になったのは、エージェント機能やツール利用、コーディング、データ分析、論理的推論など、Claudeの中核的な能力だった。

主なポイント

• 最終回答だけが狙われたわけではない。 蒸留では、強力な「教師モデル」に大量の質問を行い、その出力を使って小型モデルを微調整する。今回の活動では、回答そのものに加え、推論の過程や作業上の痕跡が重視されたとAnthropicは説明している。
• 思考過程の保護を回避する工夫が使われた。 Claudeは通常、内部の思考連鎖ではなく要約された思考を表示する。報告書によると、攻撃者は作業用メモリの出力を翻訳依頼に見せかけるなど、特殊な指示でより詳細な推論痕跡を引き出そうとした。
• 最大規模はAlibaba関連とされた活動だった。 2026年5月から7月にかけ、約3500アカウントから約1億5100万件のやり取りがあり、ピーク時には1日約300万件に達したという。各アカウントが同じ固定プロンプトを使っていたため、Anthropicは一つの組織的な取り組みと判断し、Qwenシリーズ向けの訓練材料収集に関連づけた。
• Moonshot AI関連の活動では敏感な用途も確認された。 報告書によれば、10日間で約5000アカウントを経由して約30万件のリクエストが送られ、その多くがClaude Opusを対象にしていた。監視カメラ映像から対象者の異常行動を判定する依頼も含まれていた。中国軍からのリクエストを中継していたようだという点は、Anthropicによる帰属判断として示されている。

意味と影響

今回の報告は、モデル蒸留が単発の技術検証から、相当な規模で運用できる活動へ移行した可能性を示す。多数のアカウント、自動化された問い合わせ、同一プロンプトの反復を組み合わせることで、サービス提供者は個々の利用だけから悪用目的を見抜きにくくなる。アカウント間の関係、通信パターン、プロンプトの類似性を組み合わせた監視が必要になるだろう。

推論痕跡は、単なる回答よりもモデルの振る舞いを学習する材料になり得る。一方、Anthropicの説明は観測結果と帰属に関するものであり、名前が挙がったモデルがClaudeの能力を完全に再現したことや、収集データの最終的な利用方法まで証明するものではない。

透明性と能力流出のバランスも難題だ。説明を増やせば利用者の理解は進むが、詳細な中間過程は競合モデルの学習信号にもなり得る。今後は、アクセス権限、出力制御、異常トラフィック検知、企業間の不正利用情報共有が、モデル安全対策の重要な要素になりそうだ。

出典：TechCrunch AI