米当局、中国AI企業6社が最先端モデルを大規模蒸留と指摘

米国政府は、大規模言語モデルの蒸留をめぐる問題を、企業間の技術論争から国家安全保障と産業政策の問題へと位置づけ始めています。国家安全保障局（NSA）、サイバーセキュリティ・インフラセキュリティ庁（CISA）、連邦捜査局（FBI）は共同声明で、DeepSeek、Moonshot AI、Alibaba、MiniMax、StepFun、Z.AIの6社が、少なくとも2024年末以降、米国の最先端モデルから能力を抽出していたと指摘しました。中国政府が把握していた可能性も示しましたが、素材にあるのはあくまで米当局の主張であり、司法手続きで確定した事実ではありません。

主なポイント

• 複数の米国モデルが標的とされた可能性。 当局はClaude、GPT、Gemini、Grokの各種モデルに言及しています。DeepSeekは幅広い能力を、Moonshot AIは複数モデルを切り替えながら微調整、強化学習、ソフトウェア開発、数学などを学習したとされています。
• 大規模な呼び出しが中心。 高額契約の大量購入や共有、偽アカウント、地域制限を回避するプロキシを組み合わせ、似たプロンプトを数千から数百万回送ったと当局は説明しています。得られた回答は合成訓練データに使われ、最先端モデルの開発期間と費用を抑える狙いがあったとされます。
• プロンプトインジェクションも利用。 脱獄型の指示で、モデルに隠れた逐次推論や回答生成の方法を説明させたとの主張です。ただし、素材には独立した技術監査の結果は示されていません。
• 事業者にはアクセス管理の強化を要請。 本人確認、アカウントやネットワークの異常監視、契約内容と利用量の不自然な組み合わせの検出などが推奨されています。

議論を呼ぶ「密かな低性能化」

当局は、蒸留が疑われる場合、回答の推論方法を変える、推論の深さを下げる、出力に意図的な揺らぎを加える、あるいは利用者に知らせず低性能モデルへ切り替えるといった対策を提案しています。目的は、攻撃側が回答から得られる訓練データの価値を下げることです。

しかし、こうした対応を正確に適用するのは容易ではありません。当局は、中国企業が自動品質検査によってモデル性能の変化を短期間で検知できるとしています。一方で、誤判定が起きれば、研究者や開発者、企業利用者が突然、短い回答や一部機能のない出力を受け取る可能性があります。安全性を高める代わりに、精度、業務上の有用性、利用体験を損なうリスクもあり、当局自身も安全と利便性の両立が必要だと認めています。

意味と今後の論点

最先端AIの競争は、アルゴリズムと計算資源だけでなく、APIの利用管理、本人確認、データの出所、企業間の情報共有にも広がっています。モデル提供企業にとってAPIは商品であると同時に、能力サンプルを大規模に収集される入口にもなり得ます。利用者側では、厳格な確認や通知なしのモデル切り替えが、プライバシーと透明性の問題を生みます。

米当局は、企業と同盟国が攻撃の兆候を共有し、単発の異常を通常の障害として見過ごさない体制を求めています。ただし、素材が扱う時点では、名指しされた中国企業と標的にされたとされる米国モデル提供企業から回答は出ていません。組織的な無断蒸留がどこまで行われたのか、政府の関与があったのかは、今後の証拠と独立検証に委ねられています。

出典：Ars Technica AI