米国の情報機関やサイバーセキュリティ当局が、DeepSeek(ディープシーク)、Alibaba(アリババ)、Moonshot AI(ムーンショットAI)、MiniMax(ミニマックス)、StepFun(ステップファン)、Z.AIを含む中国系AI企業6社を、大規模な知識蒸留キャンペーンを通じて米国の主要AIシステムから数十億トークンを抽出したとして非難しました。
米国家安全保障局(NSA)、サイバーセキュリティ・インフラセキュリティ庁(CISA)、連邦捜査局(FBI)が共同で発行したサイバーセキュリティ勧告「AA26-251A」によると、これらのキャンペーンは少なくとも2024年後半から活動しており、中国政府の関与を伴っていた可能性が高いとしています。
Computersecurity consulting
両当局は、この活動を最先端モデルの応答を合成的な訓練データへと変換し、競合する国産モデルの開発にかかるコストと時間を削減するための協調的な取り組みと位置づけています。
知識蒸留自体は正当な機械学習の手法であり、能力の高い「教師」モデルの出力から、より小規模な「生徒」モデルが学習する仕組みです。
しかし今回の米国の勧告は、正当な研究行為と、制限された独自機能を再構築することを目的とした大量かつ検知回避型の照会行為とを明確に区別しています。
両当局によると、名指しされた各社は米国モデルを単にベンチマークしたり、通常の製品開発に利用したりしていたわけではないとされています。
むしろ、思考の連鎖(チェーン・オブ・ソート)型の推論、強化学習の最適化、ソフトウェアエンジニアリング、エージェント型ワークフロー、法務タスク、質疑応答、創作といった対象領域にわたって出力を収集するため、数百万回に及ぶ組織的なやり取りを行っていたとされています。
その狙いはモデルの重みを直接コピーすることではなく、最先端システムがどのように推論し、応答し、ツールを使い、品質を評価するかを国産モデルに学習させることにあったとみられます。
この警告は、こうした能力抽出を知的財産の問題であると同時に、国家安全保障上の問題としても位置づけています。
モデルの出力を大規模に収集することで、競合他社は長年にわたる高額な研究、計算資源への投資、評価作業、安全性に関するエンジニアリングの成果を、独自に開発コストを全額負担することなく手に入れられる可能性があります。
DeepSeekは2024年後半から組織的な蒸留活動を米国の最先端モデルに対して行い、自社のR1およびV3モデルファミリーの訓練に使うデータに重点を置いていたとされています。
勧告によれば、同社は複数のClaude、GPT、Gemini、およびGrokの各バリアントへのアクセスから、推論能力、ドメイン固有の機能、特化した最適化手法を標的にしていたとしています。
さらに、DeepSeekが広く引用している560万ドルという訓練コストの数字には、こうした蒸留活動によって取得したとされるデータの価値が反映されていないと指摘しています。
CISAの研究者らは、この活動がClaude、GPT、Gemini、Grokの各モデルバリアントが持つ独自の推論、コーディング、エージェント関連、および特化機能を標的にしていたとされると述べています。
Alibabaについても、自社のQwenモデルファミリーの性能向上のために産業規模の蒸留を利用していたとして非難されています。
標的となった米国AIモデル
勧告によると、AlibabaはClaudeから情報を引き出していたとされ、GPT系システムからも、ソフトウェアエンジニアリング機能、カスタマーサービス向けの対話、バーチャルキャラクター生成、および教師あり微調整と強化学習を伴う訓練プロセスの改善に利用していたとされています。
Kimiモデルの開発元であるMoonshot AIは、コーディング、数学、強化学習、エージェント関連の能力に関するデータを抽出していたとされています。
MiniMaxは思考の連鎖型の推論とコード開発機能を狙っていたとされる一方、StepFunとZ.AIは、より新しい世代の米国モデルが持つ高度なコーディング能力と推論能力を標的にしていたとして非難されています。
両当局によると、これらの活動では「トランスファーステーション」と呼ばれるAPIプロキシサービスのグレーマーケットが利用され、地理的な利用制限の回避、顧客の身元の隠蔽、プロバイダーの安全対策の回避に用いられていたとしています。
リクエストはネイティブAPI、クラウドサービス、サードパーティのアグリゲーター、アカウントプール、リレーインフラなどを経由して送られていたとみられています。
その他に指摘されている手口としては、不正または身元を隠したアカウントの使用、開発者間で共有される有料サブスクリプションの大量購入、ブロックされた際に自動的に別のアクセス経路へ切り替える仕組み、メタデータの消去、複数のプロバイダーにリクエストを分散させるための集中管理システムなどが挙げられています。
こうしたインフラの存在により、個々のアカウントやIPアドレス、プラットフォームだけを見てもキャンペーン全体を把握できないため、検知は困難になっています。
この勧告では、いくつかの手法をMITRE ATLASにマッピングしており、AI推論APIへのアクセス、プロンプトインジェクション、ジェイルブレイク行為、モデル出力の収集、推論インターフェースを通じた抽出などが含まれています。
特に懸念されているのは、モデルに隠された思考の連鎖型の推論を開示させようとする試みであり、これは複雑なコーディング、論理、エージェント関連のタスクを解決する手法を明らかにしてしまう恐れがあります。
NSA、CISA、FBIは、AIプロバイダーに対し、異常なプロンプト、アカウントの挙動、ネットワーク活動、企業規模のスループットパターンを監視するよう求めています。
その兆候としては、新規作成されたアカウントが直後に上限いっぱいまでクォータを消費すること、複数のユーザーが多様なIPアドレスにまたがってサブスクリプションを共有していること、24時間365日途切れることのない活動、極めて反復的なクエリ、通常とは異なるサブスクリプションと利用量の比率などが挙げられています。
また両当局は、正規の利用者への支障を避けつつ、抽出活動が疑われる場合には出力を慎重に改変し、収集されたデータの価値を下げることも推奨しています。
そして何より重要な点として、複数のアクセス経路にまたがって展開されるキャンペーンを暴くために、モデルベンダー、クラウドプロバイダー、APIアグリゲーター、同盟国政府の間での情報共有を呼びかけています。
今回の勧告は、モデルの出力を盗み取る行為が独立したセキュリティ分野になりつつあることを示しています。もはやモデルの重みを保護するだけでは不十分だということです。
Securitytraining courses
最先端AIの開発企業は今後、推論レイヤー、挙動データ、独自の能力を、インターネット規模で行われる組織的な抽出行為から守る必要があります。
★ 7段階のメトリック連動型AI SOC導入フェーズを学ぶ – 無料AI SOC導入プレイブック2026をダウンロード。
翻訳元: https://gbhackers.com/u-s-ai-models-targeted/
