CISA、NSA、FBIによる合同サイバーセキュリティ勧告によると、中国拠点のAI企業が大規模な知識蒸留キャンペーンを展開し、米国の主要AIモデルから能力をコピーしているといいます。
知識蒸留とは、より高性能なモデルの出力を利用して別のモデルの学習を助ける、標準的なAI学習技術です。両機関によれば、中国企業はこれを産業規模で活用し、推論やコーディングをはじめとする専門的機能など、制限された能力を抽出しており、蒸留は同国のモデル開発戦略の中核をなしているとされています。
CISA代表理事のニック・アンダーセン(Nick Andersen)氏は、「米国企業が積み上げてきた進歩との差を縮めようとする知識蒸留キャンペーンから自社プラットフォームを守るため、AI企業は直ちに対策を講じるよう強く求めます」と述べています。
標的となった企業とモデル
DeepSeek、Moonshot AI、Alibaba Group、MiniMax、StepFun、Z.AIの各社は、少なくとも2024年後半以降、Claude、GPT、Gemini、Grokの各種バリエーションを含む米国のフロンティアAIモデルに対して数百万件のリクエストを行い、数十億トークン分のデータを抽出してきました。
両機関は、こうした活動が中国政府の関与のもとで行われた可能性が高いと評価しています。
DeepSeekは、米国のフロンティアAIモデルからデータと能力を抽出し、DeepSeek R1およびV3の学習に活用してきました。特に推論、文章作成、エージェント機能、質問応答、さらには法律関連業務などの専門的タスクに重点が置かれていたといいます。
この勧告は、DeepSeekが公表した560万ドルという学習コストにも疑問を投げかけており、この数字には大規模な蒸留によって得られたデータの本当のコストが反映されていないと指摘しています。
Moonshot AIも少なくとも2025年半ば以降、同様の活動を行っており、米国のフロンティアモデルを利用して自社のKimiモデルにおけるソフトウェアエンジニアリング、数学、教師付き微調整、強化学習の能力を向上させてきました。
Alibaba、MiniMax、StepFun、Z.AIの各社は、米国モデルを利用してコーディングやカスタマーサービスから推論、AIエージェントに至るまで幅広い能力を開発してきました。2026年半ばまでに、Z.AIはGPT-5.5とClaude Opus 4.8から数十億トークン分のデータを蒸留し、思考の連鎖(chain-of-thought)による推論能力の開発に利用していました。
蒸留キャンペーンの手口
これらのキャンペーンでは、MITRE ATLASフレームワークに対応付けられた戦術・技術・手順(TTP)が使われており、リソース開発、AIモデルへのアクセス、実行、権限昇格、防御回避、探索、AI攻撃の準備、収集、抜き出し、影響に至る幅広い段階をカバーしています。
さらに、このフレームワークでは網羅されていない手法も利用されています。各企業は「トランスファーステーション」と呼ばれるAPIプロキシのグレーマーケットを利用し、地域制限を回避したり、自国の所在を隠したり、保護機構を回避したり、追跡可能性を下げたりしています。プレミアムアカウントのプールを使ってリクエストを分散させ、利用制限を回避する一方、集中管理システムが空き状況やクォータに応じて複数のAPI、クラウドプロバイダー、アグリゲーター、その他サービス間でトラフィックを振り分けています。
運用者はリクエストから識別情報を除去し、アカウントやサービスの利用方法を最適化してコストを削減しています。
企業が蒸留キャンペーンを検知する方法
検知の指標としては、人間らしい変動やアイドル時間のない24時間365日の継続的な利用、サブスクリプションとAPI利用比率の異常、利用開始直後に最大利用量に達する新規サブスクリプション、アカウントプール間の協調的な挙動、識別用メタデータの突発的な変化などが挙げられます。
両機関は、アカウントの本人確認強化と、企業規模のスループットや正当な利用パターンからの逸脱を示す個々のサブスクリプションに対するより厳密な監視を推奨しています。
緩和策と対応戦略
プロバイダーは、応答内容を変化させたり、推論の深さを制限したり、正しい情報を別の推論経路で提示したり、文体上の不整合を意図的に導入したりすることで、蒸留キャンペーンと疑われる行為の価値を下げることができます。疑わしい運用者については、通知せずに能力の低いモデルへ振り分けることも可能です。
悪意ある蒸留活動が確認された場合、プロバイダーは運用者に通知せずに応答内容を変更することができます。モデルに変更を加えた際には、AIセーフティの研究者や第三者評価機関に情報を伝えるべきです。
差分プライバシーも有効な防御策の一つで、モデルの出力に制御されたノイズを加えることで抽出をより困難にします。プライバシー保護を強化するほどモデルの精度や有用性が下がる可能性があるため、プロバイダーは差分プライバシーとレート制限、応答制御、監視を組み合わせて運用するとよいでしょう。
IPアドレス、ドメイン、サードパーティサービス、クエリ量、タイミングパターンといった指標を共有することで、モデル開発者やクラウドプロバイダー、APIプラットフォームは、単独では見えにくい協調的なキャンペーンを特定しやすくなります。
安全性・敵対的学習も追加的な保護層となり、プロンプトインジェクションやジェイルブレイクの手法をより難しくすることができます。
