NSA、CISA、FBIは、中国拠点のAI企業が米国のフロンティアモデルに対して蒸留(distillation)プロセスを利用していると指摘しています。「おそらく中国政府の認識のもとで、DeepSeek、Moonshot AI、Alibaba、MiniMax、StepFun、Z.AIは、少なくとも2024年末以降、Claude、GPT、Gemini、Grokの各バリアントを含む米国のフロンティアAIモデルから、数百万件のやり取り・リクエストを通じて数十億トークンを抽出してきた」と同機関は述べています。
この結果は単に中国のAIモデルを改善するだけでなく、米国の既存の技術的優位性を脅かすものでもあります。2024年末から2025年半ばにかけて、DeepSeekはClaude、Gemini、GPT-4、GPT-5、Grok 4から学習データと能力を蒸留し、自社のR1モデルとV3モデルの訓練に利用しました。
蒸留された知識には、APIルール駆動型タスク、エージェント機能、Q&A最適化、教師ありファインチューニングの最適化、創作・職業文章作成の最適化などが含まれますが、これらに限定されません。
Moonshotも同様の大規模な蒸留を行っており、Kimi-K3モデルの改善のためにClaude Fable 5から大量のデータを抽出したほか、Kimi-K2モデルの改善にはGPT-4oのデータを利用していました。
こうした蒸留は、名前が挙がったすべての中国系AIシステムで繰り返されており、両機関の報告書内で詳細に記録されています。これら中国企業による蒸留の戦術・技術・手順(TTP)は、MITRE ATLASフレームワークにマッピングされており、TTPの名称・ID・説明が示されています。
このマッピングにより、リソース開発からアクセス、実行、探索、AI攻撃の準備段階、収集、情報流出、そして影響に至るまで、蒸留プロセスの詳細な流れが説明されています。たとえば米国のフロンティアモデル開発企業への影響については、金銭的損害、競争優位性の毀損、そして「公正な技術競争と米国の技術的リーダーシップに対する戦略的な経済的脅威」であると記述されています。
ただし、報告書を作成した両機関は、中国企業がMITRE ATLASに存在しない追加的な手法も活用していると指摘しており、これによって今回の事案が場当たり的な悪用とは一線を画すものであることを示しています。これは計画的かつ潤沢なリソースを備えた、国家レベルの行動だといいます。
これらの新規のTTPは、地域制限の回避とサブスクリプションの悪用、リクエストの集中的なルーティングインフラ、リクエストメタデータの自動サニタイズ、そして体系的な利用枠・コストの最適化として説明されています。
両機関が提示する緩和策は、クラウドプロバイダー、APIアグリゲーター、インフラプロバイダーを含む、より広範な米国AIエコシステム全体で連携して実施されるべきだとされています。推奨事項には、行動検知やモニタリング(検知可能な行動の具体例も含む)といった純粋に防御的な対策から、より積極的な反撃的対応までが含まれます。後者について両機関は、「高い確度で悪意ある蒸留リクエストと判断された場合に的を絞った変更を加えることで、知識蒸留キャンペーンに実質的なコストを負わせることができる」と提案しています。
蒸留キャンペーンに関する情報共有ももちろん推奨されています。「複数の情報源から相関する活動が確認できれば、悪意ある知識蒸留キャンペーンをより高い確度で特定でき、正当な利用者へのリスクをほとんど、あるいはまったく生じさせることなく、対応レベルの引き下げを正当化できる」としています。
差分プライバシー(differential privacy)の原則の活用も推奨されています。これは「モデルの出力に較正されたノイズを加え、悪意ある攻撃者が訓練データのメンバーシップ情報や、判断境界の再構築、あるいはプライベートデータの復元に役立ちうるシグナルなど、その他の機密性の高いモデル情報を抽出できないようにする」ことで実現できるとしています。
この報告書の目的は、すべてのAI関係者に対し、中国のAI企業が組織的かつ産業規模で、米国の技術的リーダーシップを事実上盗み取っていることを警告することにあります。この脅威は、企業によるAIの利用そのものに直接及ぶものではありません(もっとも、AI防御がどのように反応するかについて敵対的な知識を持つことで、より高度で回避的な攻撃が可能になる可能性はあります)。むしろこの脅威は、米国の技術的リーダーシップに、ひいては米国経済に、より直接的に及ぶものであり、将来的には国家安全保障上の問題に発展する可能性もあります。
