- CISA、NSA、FBIが中国AI企業による産業規模の知識蒸留について警告
- DeepSeek、Moonshot、アリババなどが米国の最先端モデルから数十億トークンを抽出したとされる
- 勧告は悪意あるプロンプトの検知、蒸留への欺瞞的応答、プロバイダー間での情報共有を推奨
中国AI企業の中核的な開発戦略は、米国企業から独自の機能や能力を盗み出すことにあると、米国の法執行機関が警告しています。
米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、国家安全保障局(NSA)および連邦捜査局(FBI)と共同で作成した新たなセキュリティ勧告を公開しました。この勧告では、米国のAI企業に対し、進行中の「産業規模で行われている攻撃的、悪意ある、標的型の蒸留活動」について警告し、推奨される緩和策を示しています。
知識蒸留とは
IBMは知識蒸留を、「大規模な事前学習済みモデル(『教師モデル』)の学習内容を、より小型の『生徒モデル』に転移させる機械学習の手法」と定義しています。IBMによれば、これは深層学習においてモデル圧縮と知識転移の一形態として用いられ、特に大規模なディープニューラルネットワークで活用されているといいます。
つまり、知識蒸留自体は違法でも悪意あるものでもありません。その目的は、より大規模で複雑なモデルを模倣するように、よりコンパクトなモデルを訓練することにあります。今回のセキュリティ勧告の中で両機関は、知識蒸留が「AI研究において正当かつ有用な技術として認識されている」と強調しつつも、中国拠点のAI企業がこれを悪用していると付け加えています。
言い換えれば、両機関の主張によれば、中国企業は新たな能力の開発に数カ月と数百万ドルを費やす代わりに、綿密に設計した大量の質問を米国製モデルに送りつけ、その回答を抽出しているというのです。
知識蒸留に関与している企業とは
どうやら、名の知れた企業はすべて該当するようです。DeepSeek、Moonshot AI、アリババ、MiniMax、StepFun、Z.AIはいずれも、少なくとも2024年後半以降、「Claude、GPT、Gemini、Grokの各バリエーションを含む米国の最先端AIモデルから、数百万件のやり取り/リクエストを通じて数十億トークンを抽出した」とされています。CISAはまた、これがおそらく中国政府の認識のもとで行われていたことも強調しました。「政府の承認を得て」とまでは明言していませんが、行間からはそう読み取れます。
この勧告では、訓練対象となっていたモデルと、悪用の対象となったモデルの両方について、詳細な一覧が示されています。
中国側では、DeepSeekのR1およびV3モデル、MoonshotのKimi-K2およびKimi-K3モデル、MiniMaxのM2モデルなどが含まれます。米国側では、GPT-4、Claude 3.7、Gemini 2.5 Flash Previewといった初期のモデルから、Claude Fable 5、GPT-5などの最新モデルに至るまでが挙げられています。
善意で行われる限り、知識蒸留は違法ではありません。しかし報告書によれば、これらの企業は複数のアカウント、異なるAPIアクセスポイント、複数のクラウドプロバイダー、サードパーティのAIアグリゲーター、プロキシサービス、「中継拠点」、さらには開発者間で共有されるプレミアムサブスクリプションなどを経由してリクエストを分散させ、こうした活動を阻止しようとする防御側の目をかいくぐろうとしていたといいます。
「これは、米国の技術的優位性を脅かす、独自の機能・能力の組織的な抽出行為に当たります。産業規模の蒸留への対処には、AIエコシステム全体にわたる協調的な対応が必要であり、それには米国政府、民間産業、同盟国を横断した効果的な情報共有が含まれます」と両機関は結論付けています。
米国企業が取るべき対応
自社の知的財産を守り(そしてそれによって競合する中国製モデルに対する優位性を保つため)、米国のAI企業は包括的な検知・緩和策を導入すべきだと両機関は述べています。つまり、異常かつ悪意あるプロンプト、アカウント、ネットワーク、挙動を継続的に探知することが求められます。さらに、サブスクリプションと利用量の比率、新規アカウントによる即座の最大利用、企業規模のスループットパターンについても監視すべきだとしています。
2つ目のステップは「標的を絞った応答の変更を導入する」ことです。「悪意ある蒸留の疑いがある試みに対しては、応答内容をわずかに変化させることで、産業規模の蒸留活動を行う企業が得る見返りを減少させる」というものです。つまり、AI企業は自社製品が知識蒸留の対象になっていると察知した際には、意図的に誤った回答を返すようにすべきだということです。
最後に、米国のAI企業は組織間での情報共有の仕組みを構築し、モデルプロバイダー、クラウドプラットフォーム、APIアグリゲーターを横断して活動を関連付けるべきだとしています。
