米国のサイバーセキュリティ・情報機関は、中国のAI企業6社が少なくとも2024年後半から、米国のフロンティアAIモデルに対して産業規模の蒸留攻撃を行っていたと発表しました。
CISA、NSA、FBIによる共同勧告によると、DeepSeek、Moonshot AI、Alibaba、MiniMax、StepFun、Z.AIの各社は、Anthropic、OpenAI、Google、xAIのフロンティアAIモデルに対して数百万件のリクエストを送信し、数十億トークンを抽出していたとされています。
各機関は、これらの活動の規模と手法の巧妙さから、中国政府がこの動きを認識していると評価しており、この手法が問題の企業にとって中核的な開発戦略になっている可能性が高いとしています。
AIモデルの蒸留（distillation）自体は正当な技術であり、「生徒」モデルが十分に訓練された「教師」モデルの出力から学習することで、研究者や開発者は学習コストを削減し、AIの展開を迅速化できます。
Googleが2月に警告したように、蒸留攻撃はこれらの企業が管理する環境の外でも発生し得ます。攻撃者はAPIアクセスを悪用して高性能モデルの知識やロジックを抽出し、はるかに低い学習コストでそのモデルに対抗する製品を作り出しています。
CISAの勧告では、中国企業が不正取得した、または共有されたアカウント、API、クラウドサービス、アグリゲーター、そして地理的制限や利用制限、検知を回避するための「中継局」的なプロキシにAPIリクエストを分散させていると説明されています。
使用されたプロンプトの一部は、制限されているはずの思考の連鎖（chain-of-thought）による推論過程を暴き出そうとするものでした。また、自動化システムはプロバイダーを次々に切り替えながら、防御側が応答内容を意図的に劣化させていないかどうかを確認していました。
「産業規模の高度な蒸留手法には、思考の連鎖（CoT）による推論の抽出、ブロックされた際に経路を自動的に切り替えるフェイルオーバー、そして防御側の対抗策を検知するための精巧な品質評価フレームワークが含まれます」と勧告は説明しています。
「米国のAIモデルに対して産業規模の蒸留を行う中国企業は、AI開発期間を大幅に短縮できるほか、フロンティアモデルの学習にかかる財務的な支出も抑えられています」
DeepSeekとMoonshot AIは、Claude、GPT、Gemini、Grokの各モデルを複数にわたって蒸留する、最も違反の程度が大きい企業として挙げられており、それに続いてMiniMaxがClaude、Gemini、GPTの各モデルを標的にしていたとされています。
AlibabaとStepFunは、自社製品の改善のためにClaudeとGPTの各モデルを標的にしたとされ、一方でZ.AIはGPT-5.5とClaude Opus 4.8を標的にしていたと指摘されています。
この勧告では、AI企業に対し、行動やインフラのレベルでの検知能力を向上させること、蒸留活動が疑われる場合には応答内容を変更すること、そしてこうしたキャンペーンに関する情報をすべての関係者と共有することを推奨しています。
蒸留活動の兆候として考えられるものには、新規アカウントが即座に利用上限に達すること、人間らしい通常のアイドル時間を挟まない継続的な活動、多数のIPアドレスやユーザーエージェントからアクセスされる共有アカウント、複数のプロバイダーにまたがる同一のプロンプト、契約数に対して不自然に高い利用率、そして複数のアクセス経路を連携させて切り替える動きなどが挙げられます。
BleepingComputerは中国のAI企業6社すべてに対してコメントを求めて連絡しており、回答が得られた場合は記事に追記する予定です。
