米国のサイバーセキュリティ・情報機関は、少なくとも2024年後半以降、中国のAI企業6社が米国製フロンティアAIモデルに対して産業規模の蒸留攻撃を行っていたと発表しました。
CISA、NSA、FBIが共同で発表した勧告によると、DeepSeek、Moonshot AI、Alibaba、MiniMax、StepFun、Z.AIの各社は、Anthropic、OpenAI、Google、xAIのフロンティアAIモデルに対して数百万件のリクエストを送り、数十億トークンを抽出したとされています。
各機関は、こうした活動の規模と巧妙さから中国政府の関与を認識していた可能性が高いと評価しており、この手法は問題視されている各社にとって中核的な開発戦略になっているとみられると述べています。
AIモデルの蒸留とは、「生徒」モデルが十分に訓練されたモデルの出力から学習する正当な技術であり、研究者や開発者が訓練コストを削減し、AIの展開を加速させるのに役立つものです。
しかし、Googleが2月に警告したように、蒸留攻撃はこれらの企業が管理する環境の外でも発生し得ます。API access を悪用することで、強力なモデルの知識やロジックを抽出し、はるかに低い訓練コストで競合する製品を作り上げることが可能になります。
CISAの勧告によれば、中国企業は不正取得または共有されたアカウント、API、クラウドサービス、アグリゲーター、さらに「トランスファーステーション」となるプロキシにリクエストを分散させることで、地理的制限や利用制限、検知を回避しているとされています。
使用されたプロンプトの中には、本来制限されているはずの思考の連鎖（chain-of-thought)推論を引き出そうとするものがあった一方で、自動化システムはプロバイダーを切り替えつつ、防御側が応答の質を意図的に劣化させていないかを確認していました。
「高度な産業規模の蒸留手法には、思考の連鎖(CoT)推論の抽出、ブロックされた際に経路間で自動的にフェイルオーバーする仕組み、そして防御的な対抗策を検知するための洗練された品質評価フレームワークが含まれます」と勧告は説明しています。
「米国のAIモデルに対して産業規模の蒸留を行う中国拠点のAI企業は、フロンティアモデルの訓練において開発期間を大幅に短縮し、財務支出も大きく削減できています」
DeepSeekとMoonShot AIは、Claude、GPT、Gemini、Grokの複数モデルの蒸留に関与した最大の違反者として挙げられており、これに続いてMiniMaxがClaude、Gemini、GPTの各モデルを標的にしていたとされています。
AlibabaとStepFunは自社製品の改善のためにClaudeとGPTのモデルを標的にしたとして非難されており、Z.AIはGPT-5.5とClaude Opus 4.8を標的にしたとされています。
この勧告では、AI企業に対して行動面およびインフラレベルでの検知能力を強化し、蒸留活動が疑われる場合には応答内容を変更し、こうしたキャンペーンに関する情報をすべての関係者と共有するよう推奨しています。
潜在的な兆候としては、新規アカウントが作成直後から最大利用量に達すること、人間らしい休止時間が見られない継続的な活動、複数のIPアドレスやユーザーエージェントからアクセスされる共有アカウント、複数のプロバイダーにまたがる同一のプロンプト、契約プランに対して不自然に高い利用比率、そしてアクセス経路間での協調的な切り替えなどが挙げられています。
BleepingComputerは中国のAI企業6社すべてにコメントを求めており、回答があり次第、本記事に追記する予定です。
