米政府機関によると、中国のAI企業が大規模な蒸留(distillation)キャンペーンを通じて、米国発のAIモデルが持つ独自の能力を盗み出しているとされています。
「FBI」、国家安全保障局(NSA)、サイバーセキュリティ・インフラセキュリティ庁(CISA)は9月8日に共同勧告を発表し、中国のAI企業が米国の主要AIモデルから能力を抽出するために「産業規模」の取り組みを行っていると警告しました。この勧告では、Alibaba、DeepSeek、MiniMax、Moonshot AI、StepFun、Z.AIといった複数のAIベンダーが、米国の大規模言語モデル(LLM)を利用して自社の独自モデルの訓練・開発を支援していると指摘しています。
これらの企業は「少なくとも2024年後半以降、Claude、GPT、Gemini、Grokの各バリアントを含む米国のフロンティアAIモデルから、数百万件のやり取り/リクエストを通じて数十億トークンを抽出した」と、同勧告は述べています。
各機関は、これらの企業が蒸留(distillation)と呼ばれる手法を通じてこれを行っていると主張しています。これは、成熟した「教師」AIモデルを使って「生徒」AIモデルを訓練する、一般的な手法です。蒸留自体は、学術研究やモデルの効率化、特定用途向けモデルの改善などに広く用いられている、正当な手法です。
今回のケースが異なるのは、これらの企業が利用規約に違反する形で得た出力を訓練に利用し、競合企業の独自能力を意図的に抽出し、検知を回避するための手法を用いているとされる点だと、勧告は説明しています。米政府機関は、これが中国政府の認識のもとで行われている可能性が高いと主張しています。
中国の「AI蒸留工場」の内側
この勧告では、米国のフロンティアモデルに産業規模でアクセスするための複数の手法が概説されています。
勧告には次のように記されています。「高度な産業規模の蒸留手法には、思考の連鎖(CoT)推論の抽出、ブロックされた際に自動的に別の経路へ切り替えるフェイルオーバー、防御的な対策を検知するための高度な品質評価フレームワークなどが含まれる。米国のAIモデルに対して産業規模の蒸留を行う中国拠点のAI企業は、フロンティアモデルの訓練において、開発期間の大幅な短縮とコストの削減を実現している」
この集中的なプロセスにかかるコストを抑えるため、中国拠点のAI企業は、米国AIモデルのプレミアムサブスクリプションを一括で契約し、開発チーム間で共有しているとされています。
また検知を回避するため、これらの企業は蒸留のリクエストをネイティブAPI、リモートのクラウドプロバイダー、そしてユーザーのメタデータを自動的に匿名化するサードパーティのアグリゲーターを経由させているとされています。さらに、米国AIモデルの地理的制限を回避し、防御策を突破するために特化したグレーマーケットのプロキシ群、いわゆる「トランスファーステーション」も利用しているといいます。
この勧告では、企業ごとに個別の指摘もなされています。CISAは、DeepSeekが少なくとも2024年後半以降、自社モデルの「合成訓練データを生成する」ために米国AI企業のフロンティアモデルを対象とした組織的な蒸留キャンペーンを実施していたと述べています。
勧告には次のように記されています。「同社は、計算コストと研究コストを削減するため、独自の機能や推論能力を抽出する目的で特定の知識領域を標的にしていた。DeepSeekが公に示している560万ドルという訓練コストは、大規模かつ悪意ある蒸留によって得られたデータの真のコストを含んでいないため、誤解を招くものだ」
一方Moonshot AIは、「Kimi-K3モデルの訓練にClaude Fable 5の大量のデータを、Kimi-K2モデルの訓練にGPT-4oのデータを」それぞれ抽出したとされています。両社はいずれも、このキャンペーンの一環として、Anthropic、OpenAI、Google、xAIの各モデルから不正に情報を得ていたとされています。
AI企業が取るべき対策
勧告を発表した各機関は、米国のAI企業に対し、異常かつ悪意ある挙動を検知するための包括的な検知・緩和策の導入、より広範なキャンペーンを把握するための他のAI組織との情報共有、そして悪意ある試みが疑われる場合の対応を調整し、その出力の有効性を低下させることを推奨しています。
Arctic Wolfのラボ・脅威リサーチ&インテリジェンス担当バイスプレジデントであるIsmael Valenzuela氏はDark Readingに対し、モデルの抽出・蒸留はAPI不正利用や知的財産に関する紛争として扱うのではなく、「それ自体をセキュリティインシデントの一カテゴリとして扱うべきだ」と述べています。
Valenzuela氏は次のように述べています。「AI企業や組織は、大規模な自動化によるAI APIのアクセスパターン、異常なプロンプト収集の挙動、そして分散的なアカウント作成を24時間365日体制で監視することを優先すべきだ。各組織が単独で検知の問題を解決しようとするのではなく、モデル提供者と協力してテレメトリや指標を共有すべきだ」
