セキュリティ
米国のモデル開発企業はウェブ上のデータで学習できるのに、自社モデルの蒸留は「国家安全保障上のリスク」だという
著作権をめぐる争いのさなかにも、インターネット上の膨大なコンテンツを吸い上げてきたOpenAIが、中国のMoonshot AIに関係する個人が、7月1日に始まった「蒸留攻撃」に関与していたと非難しました。Altman氏率いる同社は、自社モデルの推論を大規模に抽出されると、競合他社が同等の安全対策を備えないまま高性能なモデルを訓練できてしまうと警告しています。
モデル蒸留とは、あるモデルの出力を使って別のモデルを訓練する機械学習の手法です。悪用されるケースでは、大規模モデルの推論や能力を再現することを狙った大量のクエリが送り込まれます。
すでに米連邦政府や、Google、Anthropicをはじめとする米国の大手AI企業が、中国の競合企業、とりわけMoonshot AIが蒸留によって米国製モデルの能力を再現していると非難しています。水曜日のブログで、OpenAIもこの流れに加わりました。7月のほぼ全期間にわたって続いた敵対的な蒸留キャンペーンを検知し、最終的に阻止したと説明しています。
ブログには次のように書かれています。「攻撃者は、当社の暗号化を破ったわけでも、データベースに侵入したわけでも、保存されたユーザーの会話に直接アクセスしたわけでもありません。そうではなく、モデルとのやり取りを操作し、保護された推論をリクエスト元に見える形で再現できるようにしました。これを組織的かつ大規模に行い、利用規約に違反しました」
クエリは7月1日に始まりました。当初は緩やかでしたが、OpenAIによると「7月24日と25日には大量のスパイクを確認しました。4,000人を超えるユーザーから、抽出パターンに該当する1万6,000件のリクエストが届いたのです」。
同社は調査の結果、1万5,000人を超えるユーザーで関連する「プロンプトパターンの活動」を特定しました。OpenAIによれば、キャンペーンは7月28日に完全に阻止されました。
OpenAIは、7月の攻撃者がすべて1社の競合AI企業に結びつくのかは不明としています。ただ、窃取の「中核クラスタ」は、Kimiを開発したMoonshot AIに由来するとしました。
The RegisterはMoonshot AIにコメントを求めましたが、すぐには回答がありませんでした。7月のキャンペーンでどのモデルが標的になったのかもOpenAIに尋ねましたが、返答はありません。
なお、7月下旬には、ドナルド・トランプ米大統領の科学技術担当補佐官Michael Kratsios氏も、Moonshot AIがAnthropicのFableを蒸留してKimi K3モデルを作ったと非難しています。
1週間前にリリースされたAnthropicのClaude Opus 5.5モデルには、蒸留への対抗策として「preserved thinking」が搭載されています。この機能は、Fable 5.1で導入されたものです。
OpenAIは水曜日、「敵対的蒸留は、安全性と国家安全保障にリスクをもたらします」と述べました。米国企業や政府当局者がこれまで示してきた不満を、そのままなぞった形です。
OpenAIはさらにこう続けています。「抽出された推論は、元のモデルがユーザー向けの出力に適用している安全対策を維持しないまま、別のモデルの訓練に使われるおそれがあります。大規模に行われれば、蒸留は同等の安全面の投資を伴わずに高度な能力の移転を加速させる可能性もあります。モデルがデュアルユース分野で能力を高めるにつれ、こうした懸念は強まっています」
対応としてOpenAIは、モデルを複製していたアカウントを停止し、サインアップとインフラに対する制御を強化し、監視も拡大したと説明しています。
さらに、「他のユーザーの暗号化された推論をすでに所持している人物が、それを再生して内容を復元できる経路」を塞ぎました。この種の蒸留活動がサードパーティのサービスに移るだけに終わらないよう、サービス事業者とも連携したということです。
加えてOpenAIは、調査の詳細をFrontier Model Forumや政府の情報共有プログラムを通じて、他のAI企業と共有しました。®
