盗まれたAIの推論過程、中国による安価な競合モデル開発を後押しか

OpenAI、Grok、Claude、Geminiは私たちの役に立つだけではありません。だまされて、中国が安価な競合モデルを生み出す手助けまでさせられています。

最先端のAIには通常、開発者が専用アプリをAIエンジンと連携させるための公開APIが用意されています。ユーザーのアプリケーションはこのAPIを通じてAIに問い合わせ、応答を受け取ります。応答には、モデルが結論に至るまでの推論ステップが含まれるのが一般的です。この推論内容は以降の問い合わせでもモデルに戻されるため、モデルは「思考」の文脈を継続して保てます。 

この処理の規模は、コンテキストコンパクション（圧縮）によって適切な範囲に抑えられています。蓄積された会話履歴、ツール呼び出し、ワークスペースの状態は、コンテキストウィンドウがあふれる前に要約へと圧縮されます。

攻撃者は、あらゆるAPIを標的への入り口になり得ると考えます。今回の場合、推論の出力から機密情報を引き出せるのか、悪意ある入力でモデル自体を汚染できるのか、という点が焦点になります。2026年8月に公開された論文「Stealing Reasoning Traces from Proprietary LLM APIs」は、この推論プロセスを通じてPII（個人を特定できる情報）を抽出できると報告しました。Xintは新たなレポートで、次のように説明しています。「この論文は、最先端モデルの暗号化された推論を同じ提供元のより弱いモデルに再投入し、それを書き起こさせることが可能だと示した」

この論文をきっかけに、開発者による対策強化と研究者による検証という通常のプロセスが始まりました。たとえばOpenAIは、この脅威への緩和策を迅速に展開しました。その後Xintは、こうした緩和策を回避する手法を発見し、「Compaction Smuggling」と名付けました。OpenAIはこの手法にも対処済みです。

OpenAIの最初の緩和策によって、PIIの露出やモデル汚染の脅威は低減されました。しかし、モデルの推論プロセスに関する知識は依然として盗み出される可能性があり（コンパクション・スマグリング）、新たな競合AIモデルを安価に構築する（蒸留）ために使われかねません。蒸留とは、高度なモデルから盗んだ推論の秘密を利用して、競合モデルを低コストで作り上げる手法です。

OpenAIは、この新たなコンパクション・スマグリングの問題を確認して修正し、2026年10月23日にXintへ6,000ドルの報奨金を支払いました。コンパクション・スマグリングは、あるモデルの推論をコンパクションの中にエンコードして別のモデルへ移す手法で、3段階で実行されます。第1段階は、タスクを送信して推論を取得することです（例：gpt-5.6-sol）。第2段階は、返されたコンパクションを誘導・加工することです。第3段階は、その結果を別のAIモデル（例：gpt-4.1やgpt-4o）に送り、「入力をそのまま出力せよ」と要求することです（Xintの報告による）。モデルは「喜んでそれに応じた」といいます。

詳細はもっと複雑ですが、単純化すれば、Xintの新たな攻撃は2つ目のモデルに、1つ目のモデルの保護を解読させているにすぎません。Xintは次のように報告しています。「これが成立するのは、OpenAIの8月の緩和策が、推論を別のモデルに再投入することしかブロックしておらず、コンパクションの呼び出しが推論を生成したのと同じモデルで実行されるためだ。この攻撃は、試したすべての推論強度で機能した」

コンパクション・スマグリングを使えば、OpenAIの最先端モデルを大規模に蒸留できます。この蒸留は深刻な脅威には見えないかもしれませんが、実際には非常に深刻です。9月上旬、CISAは次のような警告を出しました。「中国政府が把握している可能性が高い状況で、DeepSeek、Moonshot AI、Alibaba、MiniMax、StepFun、Z.AIは、少なくとも2024年後半以降、Claude、GPT、Gemini、Grokの各種バージョンを含む米国の最先端AIモデルから、数百万件のやり取りやリクエストを通じて数十億トークンを抽出した。DeepSeekは少なくとも2024年から、推論能力、専門的な最適化、特定分野向けの機能を狙った組織的なキャンペーンを実施し、R1とV3モデルの訓練に利用している」 

中国のAIが米国の利益に反して使われている例は無数にあります。悲劇的な皮肉は、その能力の多くが西側のAIから盗まれた（蒸留された）ものかもしれないという点です。