📡 Signal｜半導体株を売らせた Kimi-K3 の学習元を、米 3 機関が Claude Fable 5 だと書いた

米国家安全保障局 (NSA)、連邦捜査局 (FBI)、サイバーセキュリティ・インフラセキュリティ庁 (CISA) の 3 機関は 9 月 8 日、中国に拠点を置く AI 企業 6 社が米国の最先端モデルから能力を抜き出しているとする共同勧告 AA26-251A を公開した。名指しされたのは DeepSeek、Moonshot AI、Alibaba、MiniMax、StepFun、Z.AI である。勧告は、7 月に米半導体株を急落させた Moonshot AI の Kimi-K3 について、Anthropic の Claude Fable 5 の出力データを大量に取り込んで訓練したと書いている。

7 月に市場が値付けしたのは「同等の性能が、はるかに安く作れる」という読みだった。勧告が持ち出したのは価格ではなく出所である。投じた計算資源の量で AI 企業の実力を測る見方に、能力がどこから来たのかという別の軸が接ぎ木されようとしている。

■ 6 社それぞれに、抜き出した相手が書かれている

蒸留 (knowledge distillation) は、能力の高いモデルに大量の質問を投げ、その回答を教師データとして別のモデルを鍛える一般的な訓練手法である。勧告が問題にしているのは手法そのものではなく、規模と手口だ。

DeepSeek については、2024 年後半から Claude・GPT・Gemini・Grok の各系統を対象に組織的な蒸留を続け、法務分野の専門性、思考連鎖 (chain-of-thought) による推論、エージェント機能、教師ありファインチューニングの最適化を引き出したとする。Moonshot AI は 2025 年半ば以降で、Kimi-K3 の訓練に Claude Fable 5 のデータを、Kimi-K2 の訓練に GPT-4o のデータを使ったと書かれている。Alibaba は 2025 年後半に Claude 系と GPT-5 を対象にソフトウェア工学の能力を、MiniMax は Claude Code から思考連鎖と強化学習の材料を、Z.AI は 2026 年半ばまでに GPT-5.5 と Claude Opus から数十億トークン規模を、それぞれ引き出したとされる。

勧告はこれらを、開発戦略の「補助ではなく中核」だと表現する。中国政府がこの活動を認識していた可能性が高い、という留保付きの記述も置かれている。断定はしていない。

■ 7 月の急落で、市場が計算しなかった項目

Kimi-K3 は 7 月 17 日に公開された 2.8 兆パラメータのオープンウェイトモデルで、コーディングの主要ベンチマークでオープンソースとして初めて首位に立った。この発表を受けて米半導体株が数日にわたって大きく売られ、市場は「フロンティアの性能は、もう米国の資本支出を前提としない」という筋書きを短時間で織り込んだ。

勧告が突いているのは、その原価計算に載っていない項目である。DeepSeek が広く引用させてきた 560 万ドルという訓練費用についても、蒸留にかかった費用が含まれていないと指摘する。

ただし勧告は、抜き出されたデータの量 (数十億トークン、数百万回のやり取り) は示す一方で、Kimi-K3 の性能のうちどれだけが蒸留由来なのかは定量化していない。「安く作れた」という 7 月の読みが全面的に否定されたわけではない。争点は、安さの内訳のうち他社の出力が占める割合が公表されていないことに移った。

■ 経路は「モデルを盗む」形をしていない

勧告が描く手口は、モデルの重みを持ち出す侵入ではなく、正規の顧客に紛れる形をとる。不正に作成した多数のアカウント、複数の住所にまたがる単一アカウントの運用、クラウド事業者や第三者のリクエスト集約サービスを経由した発信元の難読化。そして「転送ステーション」と呼ばれる API プロキシの灰色市場が、地理的な利用制限を迂回する経路として使われているとする。

思考過程を吐き出させるための脱獄プロンプトも手口に挙げられている。ある経路が遮断されると自動的に別の経路へ切り替わる、という運用面の記述もある。

■ 対策として書かれた「静かに応答を変える」

勧告が米 AI 企業に求めるのは 3 層の対応である。第一に、異常なプロンプト・アカウント・ネットワーク・挙動の検知と、契約規模に対する利用量の比率や、新規アカウントからの企業規模のスループットの監視。第二に、モデル提供者・クラウド事業者・集約サービスをまたいだ横断的な照合。

第三が、実務上いちばん重い。蒸留が疑われる相手に対して、そうと告げずに出力を微妙に劣化させる、という手段が推奨されている。正規の研究者には説明する、という但し書きは付く。CISA 長官代行の Nick Andersen 氏は「米国企業が築いた優位を縮めかねない蒸留の試みから、自社のプラットフォームを守る措置を直ちに取るよう強く求める」と述べている。名指しされた 6 社はいずれも取材に応じていない。

推奨どおりに運用されれば、API の利用者は自分が疑われているかどうかを知らないまま、応答の質が下がった状態を使うことになる。検知の精度がそのまま無関係な利用者の体験に跳ね返る設計であり、実装がどこまで進むかは各社の裁量に委ねられている。

7 月に売られたのは半導体だった。9 月に問われているのは、モデルの能力がどこから来たかを誰がどう証明するのかである。訓練データの出所は、これまで企業秘密として開示されてこなかった領域だ。それを政府機関が名指しで公表したことで、出所は競争条件の一部になった。次に性能の飛躍が起きたとき、市場が最初に確かめるのは価格ではなく系譜になる。

🔗 一次ソース

• China-Based Artificial Intelligence Companies Conducting Industrial-Scale Distillation Campaigns Against U.S. AI Companies (AA26-251A) — CISA (NSA・FBI・CISA 共同勧告の本文・9 月 8 日公開・6 社の名指しと手口)
• CISA, NSA and FBI Warn of China-Based AI Companies Targeting US AI Models — CISA 公式発表 (Nick Andersen 長官代行のコメント・推奨対策の 3 層)
• US intelligence advisory names six Chinese AI firms and lists the US models each one targeted — TNW (企業別の対象モデル・560 万ドルの記述・6 社が取材に応じていないこと)
• Moonshot, whose Kimi model rattled markets, accused of extracting U.S. AI capabilities — CoinDesk (7 月の市場反応と勧告の接続)