📡 Signal｜Anthropic、蒸留攻撃で抜き取られるデータを推定90〜99%削減

Anthropic は10月12日、Claude の能力を無断で写し取る「蒸留攻撃」への防御を強化し、攻撃者が抜き取れるデータを初期の推定で90〜99%減らしたと公表した。推論の過程を外へ出さない設計、抜き取りを見分ける2段階の分類器、繰り返す相手への利用制限と停止の3つを重ねた結果だという。

同社は中国の Zhipu と Moonshot を名指しし、蒸留を安全保障上の危険と位置づけた。AI の性能競争が、モデルを作る力だけでなく、作ったモデルを写させない力の勝負にもなってきたことを示す発表だ。

狙われたのは「推論の書き起こし」

蒸留攻撃とは、他社のモデルに大量の質問を投げ、その答えを教材にして自社のモデルを鍛えるやり方だ。Anthropic は、開発者の許可なく行う、偽アカウントの網を使った産業規模の作戦だと説明している。

攻撃者にとって最も価値があるのは、答えそのものより、Claude が答えに至るまでの推論の書き起こしだ。同社は、Claude Opus 4.8 の書き起こしで事前学習済みのモデルを鍛える試験をした。全文で鍛えると、プログラムの不具合修正の試験 SWE-bench Verified で80.4%を解いたが、要約だけで鍛えると71.8%にとどまった。推論の全文が、写す側の性能を約9ポイント押し上げる計算だ。

同社は以前から、利用者に見せる推論を要約にしていた。ただ、これは受け身の写し取りを防ぐだけで、Claude に推論の全文を吐き出させる能動的な手口は止められなかった。ある研究所は、手口を1つずつ変えた要求を1万2,000件試していたという。2月の報告では、1つの代理のネットワークが2万を超える偽アカウントを同時に動かしていた。

3つの防御: 出口を閉じ、見分け、繰り返しを高くつかせる

1つ目は、推論の行き先を絞ることだ。8月31日以降に作られた新しい API アカウントは、Claude の過去の推論を書き換えられなくした。Claude Sonnet 5.5 からは、推論の書き起こしを、その要求を出した組織しか読めない。安全策の弱い古いモデルに推論を読ませる経路も断った。

2つ目は、抜き取りの試みを見分けて止める分類器だ。同社の「憲法分類器」の研究を土台にした2段階の仕組みで、Sonnet 5.5、Opus 5 と 5.5、Fable 5 と 5.1 で動かしている。社内外のレッドチーム (攻撃側に立って弱点を探す試験) が見つけた穴は塞ぎ、過去の推論を別の言語に訳させる、タグで囲んで書き出させるといった新しい手口にはその都度対処した。

3つ目は、繰り返す相手のコストを上げることだ。抜き取りを繰り返す利用者には厳しい利用上限をかけ、関連するアカウントは停止する。停止した蒸留関連のアカウントは数万にのぼり、作戦の開始から2時間以内に止めた例が多いという。9月24日からは、蒸留など誤検知率が0.1%未満の分野で、安全策が回答前に止めた要求にも料金をかけている。

結果として、同社の基盤から抜き取られた推論のトークンは10分の1から100分の1以下に減り、測れないほど少ない日もあったという。90〜99%という削減幅は、この実測から推定した初期の数字だ。

名指しされた中国の2社

発表は具体名に踏み込んだ。Zhipu は GLM-5.3 の開発中に、米国の主要モデルからサイバー攻撃の能力を蒸留していたとされる。Claude Fable 5 からの写し取りが同社の安全策に阻まれると、古い Claude と他社のモデルに切り替えたという。米国の CAISSI (超知能の標準と革新を進めるセンター) は、GLM-5.3 を公開済みの重み公開モデルで最もサイバー能力が高いと評価している。Anthropic は9月29日に、GLM-5.3 の安全策が簡単な手口で64〜100%回避できるとする分析も出しており、LiveMakers は 9月30日の記事 で伝えた。

Moonshot については、同社の Kimi への要求がひそかに Claude へ転送されていたとした。その中には、中国人民解放軍とつながりがあるとみられる利用者が、特定の人物を映した監視カメラの映像の分析を求めたものがあったという。

同社は、不正に蒸留されたモデルは安全策が性能に見合わないまま公開されることが多く、生物学やサイバーの分野で危険を生むと書いた。写し取った能力が外国の軍事・情報・監視の仕組みに組み込まれる点も挙げ、蒸留を国家安全保障の問題とした。

守る側が払っているもの

防御はただではない。同社は、正当な利用者に影響を出さないという目標を「完全には満たせていない」と認めている。推論の扱いを変えたことで一部の開発者は連携の作り直しが必要になり、分類器は0.1%未満の割合で無害な要求を止める。止められた要求にも料金がかかる。

売上の面でも、同社は蒸留業者からの有料の利用を「数兆トークン分」断ったと書いた。蒸留業者は料金を払う客でもあるため、防御に投資するほど売上を手放す構図になる。同社が手法を公開したのは、この誘因に逆らう実例を示すためだという。他のフロンティアの開発者に加え、クラウドや推論の提供事業者にも、不正なアカウントの検知と排除を求めた。

数字には留保もつく。削減の効果は同社の基盤の上での自社測定で、外部の検証は示されていない。同社自身も、高度で粘り強い回避の試みにはまだ出会っていないと書き、蒸留は「いたちごっこ」が続くとした。

次に見るもの

確認先は2つある。1つは Anthropic の研究ページで、今回「将来のモデル」に広げるとした分類器が、次のモデルの公開時にシステムカードでどう扱われるかを見る。もう1つは CAISSI の評価の公表で、Zhipu や Moonshot の次のモデルが出たとき、能力と安全策の差がどう測られるかが、蒸留の防御が効いているかを外から確かめる手がかりになる。

ことば

• 蒸留攻撃 — 他社の AI に大量の質問を投げ、答えや推論の過程を教材にして自社のモデルを鍛えるやり方。開発の時間と費用を大きく省けるため、許可なく行われると問題になる。
• 推論の書き起こし — AI が答えを出す前に内部で組み立てる考えの筋道を文字にしたもの。答えだけより多くの情報を含み、写す側の性能を押し上げる教材になる。
• 重み公開モデル — 学習済みのパラメーター (重み) を公開し、誰でもダウンロードして手元で動かせる AI モデル。API 越しの提供と違い、公開後は安全策を外して使われうる。

🔗 一次ソース

• Anthropic「Strengthening our defenses against distillation attacks」(2026年10月12日)anthropic.com
• Anthropic 公式 X の告知