NSA、CISA、FBIが中国拠点のAI企業が米国の最先端モデルを蒸留していると警告

米国国家安全保障局（NSA）、サイバーセキュリティ・インフラストラクチャー安全保障局（CISA）、および連邦捜査局（FBI）は、2026年9月8日に共同のサイバーセキュリティ勧告を発表し、中国拠点の人工知能企業が2024年後半以降少なくとも実施している産業規模の知識蒸留キャンペーンを通じて、米国の最先端AIモデルから独自の機能を体系的に抽出していると警告した。

この勧告（AA26-251A）では、これらのキャンペーンが「単なる補足ではなく、戦略の核心である」と各機関が述べている。勧告によれば、中国政府の認識があるとみられ、DeepSeek、Moonshot AI、Alibaba、MiniMax、StepFun、Z.AI が、Claude、GPT、Gemini、Grok の各バリエーションを含む米国最先端モデルから、数百万件のやり取りとリクエストにわたり数十億トークンを抽出したという。これらの活動は米国企業の利用規約に違反し、米国の技術的リーダーシップを脅かすと機関は指摘している。

CISAの勧告の発表では、知識蒸留を、より大きく高性能なモデルの出力を利用して、能力の低いモデルを訓練する機械学習手法と説明している。CISAは、正当な訓練手法である一方で、競合から能力をより短時間・低コストで取得するために悪用できると指摘した。「米国企業が達成した進歩との差を埋めようとする知識蒸留キャンペーンからプラットフォームを保護するため、AI企業は直ちに対策を講じるべきです」とCISA代理局長のNick Andersenは述べた。

DeepSeek、Moonshot AI、その他に帰属する活動

勧告によれば、DeepSeekは2024年後半以降、米国最先端モデルに対して組織的な蒸留キャンペーンを実施し、2025年初頭にリリースされたR1を含む自社モデルの合成訓練データを生成している。各機関は、DeepSeekが推論能力、特化した最適化、ドメイン固有機能を標的とし、計算コストと研究費用を削減しようとしていると指摘し、同社が公表した560万ドルの訓練コストは、悪意ある蒸留で取得したデータ費用を除外しているため誤解を招くと述べた。勧告は、2024年後半から2025年中頃にかけて、DeepSeekがClaude 3.7、Claude Sonnet 4、Claude Sonnet 4.5、Claude Opus 4.1、Gemini 2.5 Pro Preview、Gemini 2.5 Flash Preview、GPT-4、GPT-4o、GPT-4 Mini、GPT-4 Nano、GPT-5、Grok 4 から蒸留し、R1 と V3 モデルの訓練に利用したと報告している。

勧告は、Moonshot AIが2025年中頃以降、広範な蒸留キャンペーンを実施し、Claude Fable 5 の大量データを抽出して Kimi‑K3 モデルの訓練に、GPT-4o のデータを抽出して Kimi‑K2 モデルの訓練に利用したと述べている。対象となった能力は、教師ありファインチューニングの最適化、強化学習、ソフトウェアエンジニアリング、数学であり、Claude、GPT、Gemini、Grok 系列のモデルから取得された。Moonshot AIは、エージェント的推論とツール使用、コーディングとデータ分析、コンピュータ利用エージェントの開発、コンピュータビジョンを対象に、数百万件のやり取りを行ったと勧告は指摘している。

勧告によれば、2025年後半にAlibabaはClaude‑4、Claude Opus、Claude Sonnet、GPT‑5 を蒸留し、Qwen 系列モデルにおけるソフトウェアエンジニアリング、顧客サービス対話、画像・キャラクター生成を向上させた。同時期にMiniMaxは、Claude Code、Claude Sonnet 4、Claude Opus、Gemini 1、Gemini 2.5 Pro、Gemini 3 Pro からチェーン・オブ・ソート推論、強化学習、教師ありファインチューニング、ソフトウェアエンジニアリング機能を蒸留し、M2 モデルの性能を向上させた。さらに、MiniMaxは内部ソフトウェア開発に Claude Code を使用し、プロンプトインジェクションで Claude Code を自社製品であると誤認させようとしたと勧告は述べている。

勧告は、2025年後半から2026年初頭にかけて、StepFun が Claude Opus 4.1・4.5、Claude Sonnet 4.5、Claude Haiku 4.5、GPT‑5 Mini、GPT‑5 Pro、GPT‑5.1、GPT‑5.1 Codex、GPT‑5.2 のデータを蒸留し、Step 4 モデルのコーディング機能とエージェント機能を向上させたと述べている。2026年中頃までに、Z.AI は GPT‑5.5 データと Claude Opus 4.8 データを数十億トークン蒸留し、チェーン・オブ・ソート推論能力を開発したと勧告は報告している。

戦術と手法

勧告によれば、各社は蒸留リクエストをネイティブのアプリケーションプログラミングインターフェース、リモートクラウドプロバイダー、ユーザーメタデータを隠蔽するサードパーティ集約サービスを通じてルーティングし、地理的制限を回避し、保護策を回避し、追跡可能性を低下させるために「トランスファーステーション」と呼ばれるAPIプロキシのグレーマーケットを利用している。コスト削減は、開発者チーム間で共有されるプレミアムサブスクリプションの大量購入によるものとされ、先進的な手法としてはチェーン・オブ・ソート推論の抽出、ブロック試行時の経路間自動フェイルオーバー、そして防御的対策を検出するために設計された品質評価フレームワークが挙げられる。

各機関は、この活動をMITRE ATLASフレームワークにマッピングし、リソース開発から情報抽出までの敵対者ライフサイクル段階を網羅し、詐欺的アカウント作成やモデルに隠れたチェーン・オブ・ソート推論を明らかにさせるジャイルブレイクプロンプトを含めている。勧告は、DeepSeek がモデルに対し、完了した応答の内部推論を想像し表現するよう指示するプロンプトを使用し、MiniMax がリリース後24時間以内に新しいClaudeモデルへやり取りをリダイレクトしたと述べている。

勧告は、さらに4つの新規手法を挙げている：地域制限回避とサブスクリプションの悪用の組み合わせ、集中型リクエストルーティングインフラストラクチャ、自動リクエストメタデータのサニタイズ、そして体系的なクォータとコストの最適化。検出指標として、複数のIPアドレスやユーザーエージェントから使用される共有アカウント、人的変動のない24時間継続的な使用、異常なサブスクリプション対使用率、新規サブスクリプションが即座に最大使用で稼働することが挙げられる。

推奨される緩和策

各機関は、米国のAI企業に対し、次の3つの即時対策を取ることを推奨している：異常かつ悪意あるプロンプト、アカウント、ネットワーク、行動の包括的な検出と緩和を実施すること、疑わしい悪意ある蒸留試行に対して応答を微妙に変更するターゲット型レスポンス変更を展開すること、そしてモデルプロバイダー、クラウドプラットフォーム、API集約業者間で組織横断的なインテリジェンス共有を確立すること。

勧告は、レスポンス変更として、疑わしい蒸留リクエストに対し差分プライバシーを適用したり、ダウングレードされたモデルを提供したりできるとし、企業はリクエストごとにこれらの変更を変化させ、応答品質の評価を困難にすべきだと述べている。また、応答が変更された際に悪意ある蒸留が疑われるユーザーに通知しないことを推奨しつつ、AI安全性研究者や第三者評価者にはモデル変更を通知すべきであると指摘している。

勧告は、MITRE ATLASから抽出した緩和策として、クエリレート制限、プロダクションモデルへのアクセス制御、AIテレメトリーロギング、出力の難読化、敵対的レッドチーミング、モデルのハードニング、エンセンブル、モデルアーティファクトの公開制限などを列挙している。また、NIST の敵対的機械学習分類法を引用し、ノイズと有用性のトレードオフを伴う差分プライバシー、訓練前後の介入、プロンプト指示とフォーマット手法を含むと述べている。

勧告は、米国政府、民間産業、同盟国間での協調的な対応を求めており、業界の開示情報は数万件の詐欺アカウントを同時に管理するプロキシネットワークが存在することを示している。キャンペーンの影響を受けた組織には、FBI のインターネット犯罪苦情センターに訴えを提出するよう指示している。