Claudeの「考える過程」を盗む攻撃は、どこまで防げるようになったのか。Anthropicの蒸留対策を確かめる

まず初めに

人様の企業が何年もかけて育てた看板AIの「頭の中」を、タダで吸い取って自分の子会社モデルに移植する商売が、どうも繁盛しているらしい。その根性自体はお世辞にも褒められないが、吸い取られる側のAnthropicも黙って見ていたわけではなく、分類器だの「保存思考」だのという、名前だけ聞くと暗号文書みたいな仕掛けまで総動員して本気で塞ぎにきた。泥棒と警備員の追いかけっこもここまで来ると、もう立派な一大産業である。※個人の感想です

何が起きているのか

Anthropicは2026年10月12日、公式ブログで「Strengthening our defenses against distillation attacks(蒸留攻撃への防御強化)」と題した記事を公開しました。モデル蒸留もでるじょうりゅうとは、あるモデルの出力を使い、別のモデルにその振る舞いを学ばせる手法です。今回Anthropicが問題にしている「蒸留攻撃」は、開発元の許可なく大量の出力を収集し、能力を再現しようとする行為で、不正なアカウント網が使われる場合もあります。Anthropicによれば、こうした攻撃者にとって最も価値が高いのは、Claudeが回答を出す前に書き出す「推論(思考過程)」のテキストだとしています。最終的な回答だけでなく、そこに至る考え方そのものを学習データにできるためです。今回の発表では、新しい防御手法によって、蒸留者が収集できるデータ量が初期評価で約90〜99%減ったとする結果を示しています。

発表はあわせて、具体的な事例も挙げています。中国企業のZhipu社は、新モデル「GLM-5.3」の開発中に、米国の主要モデルのサイバー能力を蒸留しようとしたとされ、Claude Fable 5への蒸留も試みましたが、Anthropicのサイバー分野の安全対策によって攻撃の精度が落ちたため、より古いClaudeモデルと別の研究所のモデルへ切り替えたとAnthropicは説明しています。米国の「Center for Advancing Innovation and Standards for Super Intelligence(CAISSI)」は、その後GLM-5.3を、これまでに公開されたオープンウェイトモデル(学習済みパラメータが公開され、誰でも動かせるモデル)の中で最もサイバー能力が高いと評価したとされています。Anthropic自身の調査でも、GLM-5.3の安全対策は容易に回避でき、モデルが最初から最後まで一貫してセキュリティ上の攻撃手法(エクスプロイト)を作ろうとする、としています。

もう一つの事例は、中国企業Moonshot社のAIモデル「Kimi」に関するものです。Anthropicは、Kimiへのリクエストが、蒸留の一環としてひそかにClaudeへ転送されていた事例を以前の報告で取り上げたとしており、その中には、中国人民解放軍と関係があるとみられる利用者が、特定の人物のCCTV(監視カメラ)映像の分析を求めたリクエストが含まれていたとAnthropicは説明しています。こうした具体例まで名前を出して公表してしまうあたり、Anthropicもよほど堪忍袋の緒が切れたのだろう。

攻撃の規模についても具体的な数字が示されています。以前の報告では、ある研究所が1万2,000件のリクエストを使い、それぞれ異なる手口でClaudeに推論を吐き出させようと試みたとされています。また、ある不正ネットワークは、同時に2万件を超える不正アカウントを管理していたとも報告されています。こうしたネットワークは、偽の身元や盗んだ決済情報でアカウントを作成し、本来Claudeが提供されていない地域での利用制限を回避する手段としても使われていたとされています。

なぜ重要なのか

この問題が重要とされる理由をAnthropicは2つ挙げています。第一に、蒸留によって、能力面ではフロンティア級(最先端級)に近づきながら、それに見合った安全対策を伴わないモデルが生まれてしまう点です。Anthropicは、こうした蒸留モデルが生物学やサイバーセキュリティの分野で重大な悪用につながりうると説明しています。GLM-5.3の事例は、まさにこの懸念を具体的に示したものだとされています。

第二に、不正に蒸留されたモデルの能力が、各国の軍事・諜報・監視システムへ組み込まれる安全保障上のリスクです。前述のKimiの事例で、PLA(中国人民解放軍)と関係があるとみられる利用者が特定人物の監視カメラ映像の分析を求めていたという報告は、この懸念が単なる仮定ではないことを示す例としてAnthropicが挙げているものです。

Anthropicはさらに、蒸留対策が一企業だけの努力では完結しない問題だとも指摘しています。蒸留者はAnthropicのAPIだけでなく、サードパーティのクラウドプラットフォームや他の推論提供事業者にもトラフィックを分散させているため、各プラットフォーム・開発者側が不正利用を早期に検知し、該当アカウントを停止する役割を担う必要があるとしています。一方で、業界の構造的な問題として、安全対策にはコストがかかる一方、不正な蒸留者も料金を払う顧客である以上、何もしない、あるいは対策を手抜きにする誘因が企業側に働きやすいことも認めています。

私たちへの影響

この発表が直接影響するのは、主にAnthropicのAPIを利用して自社サービスを作っている開発者・企業です。Anthropicは、2026年8月31日以降に作成された新規APIアカウントに「保存思考」という仕組みを導入し、新規APIアカウントがClaudeの先行コンテキストを編集できないようにしたと説明しています。この変更により、一部の開発者は自社システムとの連携方法を更新する必要が生じたとされています。また、2段階の分類器による誤検知率は0.1%未満とされていますが、これは裏を返せば、ごくわずかな割合で正当な利用者のリクエストが誤って拒否される可能性があることも意味します。さらに、2026年9月24日以降、Anthropicはこの種の安全対策によって拒否されたリクエストについても課金を再開したと説明しており、開発者側のコストに影響する変更です。

一般の利用者が直接何らかの対応を取る必要はありませんが、こうした対策は、普段使っているClaudeベースのサービスが、裏側でどのような不正利用対策のもとに運用されているかを知る手がかりになります。日本国内でClaudeのAPIを組み込んだサービスを提供している企業にとっては、保存思考の仕様変更や誤検知による拒否、追加課金の可能性について、Anthropicの発表内容を踏まえて自社の利用状況を確認しておく価値があります。

初心者が知っておくべきこと

AIの世界で「推論すいろん」とは、AIモデルが最終的な回答を出す前に、内部的に考えを整理する過程のことを指します。最近の高性能なAIモデルの多くは、この推論の内容を利用者に見せる仕組みを持っています。「分類器ぶんるいき(Classifier)」とは、入力されたリクエストが、通常の利用か、何らかの不正な目的を持つものかを自動的に見分けるためのAIの仕組みです。「誤検知(False Positive)」とは、本来は問題のない正当な利用を、分類器が誤って不正と判定してしまうことを指します。

Q. 自分が契約しているClaudeや、Claudeを使ったサービスの使い勝手に影響はありますか。 A. 今回の発表によれば、影響を受けるのは主にAPIを通じてClaudeを利用する開発者側です。分類器の誤検知率は0.1%未満とされていますが、ごく稀に正当なリクエストが誤って拒否される可能性があるとAnthropicは認めています。一般利用者がClaude.aiなどを通常の用途で使う範囲で、大きな使い勝手の変化が生じるとは発表には記載されていません。

Q. なぜAnthropicは、競合に手口を知られるおそれがある情報まで公表したのですか。 A. Anthropicは、蒸留が「すべてのモデル開発者が直面し、取り組むべき問題」であるとし、他の開発者やプラットフォームがこの問題をよりよく理解し、対策の手がかりにできるよう、この記事を公開したと説明しています。

IT Postの見方――「追いかけっこ」のコストを、結局は誰が払うのか

IT Postは、Anthropicが具体的な社名や手口まで明かして今回の対策を公表した姿勢自体は評価できると考えます。蒸留という問題は、どの企業も「うちだけの話ではない」と気づいていても、手口を公表すれば自社の防御の手の内まで見せることになるため、黙っておきたくなるのが自然です。それでも公表に踏み切ったのは、業界全体での対策を促す狙いがあるとAnthropic自身が説明しており、その点は素直に評価したい。

一方で引っかかるのは、対策のコストが誰に跳ねているかという点です。発表では、保存思考の導入によって「正当な開発者が連携システムを更新する必要が生じた」こと、分類器の誤検知によって「ごくわずかとはいえ正当な利用者が誤ってブロックされうる」こと、さらに「ブロックされたリクエストにも課金する」ことが、はっきりと書かれています。つまり、不正業者を追い出すためのコストの一部は、最終的に正当な開発者・利用企業がそれぞれ負担する形になっています。IT Postでは、この種の対策強化が今後も続くのであれば、どこまでが「業界全体で防ぐべきコスト」で、どこからが「利用企業にただ転嫁されているコスト」なのかを、Anthropic以外の主要なAI企業の対応も含めて見ていく必要があると考えます。※個人の感想です

今後どうなりそうか

Anthropicは、蒸留対策が今後も「いたちごっこ」として続くと見込んでおり、現時点では高度で持続的な回避の試みはまだ確認されていないとしています。今回の発表には、次の対策強化の時期や、他社への呼びかけの具体的な計画についての記載はありません。IT Postでは、蒸留をめぐる他のAI企業の対応や、今回の対策への回避手口が新たに見つかった場合の続報を、あらためて確認していきます。