米アンソロピック、中国AI企業7社の「不正蒸留」を報告―AlibabaのQwenが5-7月に1億5100万件

米アンソロピック（Anthropic）は9月10日、中国のAI企業7社に関連する「不正蒸留」の活動を検知し、阻止したとする脅威インテリジェンス報告書を公表した。報告書で件数が示された活動を合計すると、Claudeとのやり取りは約1億9000万件に上る。最大規模だったのはAlibabaのQwen部門に関連する活動で、2026年5～7月に1億5100万件超が確認されたという。

不正蒸留とは、より高性能なAIモデルの出力を大量に取得し、別のモデルの訓練に利用する蒸留技術を、提供者の許可なく組織的に行う活動を指す。蒸留自体は一般的な機械学習手法だが、Anthropicは、偽アカウントや不正に取得された認証情報を使ってClaudeの能力を抽出する行為を不正蒸留と位置付けている。

報告書によると、一部の活動ではAIサービスの利用者が入力した会話やコード、企業情報などが、本人の認識しないままClaudeへ転送されていた。第三者のAIルーターやAPI再販サービスを利用する企業や個人には、実際の通信先やデータの取り扱いを確認する必要性が改めて示された。

■7社に関連する大規模な不正蒸留

Anthropicが今回の報告書で不正蒸留との関連を示したのは、Alibaba、Moonshot AI、DeepSeek、Zhipu AI（Z.ai）、Xiaomi、SenseTime、MiniMaxの7社である。同社は、これらの企業に関連する活動が、Claudeの推論、コーディング、データ分析、ツール利用などの能力を抽出することを目的としていたと評価している。

件数が示された活動は、Alibaba関連が1億5100万件超、Moonshot AIが2300万件超、DeepSeekが1210万件超、Zhipu AIが340万件超、Xiaomiが40万件超だった。合計は約1億9000万件となる。ただし、各活動の実施時期は同一ではない。AlibabaとMoonshot AIは5～7月、DeepSeekは7月の14日間、Zhipu AIは6～7月の17日間、Xiaomiは3～4月の20日間に確認された。

Anthropicが2月に公表した前回の調査では、DeepSeek、Moonshot AI、MiniMaxに関連する約1600万件のやり取りが確認されていた。今回示された約1億9000万件は単純比較で約12倍だが、対象企業、集計期間、調査範囲が異なるため、同一条件による時系列比較ではない。

米国家安全保障局、米サイバーセキュリティー・社会基盤安全保障庁、米連邦捜査局も9月8日、中国を拠点とするAI企業による産業規模の蒸留活動について共同勧告を公表した。共同勧告はDeepSeek、Moonshot AI、Alibaba、MiniMax、StepFun、Z.aiの6社を挙げ、2024年後半以降、Claude、GPT、Gemini、Grokなど米国企業のAIモデルを対象に、数百万件のリクエストと数十億トークンが抽出されたとしている。

■偽アカウントとプロキシでアクセス制限を回避

Anthropicによると、不正蒸留では、偽の身元、盗難または不正取得されたクレジットカード、流出したAPIキーなどを使って多数のアカウントが作成される。リクエストはプロキシサービスや第三者のモデルルーターを経由し、アクセス元や一連の活動の関連性が分かりにくくされていた。

実行者は、通常の最終回答だけでなく、回答を組み立てる際の推論情報を引き出すために特別なプロンプトを使っていた。取得した回答は、教師モデルであるClaudeの出力を生徒モデルの訓練データとして利用する、教師・生徒型の情報処理構造に組み込まれていたという。

報告書では、Claudeの推論情報を直接出力させようとする単純な指示に加え、以前の推論を別の言語へ翻訳するよう求めたり、推論情報を参照するための署名を別のセッションで再利用したりする手法も確認された。多数の抽出方法を試し、成功した手法を大規模な活動へ展開した例もあった。

Anthropicは、自社の実験では蒸留により推論、コーディング、エージェント機能などを向上させられることを確認しているとしている。一方、今回の報告書で示された件数や訓練への利用状況は、基本的にAnthropic自身の調査と評価に基づく。各社のモデル性能のうち、Claudeから取得したデータがどの程度を占めるかについて、独立した検証結果は示されていない。

■Alibaba関連の活動は1億5100万件超

報告書で最大規模とされたのは、AlibabaのQwenおよび通義研究所に関連する実行者の活動である。AnthropicはこれをGTG-16005として追跡し、2026年5～7月に1億5100万件超のやり取りを確認した。ピーク時には1日当たり約300万件に達したという。

活動では、Claudeに推論情報を一定の形式で書き出させる固定プロンプトが各リクエストへ挿入されていた。取得した記録は教師ありファインチューニング用のデータに変換され、Qwen 3.5、3.6、3.7の訓練に使われたとAnthropicは評価している。

対象となったのは、エージェント型のタスク、ソフトウェアエンジニアリング、カーネル開発、長時間を要するタスクなどだった。Anthropicは、ClaudeがAlibabaの強化学習環境やモデル開発基盤、モデルアーキテクチャーの研究にも使われていたとしている。

この活動では、住宅回線プロキシ、使い捨てメールアドレス、仮想カードなどを利用した約5000の不正アカウント群と、別のアカウント群が使われた。Anthropicが最初のアカウント群を停止すると、通信はもう一方へ移ったという。同社は、同じプロキシ網の一部がDeepSeekやXiaomiからのリクエストの中継にも使われていたとしている。

■Moonshot AIとDeepSeek、顧客の入力をClaudeへ転送

Anthropicは、Moonshot AIとDeepSeekが、自社サービスの利用者から受け取ったリクエストをClaudeへ転送し、その回答を自社モデルの回答として表示していたと報告した。利用者が転送を認識していたかについて、Anthropicは確認できていないとしている。

Moonshot AIに関連する活動はGTG-16002として追跡され、2026年5～7月に2300万件超が確認された。ある10日間には、5380の不正アカウントを通じ、顧客からの約30万件のリクエストがAnthropicへ転送された。その大部分はClaude Opusに送られていたという。

Moonshot AIは転送した会話の少なくとも一部を保存し、Claudeの推論情報を取り出す処理に利用したとされる。Anthropicの調査では、転送されたデータに中国人民解放軍との関係が疑われる利用者の監視関連データや、中国国有企業の内部コード、実際に利用可能な認証情報が含まれていた。

DeepSeekに関連する活動はGTG-16001として追跡され、2026年7月の14日間に1210万件超が確認された。DeepSeekもMoonshot AIと同様に、Claudeの推論情報を別セッションで取り出す処理を構築し、自社利用者のリクエストをClaude Opusへ転送していたとされる。

転送対象には、第三者のコーディングツールやエージェント開発環境を通じてDeepSeekを利用していたユーザーも含まれていた。Anthropicによると、中国企業のAI関連資料や組織情報、ロシア政府機関のデータベース認証情報、中国の公安当局向けシステムに関する情報などがClaudeへ送られた例が確認された。

■Xiaomiは利用者の会話を再実行

Xiaomiに関連するGTG-16008では、2026年3～4月の20日間に、1500超のアカウントを通じて40万件超のリクエストがClaudeへ送られた。

Anthropicによると、Xiaomiは自社のMiMoモデルで交わされた利用者の会話やコーディングセッションを保存し、それらをClaudeで再実行していた。Claudeの出力は、教師ありファインチューニングや強化学習に使うデータの生成、開発環境の再構成、複数ターンの会話の整理、回答品質の評価などに利用されたという。

転送された通信には、第三者のモデルルーティングサービスを通じてMiMoを利用したユーザーの情報も含まれていた。Anthropicは、少なくとも十数言語で、数百人分の氏名、連絡先、企業データなどを確認したとしている。一方、米国人のデータが含まれていたことを示す情報は得ていないと明記している。

■Zhipu AIは推論記録を再処理

Zhipu AIに関連するGTG-16006では、2026年6～7月の17日間に340万件超のやり取りが確認された。うち10日間には273の不正アカウントが使われ、Claudeの推論情報を抽出する処理だけで77万609件が確認されたという。

Zhipu AIは、取得したClaudeの推論情報を再びClaudeへ入力し、GLMモデルの訓練に適した形へ整えていたとされる。Claudeは、モデル出力の採点、推論記録の正規化、訓練データの選別、課題や解答の作成など、訓練後の工程にも利用されたという。

Anthropicはその後、Zhipu AIの研究者が米国の先端AIモデルのサイバーセキュリティー能力を対象にした活動も確認したとしている。当初はClaude Fableを狙ったものの、安全対策によって有効なデータを得にくくなり、Claude Opus 4.6や別の米国企業のモデルへ対象を切り替えたと報告している。

■SenseTimeとMiniMaxは第三者流通網を利用

SenseTimeに関連するGTG-16012では、第三者のデータ販売業者から、利用者とClaudeとの会話記録を購入していたとAnthropicは報告した。対象となった記録は、利用者が第三者アプリやモデルルーティングサービスを通じてClaudeへアクセスした際に保存され、販売されたものだという。

SenseTimeは、蒸留用の処理基盤の作成や訓練の実行、監視にもClaudeを利用していたとされる。報告書にはSenseTime関連の総件数は記載されていない。

MiniMaxに関連するGTG-16003では、同社との関係を明示しない別会社を通じ、AnthropicとOpenAIのモデルだけを提供するプロキシサービスが構築されていた。Anthropicは、このサービスが米国企業のAIモデルと利用者とのやり取りを収集し、MiniMaxのモデル訓練に利用する目的だったことを示す証拠があると評価している。MiniMax関連の総件数も今回の報告書では示されていない。

■ハードウェア規制だけでは対応できない経路

米国の対中AI規制は、高性能半導体や関連装置へのアクセス制限を主要な手段としてきた。一方、不正蒸留では、すでに提供されているAIサービスへ大量のリクエストを送り、その出力を別のモデルの訓練に利用する。物理的な半導体を移転しなくても、ソフトウェアを介して能力を取り込める点が、従来の輸出管理とは異なる。

ホワイトハウス科学技術政策局は4月23日、米国製AIモデルを狙う敵対的な蒸留に関する国家科学技術覚書NSTM-4を公表した。覚書は、外国組織による産業規模の不正蒸留を国家安全保障上の問題と位置付け、政府機関と米国のAI企業との情報共有、民間企業間の連携、防御策の策定、関係者の責任を問う措置の検討を指示した。

米議会では、米国企業が保有する非公開AIモデルから重要な技術的特徴を不正に抽出する外国組織への対応を目的とした「米国AIモデル窃取抑止法案」が審議されている。法案は4月15日に下院へ提出され、4月22日に下院外交委員会で修正のうえ全会一致で可決されたが、記事公開日の9月12日時点では成立していない。

米政府機関の共同勧告は、異常なプロンプトやアカウント、ネットワーク、利用パターンの検知に加え、不正蒸留が疑われるリクエストへの応答を調整して取得データの価値を下げること、組織をまたいで脅威情報を共有することを推奨している。

■Anthropicが導入した防御策

Anthropicは、今回報告した活動に関連するアカウントを停止し、調査結果を政府機関や業界関係者と共有したとしている。

対策では、不審なアカウントを個別に停止するだけでなく、関連する通信や決済、プロキシ利用などの情報を基に、同じ組織に属するアカウント群をまとめて特定する。推論情報を不正に抽出しようとするリクエストを検知する専用分類器も導入し、該当するリクエストの遮断とアカウント停止を行っている。

Claudeは回答前の内部推論をそのまま表示せず、要約した情報を返すようになっている。Anthropicは、これによって不正に取得された記録を他のモデルの訓練へ使いにくくしていると説明する。新規APIアカウントが、複数ターンの会話で推論前のシステムプロンプトやツール、メッセージを書き換えることを制限する仕組みも加えた。

さらに、不正な再販売や、サービス対象外地域からのアクセスが疑われる場合には、利用者へ本人確認を求める。確認を完了できないアカウントは停止する方針である。

■AIルーター利用者が確認すべきこと

今回の報告書は、不正蒸留がAI企業間のモデル性能や知的財産だけの問題ではなく、一般利用者や企業の情報管理にも関わることを示した。AIサービスへ入力した内容が、表示上の提供会社とは異なる企業のモデルへ送られる場合、通信先、保存先、適用される規約や法域も変わる可能性がある。

企業が第三者のAIルーター、APIアグリゲーター、割引再販サービスを利用する場合は、利用する各モデルについて正規の提供経路であるかを確認する必要がある。ゼロデータ保持をうたうサービスでも、中継事業者が会話を保存しないことや、別の提供者へ再転送しないことまで自動的に保証されるわけではない。

AIのAPIキーは、本番環境のデータベース認証情報と同様に管理することが重要となる。通信ログや請求情報から想定外の利用がないかを監視し、機密情報を入力する業務では、実際に処理するモデル提供者、データの保存条件、再委託先、利用地域を事前に確認すべきである。

元記事: Chinese AI Labs Extracted 190M Claude Exchanges as Export Controls Failed