9月10日、BleepingComputerが「US says Chinese firms extracted billions of tokens from frontier AI models」と題した記事を公開した。米政府3機関の合同勧告によると、中国AI企業6社が偽アカウントや自動フェイルオーバーを駆使し、米国フロンティアAIモデルから「産業規模」で数十億トークンを引き出していたという。その手口は単純なAPI乱用をはるかに超えており、中国政府が関与している可能性が高いと当局は評価している。
産業規模の手口：CoT抽出・自動フェイルオーバー・品質評価フレームワーク
まず読者が最も驚くであろう点——手口の精巧さ——から押さえておきたい。勧告が詳述する攻撃の実態は、単純なAPI乱用にとどまらない。
- 偽アカウントや共有アカウント、クラウドサービス、アグリゲーター、「中継プロキシ」などにAPIリクエストを分散し、地理的制限・利用制限・検知を回避
- 一部のプロンプトは非公開のチェーン・オブ・ソート（CoT）推論を引き出すことを狙ったもの
- 自動フェイルオーバーにより、あるプロバイダーにブロックされると即座に別のプロバイダーへ切り替え
- 防御側が意図的に応答品質を下げた（degraded response）かどうかを検知する品質評価フレームワークを使用
これらが組み合わさることで、特定のプロバイダーが検知・遮断しても全体の抽出作業が止まらない、高度に冗長化されたオペレーションが実現されていた。「中国系AI企業が米国AIモデルに対して産業規模の蒸留を実施することで、フロンティアモデル開発の期間を大幅に短縮し、訓練コストを削減している」と勧告は明示している。
CISA・NSA・FBIが合同勧告を発出
CISA（サイバーセキュリティ・インフラセキュリティ庁）、NSA、FBIの3機関が合同勧告を公表した。それによると、DeepSeek、Moonshot AI、Alibaba、MiniMax、StepFun、Z.AIの6社が、少なくとも2024年末以降、Anthropic・OpenAI・Google・xAIが提供するフロンティアAIモデルに対して、数百万件のリクエストを通じて数十億トークンを抽出したとしている。
各機関はその規模と手口の精巧さから、「中国政府が関知している可能性が高い」と評価しており、この手法が当該企業群の中核的な開発戦略になっていると見ている。なお、今回の勧告はToS（利用規約）違反としての行為を認定したものであり、法的な「窃取」の確定判断とは区別して理解する必要がある。
DeepSeekをめぐっては、2025年初頭にR1モデルが公開された際、その性能と開発コストの低さが業界に衝撃を与え、米国製フロンティアモデルの知識を活用しているのではないかという論争が日本語圏でも広く議論された。今回の勧告は、そうした懸念を米政府機関が公式に裏付けた形となる。
「蒸留攻撃」とは何か
AIモデルの蒸留（Distillation）とは、訓練済みの高性能モデル（「教師」モデル）の出力を使って、より小さな「学生」モデルを訓練する正規の技術だ。開発コストの削減やデプロイの高速化に使われる、業界標準の手法である。
問題はこの技術が悪用されるケースだ。APIアクセスを通じて他社の強力なモデルの知識やロジックを引き出し、本来必要な訓練コストのごく一部で競合モデルを構築できてしまう。Googleが2025年2月に警告していたように、こうした「蒸留攻撃」は提供企業の管理外で発生しうる。多くのAIプロバイダーは利用規約でモデル出力を競合製品の訓練に使用することを禁じているが、技術的な検知は難しく、今回明らかになったような組織的な回避策が取られると一層困難になる。
企業別の標的
※下表のモデル名（GPT-5.5、Claude Opus 4.8など）は元記事に記載されたものをそのまま掲載している。
| 企業 | 標的モデル |
|---|---|
| DeepSeek | Claude、GPT、Gemini、Grok（複数） |
| Moonshot AI | Claude、GPT、Gemini、Grok（複数） |
| MiniMax | Claude、Gemini、GPT |
| Alibaba | Claude、GPT |
| StepFun | Claude、GPT |
| Z.AI | GPT-5.5、Claude Opus 4.8 |
最も多くのモデルを標的にしたのはDeepSeekとMoonshot AIで、次いでMiniMaxが続く。標的の広さは、特定モデルへの依存を避けながら幅広い知識を吸収しようとする意図を示唆しているとも読める。
検知指標と推奨対策
勧告はAI企業に対して、行動レベルおよびインフラレベルでの検知強化、蒸留操作が疑われた際の応答変更、関係機関との情報共有を求めている。
検知の手がかりとして挙げられた主な指標は以下の通りだ。個々の指標は必ずしも悪意を示すものではないが、複数が重なった場合は精査が推奨される。
- 新規アカウントが即座に利用上限に到達する
- 人間の通常の待機時間がなく、継続的にリクエストが発生する
- 同一アカウントを多数のIPアドレスやユーザーエージェントから利用
- 複数プロバイダーにわたって同一のプロンプトが使われている
- サブスクリプション契約に対して使用量が異常に高い
- アクセス経路を協調的に切り替えている
BleepingComputerは6社すべてにコメントを求めており、回答が得られ次第追記するとしている。
詳細はUS says Chinese firms extracted billions of tokens from frontier AI modelsを参照していただきたい。
