Anthropicが中国系AI各社による蒸留攻撃の実態を報告、約2億件のやり取りを確認

何が報告されたのか

Anthropicは2026年9月10日、中国を拠点とするAI企業による蒸留攻撃に関する報告書を公表しました。報告書によれば、同社は蒸留攻撃に関連する約2億件のやり取りを確認し、それらを5つの異なるキャンペーンに帰属させています。標的とされたのは、Claudeのエージェント機能やツール利用、コーディングとデータ分析、論理的推論といった能力だと説明されています。

Anthropicが蒸留攻撃について公に言及したのは今回が初めてではありません。記事によれば、同社は2月にも特定のラボを名指しして警告していました。OpenAIも同様の活動を報告しており、こちらは特にDeepSeekによるものとしています。今回の報告で示されたキャンペーンは、規模と攻撃性の両面で従来より大きいと記事は伝えています。

蒸留攻撃の仕組みとは

蒸留攻撃は、モデルが各種の問い合わせに対して返す「思考の連鎖（チェーン・オブ・ソート）」を抽出することが中心になります。抽出した思考の連鎖を教師ありファインチューニングに使えば、より小さいモデルに汎用的な推論能力を学習させられるとされています。

Anthropicは通常、モデルの内部的な思考の連鎖をそのままユーザーに公開せず、概要を示す「要約された思考」のブロックを表示します。しかし攻撃側は、モデルに思考の痕跡を直接明かさせる特定の手法を見つけ出したと報告書は述べています。記事では、ある攻撃者が翻訳リクエストに見せかけた質問で標的モデルを欺いた例が挙げられています。

最大規模はAlibaba系

Anthropicが観測した中で最大の包括的な蒸留の取り組みは、Alibabaに帰属されるキャンペーンでした。2026年5月から7月にかけて1億5,100万件のやり取りが確認され、1日あたりでは最大で約300万件に達したとされています。

やり取りは3,500の異なるアカウントに分散していましたが、思考の連鎖を引き出すために使われた単一の固定プロンプトを共有していたため、AnthropicはAlibabaのQwenファミリー向けの訓練データ作成を目的とした単一の活動と判断しました。同社がこれまでに観測した中で最大の包括的な蒸留の試みだと説明されています。

中国軍からとみられる経路も

Kimiを手がけるMoonshot AIに帰属される別のキャンペーンでは、リクエストが中国軍から直接ルーティングされたように見えたと報告書は述べています。あるリクエストは、録画された監視カメラ映像の山をClaudeに評価させ、対象者が「異常な行動」をとっているかを判定させるものだったといいます。

10日間の1つの期間に、5,000のアカウント網を通じて約30万件のリクエストがClaudeに送られ、主にOpusモデルが標的になったとAnthropicは説明しています。

まだ分かっていないこと

この報告書はAnthropic自身による調査結果であり、記事の時点で第三者機関による検証が行われたかどうかは示されていません。名指しされた各社が内容を認めたのか、反論したのかについても記事には記載がありません。

Anthropicが技術的な対策をどこまで強化したのか、法的措置を検討しているのかも記事からは読み取れません。攻撃手法の詳細がどの程度公開されるかも不明で、防御側の各社が同じ情報を共有できるかどうかは今後の論点になるとみられます。