米政府、中国AI企業6社による米国AIモデルへの産業規模の蒸留攻撃を警告 — NSA・CISA・FBIが共同勧告AA26-251Aを公開

米国家安全保障局（NSA）、サイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）、連邦捜査局（FBI）は2026年9月8日、中国に拠点を置くAI企業6社が、米国のフロンティアAIモデルに対して産業規模の知識蒸留（Knowledge Distillation）キャンペーンを組織的に実行しているとする共同サイバーセキュリティ勧告 AA26-251A を公開した。勧告は、蒸留が本来は正当な研究手法である一方で、中国企業が数十億トークン、数百万回のリクエストにわたり、米モデルの独自機能を体系的に抽出し、自社モデル開発の中核戦略として利用していたと指摘している。

中国政府の認識の下で実施された可能性が高いとされ、DeepSeek、Moonshot AI、Alibaba、MiniMax、StepFun、Z.AI の6社が名指しされた。各社は Claude、GPT、Gemini、Grok などの米国製モデルを標的に、推論能力や専門機能を抽出していた。日本企業でも広く利用されるこれらモデルが標的になっている点で、API提供事業者だけでなく、利用者側も供給網のリスクを理解しておく必要がある。

勧告の要点 — 「補完ではなく中核」が蒸留だった

3機関は、蒸留が単なる補助的なデータ収集ではなく、中国AI企業の開発を支える中核になっていると評価した。勧告によれば、6社は遅くとも2024年後半から2026年半ばにかけて、以下のように組織的な抽出を続けていた。

• DeepSeek は2024年後半以降、米フロンティアモデルの推論能力や専門領域の最適化データを抽出し、R1（2025年初頭公開）やV3 の訓練に利用した。勧告は、同社が公表した 約560万ドル（約8億円） という訓練コストは、蒸留で取得したデータの真のコストを含んでおらず、実態を反映していないと指摘している。
• Alibaba は2025年後半に Claude 4系統やGPT-5 などを蒸留し、Qwen系列 のソフトウェアエンジニアリング能力やカスタマーサポート対話機能などを強化した。
• Moonshot AI は2025年半ば以降、Claude Fable 5やGPT-4o などから大量データを抽出して Kimi-K2/Kimi-K3 を訓練した。
• MiniMax、StepFun、Z.AI も同様に、Claude CodeやGemini、GPT-5系統から 思考連鎖（Chain-of-Thought、CoT）推論や強化学習、SFT最適化 のデータを抽出していた。

抽出対象には、法務特化の最適化、APIルール駆動タスク、エージェント機能、コーチ/アシスタント機能、創作・職業的ライティングなど、製品差別化の源泉となる機能が含まれていた。

どうやって抽出したのか — 転送ステーションと多経路化

勧告が詳述する手口は、単一のAPIを大量に叩くのではなく、検知を回避するために多経路へ分散する点が特徴だ。具体的には次の経路が挙げられている。

• 正規のネイティブAPIへの直接リクエスト
• リモートクラウドプロバイダー経由のリクエスト
• 利用者のメタデータを自動的に難読化する第三者アグリゲーター経由
• 地理的制限を回避するための灰色市場のプロキシ、いわゆる**「転送ステーション」**を介した中継

これらを使い分けることで、米AI企業が定める利用規約や地域制限、防御策を回避し、追跡可能性を低下させていた。コスト面では、米AI企業の有料サブスクリプションを大量に一括購入し、開発チームで共有することで、産業規模の蒸留に必要な費用を抑えていたという。

技術的には、CoT推論の抽出、遮断時の自動フェイルオーバー、防御側の対抗措置を検知するための品質評価フレームワークなど、高度な戦術が確認された。あるプロバイダーで遮断されても別経路へ即座に切り替え、抽出効率を維持する運用が取られていた。

標的となった米国モデルは、Claude 3.7 / Sonnet 4 / Sonnet 4.5 / Opus 4.1、Gemini 2.5 Pro Preview / Flash Preview、GPT-4 / GPT-4o / GPT-4 Mini / GPT-4 Nano / GPT-5、Grok 4 など、2024〜2026年の主要なフロンティアモデルが網羅されている。

3機関がAI事業者に求める3つの対策

勧告は、米AI企業が直ちに取るべき対策として、次の3点を挙げた。いずれも3機関が共同で推奨する内容だ。

1. 包括的な検知と緩和 — 異常なプロンプト、アカウント、ネットワーク、行動を検知する。具体的には、サブスクリプション数に対する利用量の比率、新規アカウントの即時最大利用、企業規模のスループットパターンなどを監視する。
2. 標的を絞った応答の変更 — 蒸留が疑われるリクエストに対しては、応答を微妙に改変することで、蒸留側の利得を下げる。直接的な遮断だけでなく、学習に使いにくいデータへ変質させる発想だ。
3. 組織をまたいだインテリジェンス共有 — モデル提供者、クラウドプラットフォーム、APIアグリゲーター間で活動を相互に関連付け、分散したキャンペーンの全容を可視化する。

勧告は、産業規模の蒸留が米国の技術的優位を体系的に損なう行為であるとして、政府、民間、アライアンス国が連携した対応の必要性を強調している。

日本企業への影響と留意点

今回名指しされた手口は、特定の脆弱性を突く侵入ではなく、正規APIの利用規約に違反する形での大量抽出だ。日本企業が ClaudeやGPT、Geminiを業務で利用している場合、直接の被害を受けるのはモデル提供者だが、抽出された機能が競合モデルに急速に取り込まれることで、市場での差別化や知的財産の観点から中長期的な影響が生じ得る。

また、APIを自社サービスに組み込んで提供している事業者は、自社が「転送ステーション」として悪用されていないか、利用量の急増や不自然なプロンプトパターンがないかを点検することが重要になる。勧告が示す サブスクリプション対利用量の比率や新規アカウントの挙動監視 は、国内のAI提供事業者にとっても参考になる指標だ。

3機関は、蒸留そのものが悪ではないことを明確にしつつ、**「産業規模で、制限された独自機能を標的にした、攻撃的で悪意ある蒸留」**を問題視している。AIを巡る攻防が、モデルの性能競争だけでなく、供給網と利用規約を巡る攻防へ拡大していることを示す勧告だ。

出典

• CISA / NSA / FBI 共同勧告 AA26-251A「中国に拠点を置くAI企業による米国AI企業に対する産業規模の蒸留キャンペーン」 (2026年9月8日) — https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-251a