米Anthropic、中国AI企業7社による「Claude」への大規模な不正蒸留攻撃を阻止と発表

要点

• 米Anthropicは、AlibabaやDeepSeek、Moonshotを含む中国拠点のAIラボ7社による「Claude」への大規模な不正蒸留攻撃を検知し、阻止したと発表した。

• 攻撃側は数千件の不正アカウントや中継プロキシを悪用し、エージェント機能や論理的推論、コーディング能力などを無断で抽出し、自社モデルの学習に利用していた。

• 一部のラボでは自社ユーザーのリクエストを密かにClaudeへ転送して応答を収集しており、多国籍企業や国家関連組織などの機密情報を含む対話も学習データ化されていた。

• 最大規模のキャンペーン「GTG-16005」では、「Claude Opus 4.6/4.7」の思考プロセスを標的に、期間中に計1億5,100万回ものやり取りが行われていた。

• 米AIスタートアップのAnthropicは現地時間2026年9月10日、中国を拠点とする複数のAI開発組織が同社の大規模言語モデル「Claude」に対して行っていた、産業規模の不正な「知識蒸留」攻撃を特定し、遮断したことを明らかにした。同社が公開した脅威インテリジェンスレポートによると、関与が確認された組織にはAlibaba、Moonshot、DeepSeek、Z.ai（Zhipu）、MiniMaxなど7つのラボが含まれるという。

不正な知識蒸留の手口と狙われた機能

知識蒸留（Distillation）自体は、大規模で高性能なAIモデルを「教師役」として、より軽量・高速な「生徒モデル」に能力を学習させる機械学習の一般的な訓練手法である。しかし、今回の事例で指摘された「不正な知識蒸留」は、モデル提供元の許可を得ることなく、盗難されたクレジットカードやログイン認証情報、不正に入手されたAPIキーなどで作られた大量の架空アカウント群を悪用し、標的モデルの能力を組織的かつ隠密に複製する行為を指す。

Anthropicによると、これらの不正なAIラボはプロンプトの細工など高度化する手口を用いて防御策を回避していた。収集の対象となったのは、Claudeが持つエージェント機能やツール利用機能をはじめ、コーディング、データ分析、論理的推論といった高度な処理能力だったと説明している。

ユーザー対話の無断転送と機密情報の混入

Anthropicの報告によると、攻撃組織は「転送ステーション」「中継ステーション」とも呼ばれるプロキシサービスを経由してClaudeへアクセスしていた。これらの中継ネットワークは、架空の身元や盗難クレジットカード、正規の企業や個人から不正に採取されたAPIキーを利用して、数千単位の新規アカウントを開設していたとされる。

さらに、DeepSeek、Xiaomi、Moonshotなどの組織は、自社ユーザーと自社モデルとの対話内容をそのままClaudeに入力し、Claudeから返された応答を自社モデルの蒸留用学習データとして利用していた。中には、ユーザーに知らせることなくリクエストをClaudeへ転送し、得られた応答をそのままユーザーに表示しながら、裏で対話データを学習用に蓄積していたケースもあったという。

Anthropicは、これらのやり取りの中に一般個人だけでなく、大手多国籍企業や国家関連組織に属するユーザーの機密情報が含まれていたと指摘している。また、利用者の同意なく対話履歴を保存しているプロキシ運営者（サードパーティのリセラー）から、米国の最先端AIモデルとの対話ログを買い取って学習に充てる手口も確認された。

確認された主な攻撃キャンペーンの詳細

Anthropicは2026年2月以降、中国拠点のAIラボによって行われた7件の不正蒸留キャンペーンを検知している。レポートでは、そのうち代表的なキャンペーンの具体的なデータが公開されている。

GTG-16005（Alibaba関連グループ）

2026年5月から7月にかけて観測されたキャンペーンで、Anthropicが「測定史上最大規模の蒸留攻撃」と位置づけている。Alibaba傘下の複数のオペレーターによって実行され、期間中のやり取りは合計1億5,100万回に達した。3,500件以上の不正アカウントが用いられ、ピーク時には1日あたり約300万回のアクセスを記録した。標的とされたのは「Claude Opus 4.6」および「4.7」の思考プロセス（Chain of Thought: CoT）のトランスクリプトで、エージェントタスク、ソフトウェアエンジニアリング、カーネル開発、長期タスクなどの能力抽出が試みられていた。

GTG-16002（Moonshot AI）

2026年5月から7月にかけて2,300万回のやり取りが観測されたキャンペーン。Moonshot AIは、自社サービス「Kimi」で処理する代わりに顧客のリクエストを密かにClaudeへ転送し、Claudeの応答を顧客に表示していた。同時に、それらの対話の一部を記録・抽出して自社のCoTモデルの訓練データに利用していた。10日間の間に、主にシンガポールや日本に配置された5,380件の不正アカウントネットワークを使い、約30万件の顧客リクエストがAnthropic側へ中継されていたという。

GTG-16001（DeepSeek）

2026年7月の14日間にわたり、1,210万回以上のやり取りが観測されたキャンペーン。DeepSeekもMoonshotと同様に、ユーザーからのリクエストを中継してClaudeの応答を学習データとして収集する手法を用いていた。

欧米主要ラボでも相次ぐ蒸留への警戒

モデルの能力を不正に抽出・複製する蒸留攻撃については、GoogleやOpenAIなど他の欧米フロンティアAIラボからも度々警告が発せられており、最先端モデルを開発する企業にとって共通のセキュリティ課題となっている。