OpenAI、AIの内部推論を狙う組織的「蒸留」攻撃を阻止　中国Moonshot AI関係者を特定

要点

• OpenAIは、AIモデルの内部思考プロセスである「保護された推論」を不正に抽出しようとする組織的な攻撃キャンペーンを特定し、阻止したと発表した。

• 攻撃者はシステムの暗号化破棄やDB侵入ではなく、会話間で暗号化推論を復号させるなどの対話操作を用い、7月下旬には1万6,000件規模の抽出を試みていた。

• OpenAIは活動の中核クラスターを対話型AI「Kimi」を開発する中国Moonshot AIの関係者によるものと特定し、関連する1万5,000以上のアカウントを7月28日までに遮断した。

• リプレイ攻撃経路の閉鎖やストリーミング出力検知などの技術的対策を実施するとともに、業界団体や政府機関とも脅威情報を共有した。

• 米OpenAIは2026年9月30日、同社のAIモデルから内部思考プロセスである「保護された推論」を組織的に抽出しようとする不正なキャンペーンを検知し、遮断したと発表した。モデルとの対話を操作して隠された推論を視認可能な形で再現させる手口が用いられており、7月下旬には1万6,000件規模のリクエストが集中したという。同社は活動の中核を中国のAIスタートアップであるMoonshot AI（月之暗面）の関係者によるものと特定し、関連する1万5,000以上のアカウントを遮断したことを明らかにした。

モデルの内部思考を不正抽出する「敵対的蒸留」の手口

今回確認された攻撃は、あるAIモデルの出力や推論データを体系的かつ不正に取得し、別のモデルの学習や性能向上に流用する「敵対的蒸留（Adversarial distillation）」と呼ばれる手法に該当する。「保護された推論（Protected reasoning）」とは、モデルがタスクを解決する過程で生成する内部の思考記録を指し、通常は最終的な回答から除外されている。これを抽出されると、非公開の情報が露見し、他者がモデルの高度な能力を低コストで再現できるようになるリスクがある。

OpenAIの説明によると、攻撃者は暗号化の突破やデータベースへの不正侵入、保存された会話履歴への直接アクセスを行ったわけではないという。代わりに、利用規約に違反する形でモデルとの対話を巧妙に操作し、保護された推論をリクエスターが閲覧できる形式で出力させていた。

具体的な手口の一例として、ある会話で得られた暗号化済みの推論データを別の会話に持ち込み、別のモデルに対して隠された推論内容を復号・書き起こしさせる試みが確認された。また、独立系セキュリティ研究者からの責任ある開示（脆弱性を悪用せず開発元へ直接報告する制度）を通じても関連する攻撃経路が共有され、OpenAI側も脆弱性の実在を確認して対策を加速させたとしている。

7月に発生した大規模アクセスと1万5,000アカウントの遮断

攻撃の兆候は2026年7月1日から低ボリュームで観測されていたが、7月24日と25日に活動が急増した。ピーク時には、特定の抽出パターンを用いたリクエストが4,000人以上のアカウントから約1万6,000件試みられたという。なお、この数値は抽出が試みられた回数であり、必ずしも抽出が成功した件数を示すものではないと同社は注記している。

OpenAIがプロンプトのパターンなどを詳細に分析した結果、1万5,000人以上のユーザーからなる関連アカウント群が特定された。同社はこれらの活動を追跡し、7月28日までにこのクラスター全体を完全に遮断したと報告している。手口は時間の経過とともに変化しており、敵対的蒸留が単発の攻撃ではなく、継続的かつ多層的な防御が必要なセキュリティ課題であることが示された。

Moonshot AI関係者への帰属と安全保障上のリスク

観測されたすべての攻撃者が単一の組織に属するかは不明としつつも、OpenAIは活動の中核クラスターについて、対話型AI「Kimi」を手掛ける中国Moonshot AIの関係者によるものと特定した。

同社は、敵対的蒸留が単なる知的財産の不正取得にとどまらず、安全性や国家安全保障に関わる重大な脅威であると警鐘を鳴らしている。元のモデルが備えていた安全対策（ガードレール）が適用されないまま、抽出された推論データを使って別のモデルが訓練される恐れがあるためだ。さらに、安全性への投資を行わないまま高度な能力だけが急速に移転される懸念もある。軍事・民生双方で利用可能な「デュアルユース（軍民両用）」分野においてAIの性能が向上する中、こうした懸念は一層高まっているという。

このリスクはOpenAI特有のものではなく、先端AIを開発する業界全体に共通する課題であると位置づけられている。

リプレイ経路の閉鎖から業界連携まで講じられた多層防御

OpenAIは、アカウントの取り締まり、技術的制御、外部パートナー連携を組み合わせた対策を実施した。不正アカウントの停止や利用制限に加え、サインアップ時の管理やインフラ制御を強化し、関連ネットワークの監視を拡大した。

技術面では、他者の暗号化された推論データを再送信（リプレイ）して内容を復元できる経路を閉鎖したほか、推論の露出を検知してストリーミング出力を一時保留するチェック機構を追加した。サードパーティサービスを経由したアクセスについても、各プロバイダーと協力して関与アカウントを排除している。

さらに、先端AIの安全性向上を目指す業界団体「Frontier Model Forum」や政府の情報共有チャネルを通じて調査結果を共有した。推論データを持ち運んだり再利用したりできる仕組みを持つシステム全般が同様の脅威にさらされる可能性があるためだという。

巧妙化する抽出攻撃への今後の備え

OpenAIは、モデルの性能向上に伴い、低コストで能力を複製しようとする敵対的蒸留の手法は今後さらに巧妙化していくと予想している。今後はクラウドパートナー環境への保護展開や、通常のテキストのみならずツールの出力結果を精査する防御策の改善を進める方針だ。

同社は今後の対応として、「抽出に対する技術的保護の強化」「組織的キャンペーンの検知と取り締まりの改善」「業界・政府間での脅威情報共有の深化」の3点を重点分野として挙げている。