OpenAI、自社AIの推論プロセスを狙った不正抽出を遮断　中国Moonshot AI関係者の関与を指摘

要点

• OpenAIは、同社のAIモデルから保護された推論データを不正に抽出・蒸留しようとする組織的な攻撃を検知・阻止したと発表した。
• 攻撃の中心的な活動は、中国・北京に本拠を置くAI新興企業「Moonshot AI」の関係者に関連付けられている。
• 暗号侵害ではなく、モデルとの対話を操作して1万5,000人超のアカウント規模で推論内容を再現・抽出する手法が用いられていた。
• OpenAIは不正アカウントの停止や推論リプレイ経路の閉鎖などの対策を実施し、安全対策を迂回したモデル能力の複製に警鐘を鳴らしている。

1万5000人規模のアカウントを悪用した抽出攻撃の経緯

米OpenAIは現地時間2026年10月1日、同社の人工知能（AI）モデルから保護対象となっている推論データを不正に抽出しようとする組織的なキャンペーンを特定し、遮断したと発表した。同社はこの活動の中核グループについて、中国・北京を拠点とするAI新興企業「Moonshot AI」の関係者に関連していると分析している。

発表によると、この抽出活動は2026年7月1日に少量のトラフィックで始まった。その後、7月24日から25日にかけて急増し、4,000人以上のユーザーアカウントから特定の抽出パターンを用いたリクエストが1万6,000件試行されたという。調査の結果、同様のプロンプトパターンを用いた関連活動は1万5,000人以上のユーザーアカウントに及んでいたことが判明し、OpenAIは7月28日までにキャンペーンを完全に遮断したとしている。

今回の攻撃において、攻撃者は暗号の突破やデータベースの侵害を行ったのではなく、モデルとの対話プロセスを操作することで、本来非公開である推論内容（モデルが結論に至る思考プロセス）をリクエスト者に見える形で再現・抽出していたという。なお、Moonshot AI関係者の関与と判断した根拠について、OpenAIはセキュリティ上の理由から具体的な技術的証拠の開示を控えている。

「敵対的蒸留」への対策と安全性への懸念

OpenAIは今回の活動を、あるモデルの出力を利用して別のモデルを訓練・再現・向上させる「敵対的蒸留（Adversarial Distillation）」と位置づけている。

これを受け、OpenAIは攻撃に関与した不正アカウントを即座に停止（BAN）した。さらに、他者の暗号化済み推論データを再利用（リプレイ）して内容を復元できる経路を閉鎖したほか、推論情報が漏洩する恐れのあるストリーミング出力を検知・保留する検査機能を追加したと説明している。

OpenAIは、保護された推論データの流出について、モデルのタスク処理手順が露呈して能力が無断で複製されるだけでなく、安全保障やAIの安全性に重大なリスクをもたらすと警告している。元のモデルに施された安全対策を伴わないまま別のモデルが学習される恐れがあり、特に軍民両用（デュアルユース）分野において、安全性への投資を省いた技術移転が加速することを懸念しているという。

推論トレースを巡る構造的な脆弱性と過去の疑惑

AIの推論データの保護に関しては、アーキテクチャ上の脆弱性も指摘されていた。2026年8月にMATS Research、独ELLIS Institute Tübingen、Synkの研究チームが発表した論文では、Claude、Gemini、GPTにおいて、暗号化された推論トレースが同一事業者のエコシステム内で相互互換性を持っていたことが報告されている。

この仕様を悪用すると、高度なモデルの暗号化推論データを安全対策の緩い下位モデルに入力することで、上位モデルを直接侵害することなく推論内容を平文（プレーンテキスト）としてデコードさせることが可能だった。この手法は大規模なデータ抽出や、暗号化ブロック内への悪意ある命令の埋め込み、モデルが拒絶した有害情報の露出につながる危険性が指摘されていた。

なお、Moonshot AIがモデルデータの不正利用で名指しされるのは今回が初めてではない。2026年9月には米Anthropicが、Moonshot AIが自社AI「Kimi」の裏で顧客のリクエストを「Claude」へ密かに転送して回答を返し、そのやり取りの一部を思考連鎖（CoT: 論理的な思考ステップを段階的に進めるモデル）の学習に流用していたとして告発していた。この活動は「GTG-16002」のコード名で追跡されている。