Anthropicが暴露「DeepSeekら中国AI企業がClaude蒸留に偽アカウント24,000件」— モデル知財保護の新局面

この記事のポイント

目次

• 1. 何が起きたのか：Anthropicの公式発表の全容
• 2. 「蒸留攻撃」とは何か：技術的メカニズムの解説
• 3. 3社の攻撃パターン：DeepSeek・Moonshot AI・MiniMaxの違い
• 4. Anthropicの検知技術と多層防御戦略
• 5. AIモデルの知的財産保護：法的グレーゾーンの現状
• 6. 賛否両論：この問題をどう見るか
• 7. 米中AI覇権争いと輸出規制への波及
• 8. 日本企業が今すぐ取るべきアクション
• 9. 今後の展望：蒸留攻撃はなくなるのか
• 10. よくある質問（FAQ）

何が起きたのか：Anthropicの公式発表の全容

2026年2月23日、AIスタートアップ大手のAnthropicは自社公式ブログで「Detecting and preventing distillation attacks（蒸留攻撃の検知と防止）」と題する記事を公開し、AI業界に衝撃を与えた。

Anthropicの発表によると、中国のAI企業3社――DeepSeek、Moonshot AI（Kimiモデルの開発元）、MiniMax――が、組織的かつ「産業規模（industrial-scale）」の蒸留攻撃キャンペーンを実行していたという。

その規模は驚異的だ。

• 約24,000件の偽アカウントが不正に作成された
• 合計1,600万回以上の対話（exchange）がClaudeとの間で生成された
• 単一のプロキシネットワークが20,000件以上の偽アカウントを同時に管理していた

Anthropicの公式Xアカウント（@AnthropicAI）による投稿は51,000件以上の「いいね」を集め、AI業界だけでなく一般のテック愛好家の間でも大きな話題となった。

重要なのは、Anthropicがこの攻撃をMiniMaxが蒸留で訓練したモデルをリリースする前に検知していたことだ。つまり、蒸留攻撃のライフサイクル全体――データ生成からモデル公開まで――を追跡できたという、前例のないケースとなった。

Anthropicの利用規約では、中国からの商用アクセスは制限されている。にもかかわらず3社がアクセスできた背景には、商用プロキシサービスの存在がある。これらのサービスはClaudeへのアクセスを大規模に転売しており、蒸留攻撃者はこのインフラを利用して地域制限を回避していた。

「蒸留攻撃」とは何か：技術的メカニズムの解説

蒸留（Distillation）の基本原理

AIにおける「蒸留（distillation）」とは、大規模で高性能な「教師モデル（teacher model）」の出力を使って、より小さく効率的な「生徒モデル（student model）」を訓練する技術である。

この手法自体は、AI研究において完全に正当な技術だ。元々はGoogleの研究者Geoffrey Hintonらが2015年に発表した論文「Distilling the Knowledge in a Neural Network」に端を発する。自社の大規模モデルから軽量モデルを作る場合などに広く活用されている。

問題は、他社のモデルを「教師」として無断利用する場合だ。これが「蒸留攻撃」と呼ばれる行為であり、今回Anthropicが告発した事態の核心である。

蒸留攻撃の具体的プロセス

今回明らかになった攻撃の手順を、技術的に整理すると以下のようになる。

ステップ1：大規模アクセス基盤の構築

攻撃者はまず、数千〜数万件の偽アカウントを作成する。Anthropicはこれを「ハイドラクラスター（hydra cluster）」と名付けた。ギリシャ神話のヒドラのように、一つのアカウントを停止しても次々と別のアカウントが現れる構造だ。

商用プロキシサービスを介してトラフィックを分散させ、正規ユーザーのリクエストと蒸留用リクエストを混在させることで、検知を困難にしていた。

ステップ2：ターゲット能力の特定と集中的抽出

攻撃者は無差別にClaudeを使うのではなく、特定の能力領域に集中したプロンプトを大量に送信する。今回のケースでは、以下の能力が主なターゲットとなった。

• エージェンティック推論（agentic reasoning）：複数のツールを組み合わせて複雑なタスクを遂行する能力
• ツール使用（tool use）：API呼び出しやコード実行を含む外部ツール連携
• コーディング能力：プログラミング言語での高度なコード生成
• Chain-of-Thought（思考の連鎖）推論：段階的な論理展開の推論プロセス

ステップ3：応答データの収集と訓練データ化

Claudeから得られた大量の応答（入力プロンプトと出力ペア）を、自社モデルの訓練データとして整形する。特にChain-of-Thought推論の抽出は、モデルの「考え方」そのものを盗むことに等しい。

ステップ4：自社モデルのファインチューニング

収集したデータを使って自社モデルをファインチューニングし、Claudeの能力を「転写」する。独自に同等の能力を開発するのに比べ、時間もコストも桁違いに少なくて済む。

なぜ蒸留攻撃は効果的なのか

フロンティアAIモデルの開発には、数億〜数十億ドル規模の計算資源と、数ヶ月〜数年の研究開発期間が必要だ。一方、蒸留攻撃による能力抽出は、APIアクセス料金（偽アカウントやプロキシ経由で大幅に割引される場合もある）だけで実行できる。

Anthropicは公式ブログで、蒸留攻撃が「高度なチップへのアクセスを必要とする」と指摘している。つまり、抽出したデータで自社モデルを訓練するには依然として計算資源が必要だが、ゼロから開発するよりも必要な計算量は大幅に少ない。

3社の攻撃パターン：DeepSeek・Moonshot AI・MiniMaxの違い

Anthropicの発表で注目すべきは、3社それぞれの攻撃パターンが明確に異なっていたことだ。これは各社が独立して、自社のモデル開発戦略に沿った蒸留キャンペーンを展開していたことを示唆する。

MiniMax：最大規模の蒸留キャンペーン

MiniMaxは3社中最大規模の蒸留キャンペーンを展開した。全1,600万回の交換のうち、実に1,300万回以上がMiniMaxによるものだった。

特筆すべきは、MiniMaxがClaudeの新モデルリリースに即座に反応した点だ。Anthropicが新しいClaudeモデルを公開すると、MiniMaxは24時間以内にトラフィックの約50%を新モデルへリダイレクトした。最新かつ最高性能の能力を優先的に抽出しようとする、極めて戦略的な行動パターンである。

MiniMaxのターゲットは、エージェンティックなコーディング、ツール使用、オーケストレーション（複数AIの協調動作）の能力だったとされる。

Moonshot AI：エージェント能力に特化

Moonshot AI（Kimiシリーズの開発元）は、以下の能力領域に焦点を当てた蒸留キャンペーンを実行した。

• エージェンティック推論とツール使用
• コーディングとデータ分析
• コンピュータ使用エージェントの開発
• コンピュータビジョン

340万回という交換回数は、MiniMaxには及ばないものの、一般的なAPI利用と比較すれば異常な規模だ。特に「コンピュータ使用エージェント」への関心は、Anthropicが2025年に発表したClaude Computer Useの能力を意識したものと考えられる。

DeepSeek：量より質、戦略的な抽出

DeepSeekの交換回数は15万回以上と、3社の中では最も少ない。しかし、その目的は他の2社とは質的に異なっていた。

DeepSeekのキャンペーンは、基礎的なロジックとアライメント（整合性）の改善に焦点を当てていた。特に注目されるのは、「検閲に安全な代替回答（censorship-safe alternatives）」の生成を目的としたプロンプトが含まれていた点だ。

これは、中国国内のコンテンツ規制に対応しつつ、政治的に敏感なトピックへの回答能力を維持するという、DeepSeek特有の課題を反映している。自社モデルの安全性ガードレールを「参考にする」というよりは、Claudeの回答方針をリバースエンジニアリングし、中国市場向けに最適化しようとしていた可能性がある。

3社に共通する戦術

攻撃パターンに違いはあるものの、3社には以下の共通点があった。

• 商用プロキシサービスの利用：中国からの直接アクセス制限を回避
• ハイドラクラスター構造：大量の偽アカウントを分散管理
• トラフィックの混合：正規利用のリクエストに蒸留リクエストを紛れ込ませる
• Claudeの差別化能力への集中：汎用的な会話能力ではなく、エージェンティック推論やコーディングなど「Claude独自の強み」を狙った

Anthropicの検知技術と多層防御戦略

Anthropicは今回の公表において、蒸留攻撃の検知と防御に関する多層的なアプローチを明らかにした。

検知レイヤー1：行動フィンガープリンティング

通常のユーザーと蒸留攻撃者では、APIの利用パターンが根本的に異なる。Anthropicは「行動フィンガープリンティング（behavioral fingerprinting）」と呼ばれるシステムを開発し、以下の特徴を検出する。

• 異常な集中度：特定の能力領域に対するリクエストが極端に偏る
• 高い反復性：プロンプトの構造やパターンが類似しすぎる
• 大量処理：通常のユーザーでは考えられない量のリクエスト
• 協調性：複数アカウント間でのリクエストパターンの相関

蒸留攻撃のプロンプト分布は、AIモデルの訓練データ生成に特化しているため、通常のエンドユーザーのインタラクションとは統計的に明確に異なる。

検知レイヤー2：Chain-of-Thought抽出の検出

蒸留攻撃者にとって最も価値が高いのは、モデルの「思考過程」であるChain-of-Thought（CoT）推論データだ。Anthropicは、CoT抽出を目的としたプロンプトを識別する専用の分類器を開発した。

「段階的に考えてください」「推論過程を全て示してください」といった指示を含むプロンプトが、異常な頻度で特定のアカウント群から送信される場合、蒸留攻撃の強い指標となる。

検知レイヤー3：アカウント認証の強化

偽アカウントの大量作成を防ぐため、Anthropicはアカウント認証プロセスを強化している。特に教育機関や研究機関向けアカウントの審査を厳格化し、商用プロキシサービス経由のアクセスを識別するための技術的措置を導入した。

防御策：レスポンスシェーピング

Anthropicが今回明らかにした防御策の中で最も注目すべきは、「レスポンスシェーピング（response shaping）」だ。

これは、モデルの出力自体を調整することで、蒸留攻撃者が得るデータの「訓練価値」を意図的に低下させる技術である。具体的には以下のようなアプローチが考えられる。

• 出力へのウォーターマーク埋め込み：蒸留データに追跡可能な署名を含ませる
• 微細なノイズの注入：人間には気づかないが、訓練データとしての品質を劣化させる変更
• 分布的な変更：出力の統計的特性を微調整し、蒸留効率を低下させる

この戦略は、蒸留攻撃を「完全に防ぐ」のではなく「コストを引き上げる」ことを目的としている。攻撃の経済的合理性を崩すことで、抑止効果を狙うアプローチだ。

業界連携：インテリジェンスシェアリング

Anthropicは、蒸留攻撃に関する情報を他のAIプロバイダーや当局と共有する「インテリジェンスシェアリング」の枠組みも推進している。OpenAIも同様に蒸留攻撃の被害を公表しており、米国のフロンティアAI企業間で協調的な防御体制が形成されつつある。

OpenAIは2026年2月12日、米下院の「米中戦略的競争に関する特別委員会」に書簡を送り、DeepSeekによる蒸留攻撃の証拠を提出している。Anthropicの発表は、この動きを強化するものだ。

AIモデルの知的財産保護：法的グレーゾーンの現状

今回の事件が提起する最も根本的な問題は、「AIモデルの出力は知的財産として保護されるのか」という法的な疑問である。

既存の法的枠組みの限界

現行の知的財産法は、AIモデルという新しい形態の「知的資産」を想定していない。法律事務所Winston & Strawnの分析によれば、以下の論点が存在する。

著作権の観点：AIモデルの出力が著作物として保護されるかは、多くの法域で未確定だ。米国著作権局は、AIが自律的に生成したコンテンツには著作権を認めていない。しかし、モデルのアーキテクチャや訓練プロセスに十分な人間の創造的関与があれば、保護の余地がある。

営業秘密の観点：AIモデルの内部パラメータや訓練データは営業秘密として保護される可能性が高い。しかし、APIを通じて公開された「出力」が営業秘密に該当するかは議論の余地がある。

特許の観点：AIモデルのアルゴリズムやアーキテクチャは特許保護の対象となり得るが、蒸留攻撃は出力データの利用であり、特許侵害とは性質が異なる。

利用規約違反の観点：最も明確な法的根拠は、APIの利用規約（Terms of Service）違反だ。Anthropicの利用規約は、競合モデルの訓練目的でのAPI利用を明示的に禁止している。ただし、利用規約は契約法の範疇であり、刑事罰や国際的な強制力には限界がある。

法整備の動き

米国では、AI知的財産の保護に関する法整備が急速に進んでいる。シリコンバレーの法律事務所Fenwick & Westは、「蒸留行為を直接規制する法律は現時点では存在しないが、営業秘密法の拡大解釈や新規立法の動きが加速する可能性がある」と指摘する。

戦略国際問題研究所（CSIS）は報告書の中で、AI知的財産の保護を国家安全保障の観点から論じ、営業秘密保護法の強化と国際協調の必要性を訴えている。

日本の法的状況

日本では、2025年後半からAI推進法の整備が進められ、AI戦略本部（内閣総理大臣直轄、全閣僚参加）が設立された。欧州のEU AI法がリスク抑制から出発しているのに対し、日本のアプローチは経済発展・国際競争力・技術リーダーシップを起点としている。

しかし、AIモデルの蒸留行為を直接規制する法規定は日本にもまだ存在しない。不正競争防止法の「営業秘密」保護や、著作権法の「データベースの著作物」保護が間接的に適用される可能性はあるが、国際的な蒸留攻撃に対する実効性は不透明だ。

賛否両論：この問題をどう見るか

Anthropicの発表は、AI業界やテクノロジーコミュニティの中で激しい議論を引き起こしている。ここでは、主要な立場を整理する。

この論争は単純な善悪の問題ではない。AIの知的財産をめぐる国際的なルール形成が追いついていない現状を浮き彫りにしている。

米中AI覇権争いと輸出規制への波及

蒸留攻撃と輸出規制の関係

Anthropicの発表が大きなインパクトを持つ背景には、米中間のAI覇権争いがある。

米国は、中国のAI開発を遅らせるためにNvidiaの先端AIチップの対中輸出を制限してきた。しかし2026年2月、U.S. News & World Report等が報じたところによると、DeepSeekの最新モデルがNvidiaの最先端チップ「Blackwell」を使って訓練されていたことが判明。輸出規制の実効性に疑問が投げかけられている。

Anthropicはこの文脈で、蒸留攻撃が「高度なチップへのアクセスを必要とする」ことを指摘し、「蒸留攻撃は輸出規制の根拠を強化する。チップアクセスの制限は、直接的なモデル訓練と不正蒸留の両方の規模を制限する」と主張した。

OpenAIとの共同戦線

OpenAIも2026年2月12日に米議会へ書簡を送り、DeepSeekによる蒸留攻撃の証拠を提示している。CNBCの報道によれば、OpenAIは「DeepSeekがOpenAIや他の米国フロンティアラボのフロンティアモデルを蒸留しようとする継続的な試み」の証拠を確認したと述べている。

米国の二大AI企業が相次いで同じ脅威を公表したことは、この問題が個別企業の課題ではなく、米国AI産業全体のセキュリティ課題として認識され始めていることを示す。

DeepSeekの半導体規制違反疑惑

蒸留攻撃の問題に加え、DeepSeekが禁輸されているはずのNvidia Blackwellチップを使用してAIモデルを訓練していたという報道は、米国の輸出規制の実効性に深刻な疑問を投げかけている。トランプ政権のAI政策責任者David SacksやNvidiaのJensen Huang CEOは、先端チップの中国輸出を認めることで「中国がNvidiaの技術に追いつこうとする努力を減らせる」と主張しているが、蒸留攻撃と半導体規制違反の組み合わせは、この楽観的な見方への強い反証となる。

日本企業が今すぐ取るべきアクション

今回の蒸留攻撃は、日本企業にとっても他人事ではない。AIモデルの利用企業として、以下の観点から対応を検討すべきだ。

アクション1：AIモデル調達のサプライチェーンリスク評価

DeepSeekやMiniMaxのモデルをAPI経由で利用している日本企業は少なくない。コスト面の魅力から中国製AIモデルを採用するケースが増えているが、今回の事件は以下のリスクを再認識させる。

• 出所の不透明性：利用しているモデルの能力がどこから来ているのか（自社開発か蒸留か）が不明確
• 安全性ガードレールの不足：蒸留されたモデルには、元のモデルの安全性対策が引き継がれない可能性がある
• 規制リスク：蒸留により不正取得された技術を組み込んだ製品を利用・再販することの法的リスク
• レピュテーションリスク：不正な技術を基盤とするAIサービスの利用が判明した場合の企業イメージへの影響

アクション2：自社データの蒸留リスク管理

大手AIモデルのAPIを利用する際、自社の機密データや独自ノウハウを入力として送信するケースは多い。この際、以下の点を確認すべきだ。

• 利用規約で「入力データが訓練に使用されない」ことが明記されているか
• APIプロバイダーが第三者への蒸留攻撃を受けた場合、自社データの二次流出リスクはないか
• 機密度の高いデータに対しては、オンプレミスまたはプライベートクラウドでの推論を検討すべきか

アクション3：AIガバナンス方針の更新

多くの日本企業がAIガバナンス方針を策定しているが、「蒸留攻撃」という新しいリスクカテゴリはこれまで十分に考慮されてこなかった。以下の項目をガバナンス方針に追加することを推奨する。

• AIモデルの出所確認（Model Provenance）：採用するAIモデルの訓練データと手法の透明性を評価基準に含める
• 利用規約コンプライアンス：AIモデルのAPI利用が、プロバイダーの利用規約に準拠しているか定期的に確認する
• インシデント対応計画：利用しているAIモデルが蒸留攻撃の加害者または被害者として特定された場合の対応フローを策定する

アクション4：国内AI規制動向のフォロー

日本政府のAI戦略本部は、AI推進法の下でAIガバナンスの枠組みを構築中だ。蒸留攻撃のような国際的な問題が日本の規制議論にどう反映されるかを注視し、先手を打った対応が求められる。特に以下の動向に注目すべきだ。

• 不正競争防止法のAI適用に関するガイドラインの改定
• 経済安全保障推進法に基づくAI技術の特定重要技術指定の動向
• G7 広島AIプロセスに基づく国際協調の進展

アクション5：技術的な自衛策の導入

自社がAIモデルを開発・提供している場合、Anthropicが公表した防御策を参考に以下の対策を検討すべきだ。

• API利用パターンの異常検知システムの導入
• 出力へのウォーターマーキング技術の検討
• レート制限とアカウント認証の強化
• 業界内での脅威情報共有への参加

今後の展望：蒸留攻撃はなくなるのか

短期的な見通し（2026年内）

蒸留攻撃は、短期的にはなくなるどころか、より巧妙化する可能性が高い。Anthropicの検知技術が高度化すれば、攻撃者側もそれを回避する新しい手法を開発する「いたちごっこ」が予想される。

一方、AnthropicとOpenAIの相次ぐ公表は、業界全体の防御意識を高め、プロキシサービスへの規制や国際的な法的枠組みの議論を加速させるだろう。

中期的な構造変化

Forecasting Research InstituteのLEAPレポートは、米中のAI性能格差が2031年までに縮小し、2041年までに対等になると予測している。この予測が正しければ、蒸留攻撃の「経済的メリット」は徐々に低下する。中国のAI企業が自力で同等の能力を開発できるようになれば、蒸留攻撃のリスクを冒す必要性が薄れるからだ。

しかし、それまでの間――つまり技術格差が存在する限り――蒸留攻撃は続くと見るべきだ。

技術的解決策の可能性

長期的には、以下の技術的アプローチが蒸留攻撃のリスクを低減させる可能性がある。

• 出力の暗号学的署名：モデル出力に追跡可能な暗号署名を埋め込む技術
• 動的な出力変化：同じプロンプトに対して微妙に異なる出力を返すことで、訓練データとしての一貫性を低下させる
• 蒸留耐性のあるモデルアーキテクチャ：出力から内部表現を推定しにくい設計のモデル
• 業界標準の認証基盤：AIモデル利用者の身元を業界横断で検証するインフラ

よくある質問（FAQ）

まとめ：AIの知的財産保護は、全てのAI利用企業の課題

Anthropicによる蒸留攻撃の暴露は、AIモデルの「能力」が新たな戦略的資産であり、その保護が産業政策・安全保障政策の中核課題になりつつあることを明確にした。

24,000件の偽アカウント、1,600万回の対話、3社の協調的キャンペーン――その規模は「個別の不正行為」ではなく「産業規模の技術抽出」と呼ぶにふさわしい。

しかし、この問題を単純な「善と悪」の構図で捉えることは適切ではない。AIモデルの知的財産保護と技術のオープン性のバランス、米中間の技術覇権争い、フロンティアAI企業自身のデータ利用の正当性など、複層的な論点が絡み合っている。

日本企業にとっての最優先アクションは、自社が利用するAIモデルのサプライチェーンを再点検し、出所の透明性と安全性を確認することだ。蒸留攻撃は、AIモデルの「消費者」である企業にも間接的なリスクをもたらす。

AI業界は今、モデルの開発競争だけでなく、知的財産の保護とガバナンスという新たなフロンティアに直面している。今回の事件が、より成熟したAIエコシステムの構築に向けた転換点となることを期待したい。

情報ソース

• Anthropic公式ブログ「Detecting and preventing distillation attacks」（2026年2月23日）
• Anthropic公式Xアカウント投稿（51,000+いいね）
• TechCrunch「Anthropic accuses Chinese AI labs of mining Claude as US debates AI chip exports」
• CNBC「Anthropic joins OpenAI in flagging ‘industrial-scale’ distillation campaigns by Chinese AI firms」
• VentureBeat「Anthropic alleges Chinese AI labs used fake accounts to distill Claude」
• The Hacker News「Anthropic Says Chinese AI Firms Used 16 Million Claude Queries to Copy Model」
• The Register「Anthropic misanthropic toward China’s AI labs」
• Fortune「Anthropic claims 3 Chinese companies ripped it off」
• Fenwick & West「DeepSeek, Model Distillation, and the Future of AI IP Protection」
• Winston & Strawn「Is AI Distillation By DeepSeek IP Theft?」
• CSIS「Protecting Our Edge: Trade Secrets and the Global AI Arms Race」

（この記事は2026年2月25日時点の情報に基づいています。最新の状況については各公式ソースをご確認ください。）

---