出力から能力を写し取るという問題
生成AIの性能は、膨大な計算資源と研究開発費を投じて作られます。ところが、その能力の一部は、完成したモデルに大量の質問を送り、返ってきた回答を別のモデルに学習させることで、はるかに安く写し取れる場合があります。米Anthropicが2026年10月12日に公表した報告は、この「蒸留攻撃」への防御策と、その初期の効果をまとめたものです。
https://www.anthropic.com/research/distillation-defenses
蒸留という言葉自体は、AI研究で広く使われる正当な手法の名前です。大きなモデルを「教師」、小さなモデルを「生徒」として、教師の出力で生徒を訓練すれば、性能の多くを保ちながら軽く安価なモデルを作れます。自社モデル同士や、提供元が認める範囲で行えば通常の開発工程です。問題になるのは、開発元の許可なく、身元を偽った多数のアカウントを使って組織的に出力を集める行為です。Anthropicが「蒸留攻撃」と呼ぶのはこちらです。
同社の懸念は、無断で蒸留されたモデルが十分な安全対策を備えずに公開され得ることにあります。同社は、中国Zhipu AIがGLM-5.3の開発過程で米国の先端モデルからサイバー攻撃に関わる能力を蒸留したと主張しています。9月29日に公表した分析では、模擬環境で簡単な手法を使うと、GLM-5.3の安全策を64〜100%の割合で回避できたと報告しています。
https://www.anthropic.com/research/glm-5-3-and-the-spread-of-advanced-cyber-capabilities
経営者にとって重要なのは、AIの出力がそれを生んだ知識の写しになり得るという点です。この構造は、自社が使うAIの経路と、自社が外部へ公開するAIの両方に関わります。
公表された防御策と、数字の読み方
Anthropicによれば、蒸留に最も価値があるのは、モデルが回答前に書き出す推論の過程です。答えに至る道筋のほうが、最終回答だけより学習に役立つためです。同社は当初、推論を要約してから利用者に示す対策を取りました。同社の評価では、事前学習済みのモデルに完全な推論記録を学ばせると、SWE-bench Verifiedというプログラミング評価で80.4%に達したのに対し、要約された記録では71.8%にとどまりました。
しかし攻撃側は、推論の全文を出力させる指示へと手口を移しました。さらに、数十万規模の不正アカウントを束ねるプロキシ網を作り、同社が提供していない地域への転売や、偽の身元と盗まれた決済情報による登録も行っていたと同社は説明しています。
そこで同社は、三つの方向から防御を強めました。第一に、推論の行き先を制御しました。最新モデルについて、2026年8月31日以降に作成されたAPIアカウントでは過去の文脈を編集できないようにし、推論を安全策の弱い旧モデルから読めなくしています。第二に、推論を引き出そうとする依頼を二段階の分類器で検知・遮断します。第三に、抽出を繰り返すアカウントには利用制限を強め、悪用が続く場合は停止します。
効果について同社は、分類器の導入後、自社の基盤上で攻撃者が取り出した推論の量が導入前の10分の1から100分の1以下に減ったと推計し、抽出データを約90〜99%減らせたという初期評価を示しました。ただし、これは自社プラットフォーム上の抽出量に限った同社の推計で、外部による検証結果は示されていません。同社自身も、効果の持続期間は分からず、高度で執拗な回避の試みにはまだ直面していないと述べています。
守る側が負う費用という視点
報告は防御に伴う負担も率直に記しています。同社は、蒸留を行う事業者からの相当な売上と、数兆トークン規模の有料の通信を断ったと述べています。また、一部の正当な開発者が連携部分の改修を迫られたこと、分類器が0.1%未満の割合で正常な依頼を遮断し得ること、9月24日以降は遮断された依頼にも課金していることを、利用者に及ぶ影響として挙げています。
攻撃者も料金を支払う顧客である以上、防御は短期的な売上と衝突します。利用者から見れば、提供元の安全対策の強化は、自社の連携システムの改修や運用費の変化として突然表れ得るということです。
仮に、外部に委託して組んだAPI連携の改修に3人日、単価1人日8万円と置けば、改修費は24万円で、月額利用料10万円の会社なら2.4か月分に相当します。総保有費用（導入から廃棄までの費用総額）を見積もる際、提供元起因の改修を年に何回見込むかを予備費として織り込めば、予算と実績の差異も説明しやすくなります。
そのAIは、どこを通っているのか
利用者にとってより切実なのは、データの経路です。Anthropicは、中国Moonshot AIのKimiに送られた依頼が、蒸留のために密かにClaudeへ転送されていた事例を報告しています。利用者が選んだサービスとは別の事業者のモデルが、実際の処理を担っていたことになります。また同社は、攻撃者の通信が同社のAPIだけでなく、他社のクラウドやその他の推論サービスにも分散していると説明しています。
中小企業でも、業務ソフトに組み込まれたAIを使う場面が増えています。その際、画面上のサービス名と、実際に入力を処理するモデルの提供元が異なることは珍しくありません。正規の再委託であれば契約と規約で管理できますが、相場より極端に安い非公式の転売経路を使えば、入力した見積条件や顧客情報が、どの国の誰の基盤を通るのか説明できなくなります。
内部統制の言葉でいえば、これは委託先管理の問題です。確認したいのは三点です。第一に、契約相手と実際の処理事業者、その再委託先が一覧で示されているか。第二に、入力データが学習に使われるか、保存期間と保存地域はどうか。第三に、提供元が経路や再委託先を変更したときに通知を受ける取り決めがあるか。選定は担当者任せにせず、情報管理の責任者による承認と確認記録を残せば、監査や取引先からの照会にも答えられます。
自社のノウハウを写し取られないために
蒸留攻撃の構造は、自社がAIを外部に公開する場面にも当てはまります。たとえば、自社の図面や不具合履歴、見積の考え方をもとに製品選定や技術相談に答えるチャットボットを作り、取引先向けに公開したとします。回答の質が高いほど、競合や第三者が大量に質問を送って回答を集め、選定の論理や価格の目安を再構成する余地が生まれます。こうした知識は通常、貸借対照表には載りませんが、粗利を支える無形の資産です。
Anthropicの三つの防御は、規模は違っても応用できます。回答に根拠の全文や内部の計算過程を含めず、必要な結論に絞ること。利用者の登録と本人確認を求め、一つのアカウントや取引先からの質問数に上限を設けること。同じ型の質問の大量送信や、内部の判断基準を聞き出そうとする質問を記録して月次で点検し、停止の権限と手順を決めておくこと。公開範囲は営業上の利便性だけで決めず、経営層が承認する事項とすべきです。
信頼できる経路に対価を払うという判断
本稿は2026年10月13日時点で確認できた公表内容に基づいており、文中の数字はいずれもAnthropic自身の評価です。名指しされた企業側の説明も含め、今後の検証を待つ必要があります。それでも、利用するAIは契約経路と再委託先を確認できるものを選び、公開するAIは写し取られる前提で情報の出し方を設計する、という原則は変わりません。その管理費用を、削るべき経費ではなく、事業の信用を保つ原価として予算に組み込むことが、経営者に求められる判断です。