AIモデルへのアクセスを制限しても、その出力から能力の一部を別のモデルへ移せるなら、規制はどこまで機能するのでしょうか。中国の軍事研究で確認されたモデル蒸留の事例から、AI企業の管理と輸出規制が抱える限界を考えます。
中国人民解放軍などに関係する研究者が、OpenAIのGPT-3.5やAnthropicのClaude 3 Haikuの出力を利用し、中国国内の小型AIモデルを訓練していたことが、Reutersによる80件超の論文・特許の調査で判明した。
用途には軍用コード処理、監視、ドローン映像解析、海上作戦での標的認識が含まれる。モデル蒸留は計算資源を抑えて特定能力を移せる一方、安全対策が失われる可能性や、元モデルの能力を完全には再現できない限界も指摘されている。
From: 
Exclusive-Chinese military researchers tap US AI models to train defence systems
【編集部解説】
今回の問題は、モデル蒸留という技術そのものが軍事技術だということではありません。モデル蒸留は、高性能なAIの出力を学習データとして利用し、特定用途に適した小型モデルを作る一般的な手法です。Reutersの調査が示した争点は、米国企業のAIから得た出力や推論能力が、提供企業の管理を離れ、中国の軍事・安全保障関連システムへ移されていた可能性にあります。
クラウド上のAIサービスでは、提供企業が利用者のアカウントを停止し、入力内容を制限し、不審なアクセスを検知できます。しかし、モデルが生成した回答や要約が外部へ保存され、別のモデルの訓練データに使われると、その後の利用を直接管理することは難しくなります。元のAIに組み込まれた安全対策も、出力を学習した別のモデルへ自動的に引き継がれるわけではありません。
OpenAIの現在の利用ポリシーでは、武器の開発・調達・使用や、同社の審査と承認を受けていない国家安全保障・情報活動への利用が禁止されています。規約違反や安全対策の迂回が確認された場合、利用停止などの措置を取る方針も示されています。
Anthropicも国家安全保障上の理由から、中国国内や中国企業の国外子会社にClaudeの商用アクセスを提供していません。一方、同社が公表した調査では、AI開発組織が代理サービスや多数の不正アカウントを使い、アクセス制限を迂回していたとされています。単独のアカウントを止めても別のアカウントへ切り替えられるため、地域制限だけで大規模な能力抽出を完全に防ぐことは困難です。
Anthropicは対策として、API通信のパターンを分析する分類器、複数アカウントを横断した行動分析、利用者確認の強化、クラウド事業者や他のAI企業との情報共有を挙げています。個々の質問内容ではなく、同じ能力を狙う大量かつ反復的なリクエストを検出する考え方です。
米国の輸出管理では、軍事・情報活動や大量破壊兵器関連の用途に使われると認識した場合、高性能計算用ICや関連製品の輸出・移転、米国人による技術支援などに許可が必要となる可能性があります。ただし、こうした規制は用途や利用者などの条件に基づくものであり、一般的なクラウドAIの利用全体を一律に禁止するものではありません。
計算資源の輸出を制限することと、クラウドAIが生成する出力の再利用を防ぐことは同じではありません。最先端モデルを一から訓練するための半導体を入手できなくても、既存モデルの出力を大量に集め、用途を限定した小型モデルへ能力の一部を移すことは可能です。今回の事例は、半導体やモデルの重みを管理しても、AIの能力が出力を通じて移転する経路までは自動的に閉じられないことを示しています。
一方で、モデル蒸留によって元モデルの能力をすべて再現できるわけではありません。特定の分類、コード処理、画像認識などに用途を絞ることで、小型モデルを限られた端末上で動かしやすくなる反面、元モデルが持つ汎用的な能力を完全に再現できるわけではありません。今回確認された研究が、実際の軍事作戦でどの程度運用されているのか、性能がどこまで再現されているのかは明らかになっていません。
AI企業が実施できる対策には、地域制限、本人確認、API通信のパターン分析、複数アカウントを横断した行動分析、クラウド事業者や他社との情報共有などがあります。しかし、第三者のクラウド事業者、代理サービス、研究機関、政府機関をまたいで出力が流通する場合、1社だけで利用先を把握することには限界があります。
日本の企業や研究機関にとっても、これは海外の軍事研究だけの問題ではありません。外部AIの出力を社内モデルの訓練や評価へ使用する場合、提供元の利用規約、知的財産権、機密情報の扱い、モデルが将来どの用途に転用されるかを確認する必要があります。利用条件はサービスと契約形態によって異なり、OpenAIは一定の例外を除き、出力を競合AIモデルの開発に使うことを禁止しています。
現時点では、Reutersが確認した個々の研究について、どの経路で米国製AIへアクセスしたのか、各企業の規約に違反していたのか、輸出管理法上の違反が成立するのかまでは確定していません。今後の焦点は、モデル本体や半導体だけでなく、AIが生成した大量の出力や推論能力を、規制や契約上どのように扱うかです。
【関連記事】
Anthropicが描く2028年、米中AI競争の2つのシナリオ ─ 半導体規制が分ける未来
半導体の輸出規制と蒸留攻撃への対策を軸に、米中AI競争の行方を分析した記事。本記事の「計算資源を規制しても能力移転を完全には止められない」という論点を補完する。
AIは誰のために戦うのか？｜Anthropicの排除、OpenAIの電撃合意が問う軍事AIの境界線
米国防総省とAI企業の関係を通じて、監視や自律型兵器に対する企業の制限と軍事利用の境界を整理した記事。人間の判断と責任の所在を考える材料となる。
Anthropic Claude Code悪用事件｜中国ハッカーによる自動化サイバー攻撃の脅威
中国政府支援とされる攻撃者がClaude Codeを悪用した事例を解説。汎用AIの能力が提供企業の想定外の安全保障用途へ転用されるリスクを示している。
【編集部後記】
軍事や防衛の領域にも、AIが深く入り込む時代になりました。
判断を支援するだけでなく、標的認識や作戦立案にも使われる可能性があります。
そこで気になるのは、AIが誤った判断をした場合の責任の所在です。
開発した企業、導入した組織、最終判断を下した人間のうち、誰が責任を負うのでしょうか。技術が高度になるほど、人間の判断と責任の境界は曖昧になっていくように感じます。
AIの性能だけでなく、責任を引き受ける仕組みも同時に考える必要がありそうです。
【用語解説】
モデル蒸留
高性能な大規模モデルの出力を教材として、より小型で特定用途に適したモデルを訓練する手法。自社モデルの軽量化にも使われる一般的な技術だが、他社モデルの出力を規約に反して大量取得する場合は「蒸留攻撃」と呼ばれることがある。
モデルの重み
AIが学習によって獲得した内部パラメーター。モデルの振る舞いや能力を構成する数値群であり、APIを通じた利用では通常、利用者へ直接渡されない。モデル蒸留では、重みそのものではなく出力から能力の一部を別モデルへ移す。
輸出管理規則（EAR）
米国の製品・技術・ソフトウェアなどの輸出、再輸出、国内移転を管理する規則。用途や利用者を把握している場合、高性能計算用半導体や関連支援に許可が必要となることがある。
【参考リンク】
OpenAI（外部）
GPTシリーズを開発する米国のAI企業。本記事では、GPT-3.5の出力が中国の軍事関連研究に利用された事例と、サービスの利用ポリシーが論点となる。
Anthropic（外部）
Claudeシリーズを開発する米国のAI企業。中国向けアクセス制限や、複数アカウントを使った蒸留攻撃の検知・防止策を公表している。
米国商務省産業安全保障局（BIS）（外部）
米国の輸出管理を所管する機関。高性能計算用半導体やAIモデル訓練に関係する軍事・情報用途への規制方針を示している。
【参考記事】
使用に関するポリシー｜OpenAI（外部）
武器の開発・調達・使用や、承認を受けていない国家安全保障・情報活動、安全対策の回避などに対するOpenAIの現行利用制限を確認できる。
Detecting and preventing distillation attacks｜Anthropic（外部）
多数の不正アカウントを使った大規模な能力抽出の実態と、API通信の分類、アカウント横断分析、本人確認などの対策を説明する公式発表。
BIS Policy Statement on Controls that May Apply to Advanced Computing Integrated Circuits and Other Commodities Used to Train AI Models｜BIS（外部）
軍事・情報活動や大量破壊兵器関連用途を認識した場合に、高性能計算用ICや関連支援へ許可要件が生じ得る条件を整理した政策文書。
