米政府が9月8日に公表した文書に、こんな一節があります。悪意ある蒸留が疑われる相手には応答の質を落とし、その切替は知らせるな。中国のAI企業6社を名指しした勧告として報じられていますが、運用を求められているのは米国のAI企業のほうです。読者の多くは、その提供を受ける側にいます。
NSA、CISA、FBIは2026年9月8日、中国拠点のAI企業が米国のフロンティアAIモデルに対して産業規模の知識蒸留を行っているとする共同サイバーセキュリティアドバイザリー「AA26-251A」を公表した。名指しされたのはDeepSeek、Moonshot AI、Alibaba、MiniMax、StepFun、Z.AIの6社である。
3機関は、中国政府の認識のもとで行われた可能性が高いとしたうえで、6社が2024年後半以降、Claude、GPT、Gemini、Grokの各派生モデルから数百万回のやり取りを通じて数十億トークンを抽出したと述べている。米AI企業には、検知と緩和の実装、疑わしい要求への応答変更、組織横断の情報共有という3つの即時対応を求めている。
【編集部解説】
米国政府が中国のAI企業による蒸留を問題視していること自体は、新しい話ではありません。2026年2月にはAnthropicが3社を名指しし、7月にはホワイトハウス科学技術政策局のマイケル・クラツィオス（Michael Kratsios）局長が、Moonshot AIによるClaude Fable 5からの蒸留疑惑に言及しました。OpenAIも同時期、蒸留の疑いからAlibaba系ユーザーのAPIアクセスを停止し、その事実を米政府に報告したと説明しています。
今回が違うのは、同じ主張が連邦政府の正式なサイバーセキュリティアドバイザリーという形式をとり、6社の企業名と、蒸留されたとされる個別のモデル名までが表として列挙された点です。企業の告発でも高官の発言でもなく、脅威情報として文書化された。ランサムウェアやゼロデイ脆弱性と同じ棚に、AI企業の商業活動が並べられたことになります。
ただ、この文書でいちばん読者の生活に近い記述は、名指しの部分ではありません。緩和策の章にあります。
3機関は、悪意ある蒸留だと確信度高く判断した要求に対して、応答そのものを変えることを推奨しています。推論の深さを浅くする、正しい情報を別の推論で提示する、文体を不揃いにする。しかも、要求ごとに変更内容を変え、明白なアラートを引き起こさない程度にとどめる。ここまでは技術的な話です。
問題は次の一文です。切替をユーザーに通知しないこと、と明記されています。理由も書かれていて、通知すれば回避策を改善され、いつ訓練を巻き戻せばよいかを教えてしまうから、とされています。つまり、応答を切り替えた事実を、提供者の側から本人には知らせないという設計です。
そのうえで、この文書は一本だけ、はっきりと線を引いています。AI安全性の研究者と第三者評価者には、モデルの変更を知らせるべきだ、と。同じ章のなかで「知らせない相手」と「知らせる相手」が分けられている。評価の再現性だけは守らなければ、モデルの安全性を測る営み自体が成立しなくなる。その判断が明文化されたことは、外部評価という仕組みの重みを示していると読めます。
では、自分が「知らせない相手」に分類されないと、どうすれば分かるのか。ここで検知指標を見ると、この文書には固定のIPアドレスやハッシュのような具体的な侵害指標の一覧がありません。代わりに示されるのは、振る舞いと利用状況、そしてアカウントや通信のメタデータのパターンです。複数のIPやユーザーエージェントから使われる共有アカウント、人間らしい変動やアイドル期間のない24時間利用、契約数に比べて異常に大きいAPI利用、契約直後からの最大利用。夜間バッチでエージェントを回し、チームでプレミアム契約を共有している開発現場なら、いくつかは形式的に一致してしまいます。
文書自身も、そこは織り込んでいます。複数の事業者や経路をまたいで活動を相関させれば帰属の確度が上がり、正当な利用者へのリスクを抑えながら応答を劣化させる判断を支えられる、と書かれています。裏を返せば、相関に頼らずに判断すれば、その支えがないまま運用することになります。この文書が個社の防御ではなく業界横断の情報共有を繰り返し求めているのは、精度の問題として筋が通っています。
もう一つ、2025年以来の議論の土台を動かす記述があります。DeepSeek-V3の訓練費として広く引かれてきた560万ドルという数字です。アドバイザリーは、この数字がDeepSeek-V3のテクニカルレポートに由来することを脚注で示したうえで、悪意ある蒸留で取得したデータの費用を含まないため、開発費の全体像としては誤解を招くと述べています。2025年以降、この数字は中国のAI開発の効率性を象徴する値として繰り返し引かれてきました。その前提に、米国の政府機関が正面から異議を唱えた形です。
ただし、代わりの推計額は示されていません。否定されたのは560万ドルという計算そのものではなく、それを開発費の全体像として扱うことの妥当性です。「では全体でいくらだったのか」という問いは、開いたままになっています。
同じことは、帰属の根拠についても言えます。文書は中国政府が認識していた可能性が高いと限定していますが、分析上の確度も、判断を支えたテレメトリなどの根拠も公開していません。司法の判断ではなく当局の評価である以上、6社は現時点で当局から名指しされた企業であって、違法行為が司法によって認定された企業ではありません。
中国側はすでに反応しています。商務省の報道官は9月9日、この公告について、事実の裏付けも法的根拠もないとする談話を出しました。蒸留はモデル同士が互いに学び合う業界通行の手法であり、本質的には中立的な技術で、米国企業を含む世界の各社が使っている、という主張です。あわせて、安全保障機関に公告を出させることは個別企業や資本の利益を国家安全保障に結びつけるものだと批判し、米国の一部のAI企業が優位な地位を濫用して利用規約に広範な地域制限などの条項を設けている、今回の告発にはそれを追認する疑いがある、とも述べています。今回の文書に対する6社それぞれの反応は、現時点では確認できません。
両者が共有しているのは、蒸留という技術そのものがAI開発で広く使われているという認識と、地域制限が実在するという認識、そのくらいです。米側は利用規約や地域制限を回避した大規模な活動を悪意ある蒸留と位置づけ、中国側はその事実認定自体に根拠がないと反論しています。地域制限という同じ一点についてだけは、双方が存在を認めたうえで、一方は迂回されてはならない防御線、もう一方は優位な地位の濫用と、評価が正反対に割れている。争点は技術の是非にとどまらず、今回の活動が実際にあったのか、それを誰がどの根拠で認定するのかというところにあります。
原典を自分で読む人のために、一点だけ補足します。本文の列挙と、企業別にまとめたTable 1の列挙は、完全には一致していません。たとえばMoonshot AIについて、本文はKimi-K2の訓練根拠としてGPT-4oを挙げますが、表にGPT-4oの記載はありません。DeepSeekは本文が「Claude 3.7」、表が「Claude Sonnet 3.7」です。モデル名を引用するときは、どちらの記載を指しているのかを確かめたほうが安全です。
そのうえで、この文書が本当に求めているものは何か、と考えると、名指しよりも最後の章のほうが射程は長いように思えます。モデル提供者、クラウド事業者、APIアグリゲーター、インフラ事業者が指標を持ち寄らなければ、分散された活動は個々の異常にしか見えない。3機関はそう述べ、インフラ指標と行動指標を共有する枠組みを求めています。
これは、各社の内側に分散している運用データを、防御のためにどこまで持ち寄れるかという問いでもあります。日本の事業者にとっても遠い話ではありません。フロンティアモデルを再販・中継する立場にあるなら、モデル提供者との情報共有をどう設計するか、そして自社の利用が正当だと説明できる運用体制をどう持つかが、これから課題になります。
蒸留は本来、大きなモデルの能力を小さなモデルに移し、手元で速く動かすことを可能にしてきた技術です。その名前が国家の脅威情報の文書に載った今、正当な蒸留と悪意ある蒸留を分ける線をどこに引くのか。それを決めるのは当局の文書ではなく、業界がこれから積み上げていく作法のほうだと思います。
【関連記事】
OpenAI・Google、1260Hリスト企業のシンガポール法人へAI提供
OpenAIがAlibaba系ユーザーのAPIを蒸留の疑いで停止し、その事実を米政府に報告した経緯を扱った記事。
Kimi K3のウェイト公開
Kimi K3のウェイト公開に際し、OSTP局長がClaude Fable 5からの蒸留疑惑を主張した経緯をまとめている。
Anthropicが描く2028年、米中AI競争の2つのシナリオ
Anthropicが2026年2月に中国企業3社を名指しした件を含む、米中AI競争の2つのシナリオを扱った特集記事。
【編集部後記】
商務省の談話には、記事本文で扱わなかった一行が混じっています。米国企業自身の研究報告が、中国モデルを大量に蒸留したと開示している、というものです。
どちらの言い分が正しいかは、ここでは決められません。ただ、蒸留を「される側」と「する側」の配置は、思っているほど固定されていないのかもしれません。次にこの言葉を見かけたら、誰が誰から何を取ったと言っているのか、主語を確かめてみるつもりです。
【用語解説】
知識蒸留（蒸留）
大きなモデルの出力を教師データとして、別のモデルに能力を移す手法。学習効率を上げ、小型で高速なモデルをつくる目的で広く使われる正当な技術である。今回の文書は、この一般的な蒸留と、利用規約に反して制限された機能を抽出する「悪意ある蒸留」を明確に区別している。
フロンティアAIモデル
その時点で最も高い性能を持つ最先端の大規模モデルを指す語。文書ではClaude、GPT、Gemini、Grokの各系統がこれにあたる。
共同サイバーセキュリティアドバイザリー
米国の複数の政府機関が連名で発する、脅威情報と防御策の勧告文書。法的な認定や制裁ではなく、事業者への注意喚起と技術的な推奨を目的とする。
侵害指標
攻撃の痕跡を示す具体的なデータ。IPアドレス、ドメイン名、ファイルのハッシュ値などが典型で、防御側はこれを照合して検知する。IoC（Indicator of Compromise）とも呼ばれる。
テレメトリ
システムやサービスが自動的に収集・送信する稼働データ。誰がいつ何をどれだけ使ったかの記録を含み、不正利用の分析では帰属判断の基礎資料になる。
ユーザーエージェント
ブラウザーやアプリがサーバーに送る、自らのソフトウェア名やバージョンを示す文字列。同一アカウントが多数の異なるユーザーエージェントから使われていれば、複数人・複数端末による共有が推定できる。
APIアグリゲーター
複数のAIモデルへのアクセスを一つの窓口にまとめて提供する仲介事業者。開発者は接続先を切り替えずに複数モデルを使えるが、モデル提供者から見ると、実際の利用者が誰かを把握しにくくなる。
第三者評価者
モデルの開発元から独立した立場で、性能や安全性を検証する組織・研究者。評価の前提が変わると結果の再現性が失われるため、文書は評価者にはモデルの変更を知らせるべきだとしている。
トークン
モデルが文章を処理する際の最小単位。単語や文字のまとまりに相当し、やり取りの量を測る尺度として使われる。
【参考リンク】
CISA（米サイバーセキュリティ・インフラセキュリティ庁）（外部）
米国の重要インフラ防護を担う政府機関。今回の共同アドバイザリーを発表した3機関のひとつで、脅威情報と防御策を随時公開している。
中華人民共和国商務部（外部）
中国の通商・貿易政策を所管する官庁。9月9日、今回の公告には事実の裏付けも法的根拠もないとする報道官の談話を公表している。
Anthropic（外部）
Claudeシリーズを開発する米国のAI企業。2026年2月に中国企業3社による蒸留を最初に公表した当事者で、検知手法も公開している。
OpenAI（外部）
GPTシリーズを開発する米国のAI企業。蒸留の疑いを理由にAlibaba系ユーザーのAPIアクセスを停止した経緯を説明している。
DeepSeek（外部）
今回名指しされた中国のAI企業。V3やR1などのモデルを公開しており、訓練費をめぐる今回の議論でも中心に置かれ続けている。
Moonshot AI（外部）
Kimiシリーズを開発する中国のAI企業。Claude Fable 5とGPT-4oからの蒸留を指摘された当事者にあたる。
【参考記事】
商务部就美发布中国人工智能企业对美蒸馏活动相关网络安全公告答记者问（外部）
商務省サイトから転載された報道官談話の全文。利用規約の地域制限への批判から、対抗措置の予告までを含んだ内容になっている。
商务部回应美发布中国人工智能企业对美蒸馏活动相关网络安全公告（外部）
新華社による同じ談話の報道。9月9日付で、談話の要旨を国営通信社の側がどう整理したのかを、合わせて確認することができる。
CISA, NSA, and FBI Warn China-Based AI Companies Targeting US AI Models with Industrial-Scale Knowledge Distillation（外部）
CISAによる公表時のプレスリリース。アドバイザリー本文には載っていない、機関代表者による短いコメントが添えられている。
真相丨中国AI靠蒸馏“窃取美国知识产权”？（外部）
7月27日の商務省談話を含む中国側の反論記事。今回の公告に先立つ2か月前の応酬と、そこでの主な論点を確認することができる。
DeepSeek-V3 Technical Report（外部）
560万ドルという数字の出所。2.788M H800 GPU時間という訓練規模が記載された、DeepSeekの技術レポート。
