米国家安全保障局（NSA）、サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）、連邦捜査局（FBI）は2026年9月8日、中国AI企業6社が米国の最先端モデルから数百万件規模のリクエストを通じて数十億トークンを不正抽出し、自社モデルの蒸留に利用したとする共同勧告を公表した。経済産業省が主導するAIセーフティ・インスティテュート（AI-SI）を中心とした国内基盤モデル開発でも、API悪用対策と推論防衛の設計が急務となる。
米政府が告発した中国AI企業6社の蒸留活動と時系列
米政府機関が連名で発行した共同サイバーセキュリティ勧告（AA26-251A）では、ディープシーク（DeepSeek）、ムーンショットAI（Moonshot AI）、アリババ（Alibaba）、ミニマックス（MiniMax）、ステップファン（StepFun）、Z.AIの6社が特定された。各社は2024年後半から、プロキシーネットワークや数万件規模の架空アカウントを組織的に運用し、アンソロピック（Anthropic）のClaudeやオープンAI（OpenAI）のGPTシリーズから大量の推論データを抽出していた実態が示されている。
今回の政府勧告に至る背景には、民間AI各社による継続的なアクセス遮断と議会への報告があった。
| 時期 | 発表主体 | 主要な出来事と観測された活動規模 |
|---|---|---|
| 2026年2月23日 | Anthropic | DeepSeek、Moonshot AI、MiniMaxが約2万4000件のアカウントを使い1600万回超のやり取りを実施したと公表 |
| 2026年6月〜7月 | Anthropic / 米議会 | Alibaba関連事業者が約2万5000件のアカウントで2880万回超の通信を実行したと報告 |
| 2026年7月21日 | 米財務省 | スコット・ベセント（Scott Bessent）財務長官が蒸留行為を知的財産侵害として制裁検討を表明 |
| 2026年9月8日 | NSA / CISA / FBI | 共同サイバー勧告（AA26-251A）を発行し中国AI6社を正式指定 |
| 2026年9月9日 | 中国外交部 / 商務省 | 米国の指摘を産業独占を目的とした二重基準と主張し反論 |
抽出の標的となったモデルは、クロード（Claude）とGPTが名指しされた全6社に及ぶ。グーグル（Google）のGeminiは3社、xAIのGrokは2社の標的となった。さらに、Claude Fable 5の出力データがKimi K3の訓練に、ClaudeやGPT、GeminiのデータがDeepSeek-R1やV3の学習データセット生成に転用されていた事実が特定されている（GPT-5.5やClaude Opus 4.8からの抽出はZ.aiで確認されている）。
米政府は勧告の中で、DeepSeekが公表した学習コスト「560万ドル」に対し、米国側モデルからの大規模な知識蒸留によって浮いた先行投資コストが計算に含まれていない点へ直接言及した。
参考記事: 中国AIは本当にOpenAIに追いついたのか？DeepSeekとKimi K3がもたらすアーキテクチャ転換と実用化…
プロキシー網を用いたデータ抽出手法とAPI防御の技術的条件
中国AI各社が実行したデータ抽出は、単なるWebスクレイピングではない。APIアクセス制限を組織的に迂回し、フロンティアモデルの「推論思考プロセス（Chain of Thought）」を狙い撃ちした産業規模の知識蒸留（Knowledge Distillation）である。
[攻撃側: 中国AI開発事業者]
│
▼ (分散アクセス制御)
[数万件の使い捨て決済・架空アカウント群]
│
▼ (地域制限・IPブロックの回避)
[中継プロキシー網 (Transfer Stations / 2万件超同時運用)]
│
▼ (推論トークン・CoTの大量リクエスト)
[標的: 米国フロンティアモデル (Claude / GPT-5.5 / Gemini)]
│
▼ (数十億トークン規模の高品質データ抽出)
[自社オープンウェイト / 小型モデル (R1, Kimi K3等) の強化学習・蒸留]
住宅用プロキシーと決済偽装による検知網の回避
Anthropicの追跡調査によると、1つのプロキシーネットワークが同時に2万件を超えるアカウントを制御していた事例が確認されている。攻撃側は一般家庭のIPアドレスを経由するレジデンシャルプロキシーや「中継拠点（Transfer Stations）」を挟み、接続元が中国本土であることを隠蔽した。
また、同一クレジットカードでの連続決済や不自然なAPIキー発行を回避するため、仮想プリペイドカードや少額決済を分散実行する自動化スクリプトが使われた。これにより、プラットフォーム側の不正利用検知システム（Fraud Detection）の閾値を下回りながら、数カ月にわたり数千万件のAPI呼び出しを継続させた。
出力トークンの意図分析と動的応答劣化技術
APIプロバイダーがこの種の蒸留攻撃を遮断するためには、単純なレートリミット（接続回数制限）だけでは機能しない。開発企業には以下の3つの技術的対応策が求められている。
- クエリのクラスタリング解析: ユーザー入力が特定の推論パターンを網羅的に網羅・サンプリングしようとする合成データ生成プロンプトかをリアルタイム判定する。
- 応答品質の動的劣化（Degrading Responses）: 蒸留目的と判定されたアカウントに対し、接続を即座に遮断せず、回答の論理性やトークン多様性を密かに低下させ、学習用データセットとしての価値を破壊する。
- 暗号論的ウォーターマーク（Watermarking）: 生成トークンの出現確率分布に特定の統計的偏りを埋め込み、競合モデルがそのデータを学習に利用した際に事後検出できるようにする。
CISAのニック・アンダーセン（Nick Andersen）代行長官は、AI企業各社に対して悪意あるクエリへの応答品質を動的に劣化させる防衛策の実装を公式に推奨している。しかし、これらの防御機能はAPIの推論レイテンシを増大させ、トラフィック検査のコンピュートコストを押し上げる要因となる。
参考記事: AIセキュリティとは？NIST基準から学ぶ脆弱性対策と組織防衛の実践ステップ
日本のAI事業者が直面するAPIガバナンスと調達リスク
米当局による今回の告発は、AI開発における地政学リスクが半導体の物理的輸出規制から、推論APIを介したデータ流通層の規制へと移行したことを示している。日本の技術責任者や事業責任者は、以下の構造的変化を前提にシステムを再設計しなければならない。
APIアクセスの厳格化とKYCコストの増大
米国の大手AI事業者は、法人アカウントの登録要件を大幅に厳格化する方向へ舵を切っている。すでに金融業界で導入されている顧客確認（KYC: Know Your Customer）と同様の本人確認プロセスが、AI開発プラットフォームでも標準化されつつある。
日本の開発現場においても、従来の「クレジットカードとメールアドレスのみで即日発行できるパブリックAPI」に依存した開発フローは見直しを迫られる。審査期間の長期化や、従量課金APIの価格転嫁（セキュリティコストの上乗せ）を想定した予算配分が必要となる。
蒸留モデルの商用利用に伴う法的・知財リスク
米財務省のスコット・ベセント長官は、蒸留によって構築されたモデルやその開発元企業に対し、金融制裁やエンティティ・リスト（輸出管理対象リスト）の適用を検討している。
国内企業が「低コストかつ高性能」を理由に安易に採用したオープンウェイトモデルが、将来的に米国の二次制裁（セカンダリー・サンクション）の対象となるリスクが浮上している。調達先モデルの学習データセット生成元や開発経緯の透明性を精査しないまま基幹システムへ組み込む行為は、重大なサプライチェーンリスクを孕む。
参考記事: Anthropicの最新モデルに輸出規制を発動 業界からは「中国AIへの贈り物」と批判噴出
エンタープライズ開発者が取るべき具体的アクション
モデル提供側と利用側の双方が、新たなAPI防衛と選定基準を即座に導入する必要がある。
- 自社APIトラフィックの監査と異常アカウント検知の導入
自社でファインチューニングモデルや独自APIを外部提供している場合、同一プロキシー帯からの分散接続や、同一構造を持つクエリの連続送信パターンを可視化するログ監査基盤を構築する。
- 外部依存モデルの学習データ来歴（データ・プロベナンス）の確認
利用中のオープンウェイトモデルやサードパーティ製AIエンジンについて、フロンティアモデルからの不正な蒸留によって構築されたものではないか、開発元の公開技術文書およびライセンス条項を再照合する。
- プライベートホスティングとフォールバック体制の確立
米国の輸出規制強化やAPIアクセスの突発的な遮断に備え、自社占有型のクラウド環境（オンプレミスまたは専有インスタンス）上で動作する独立モデルを冗長系として確保するアーキテクチャ設計を進める。
参考記事: DeepSeekの1兆円調達が示すAIアーキテクチャの転換｜8兆円評価を支える技術と実装ロードマップ
出典: Yahoo!ニュース
出典: CISA公式発表
出典: CISAサイバー勧告（AA26-251A）
出典: NSA報道発表
出典: Anthropicリサーチ
