中国軍研究者、米国の最先端AIモデルを「蒸留」して国防システムを構築——その実態と米中対立への影響

文書で確認された軍事用途

Reutersの調査と、ワシントンに拠点を置くJamestown財団がまとめた資料によると、蒸留は以下のような防衛関連AIシステムに利用されていました :

• 監視システム — 偵察および情報分析用AI
• サイバー戦ツール — 自動攻撃・防御システム
• 無人機・戦術作戦 — 自律型ドローンスウォームや戦場判断支援
• 軍用車両 — 中国の国営防衛企業・北方工業（Norinco）は、DeepSeek（これも蒸留心で構築）を搭載し、時速50kmで走行可能な自律型戦闘支援車両を公開

例えば、中国人民解放軍（PLA）の部隊番号96904に所属する研究者による論文では、米国モデルを蒸留して「より小型で安全な」防衛用バージョンを作成したと明確に記述されています 。また、北京にある軍事情報・サイバー戦部隊であるPLA部隊96941の論文では、OpenAIのGPT-3.5を使用して機密性の高い軍事用ソースコードを処理したことが記されています 。さらに、国防科技大学（PLA所属）による2024年の論文では、蒸留を用いて画像処理モデルを小型化し、リソースに制約のある軍事用ハードウェアに展開する方法が記述されています 。

低コストで中国の防衛AIを加速させる仕組み

蒸留の戦略的最大の利点は経済性です。フロンティアAIモデルをゼロから訓練するには、数十億ドルの費用と、何年にもわたる研究開発、膨大なデータセット、そして先端半導体チップへのアクセスが必要です。蒸留により、中国の研究者はそのほとんどすべての投資を回避できます 。

フロンティアモデルにAPI経由でクエリを送る際、偽のアカウントを作成し、プロキシネットワークを使ってレート制限を回避しながら実行することで、中国の開発者はごくわずかなコストで同じ能力を抽出できるのです。Anthropicの調査では、約24,000の不正アカウントを通じて1,600万以上のやり取りが生成され、Claudeのエージェント推論、ツール使用、コーディング能力が標的にされたことが確認されています。中国のAI開発企業MiniMaxは、そのうち1,300万以上のやり取りを単独で行っていました 。

産業規模の窃取疑惑と米国政府の対応

この証拠を基に、告発と政策対応の応酬が激化しています:

• 2026年2月: OpenAI、Anthropic、Googleがそれぞれ、中国企業DeepSeek、Moonshot AI、MiniMaxによる組織的な蒸留キャンペーンの証拠を公表 。Anthropicはこれを意図的な「蒸留攻撃」作戦と表現 。
• 2026年4月: 米国下院委員会の公聴会で、OpenAIのメモが提示される。そこでは、複数のAPIアカウント、プロキシネットワーク、行動模倣を用いて検知を回避する「洗練された多段階の蒸留パイプライン」の詳細が明かされた 。
• 2026年6月: AnthropicがAlibabaに対し、同社のClaudeモデルに対する過去最大級の侵害である蒸留キャンペーン（4月22日～6月5日に実施）を非難 。
• 2026年7月: 米国のスコット・ベセント財務長官は、中国のAIラボMoonshotがAnthropicの先端モデル「Fable 5」から蒸留したと非難し、制裁の可能性に言及 。商務省産業安全保障局（BIS）は、中国企業が違法に米国の先端チップにアクセスしていないかも調査中 。

蒸留技術の本質的な限界

近道的な有効性にもかかわらず、モデル蒸留には軍事用途にとって重要な技術的限界があります:

• 知識の上限: 蒸留された生徒モデルは、コピー元の教師モデルの能力を基本的に超えることはできません。教師の強みを受け継ぐ一方で、その盲点やエラーパターンも継承します 。
• 反復蒸留による劣化: 蒸留を繰り返すたびに、出力の忠実度は低下します。微妙な推論、稀な知識、そして繊細な安全整合は、世代を経るごとに劣化します 。
• 安全整合（ガードレール）の侵食: 軍事利用にとって最も懸念される限界です。学術研究によると、ソフトラベル蒸留は、タスク性能を維持しながらも、教師モデルと比較して生徒モデルの安全ガードレールを最大50%低下させる可能性があります 。蒸留されたモデルは、フロンティアモデルが持つ堅牢な拒否行動や無害性の訓練を欠いていることが多いのです 。Anthropicが指摘するように、「違法に蒸留されたモデルは必要な安全策を欠いており、重大な国家安全保障リスクを生み出す」のです 。
• 防御回避の限界: 現在の防御策（出力摂動、データポイズニング、レート制限など）は、多段階パイプラインと分散抽出技術を用いる執拗な攻撃者に対しては、ほとんど効果がありません 。

安全保障リスクとエスカレートするAI軍拡競争

能力の窃取と安全性の劣化が組み合わさることで、危険な力学が生まれています:

• 安全でないAIの拡散: 安全整合を剥奪された蒸留モデルは、元の米国企業が利用規約で明示的に禁止している軍事・監視目的に展開される可能性があります 。
• 米国の技術的優位性の喪失: 蒸留により、敵対者は何年分もの独自研究開発を飛び越えることができ、フロンティアAIにおける米国のリードを侵食します 。
• 検知が困難な窃取: ブラックボックスAPIからの蒸留攻撃は、通常の大量API使用と区別が難しく、攻撃元の特定と執行を困難にしています 。
• 対抗措置のエスカレーション: 双方がますます攻撃的な対抗措置を展開しています。2026年3月、AnthropicはClaude Codeにトラッキングコードを埋め込み、中国ユーザーを特定しようとしました 。お互いのAI活動を敵対的なものとみなす「安全保障のスパイラル」リスクが高まっています 。

米中テック分断への影響

進行中の蒸留戦争は、米中間のAI分野での分断を複数の側面で加速させています 。先端チップに対するより厳格な輸出規制、APIアクセス制限、開発者アカウントのKYC（本人確認）要件、そして金融制裁の可能性がすべて検討されています 。

中核的な戦略リスクは明白です。蒸留により、中国軍は米国のAI投資をほんのわずかなコストで防衛用途に寄生（パラサイト）することができ、さらに、そのプロセスに内在する安全性の劣化が、より制約の少ない、より危険な軍事用AIシステムを生み出す可能性があるという点です。