「盗まれた思考」攻撃：暗号化された推論ブロックが突破された衝撃とKimi K3論争の深層

2026年、2つの独立した研究チームが、最先端AIモデルの「隠された推論」の安全性を破る手法を発表しました。1つ目は「Reasoning Exposure Prompting (REP)」と呼ばれるプロンプト技術で、モデルの隠された思考過程（チェーン・オブ・ソート）をユーザーに見える出力に引き出します。2つ目は「Stolen Thoughts（盗まれた思考）」と名付けられたリプレイ攻撃で、OpenAI、Anthropic、GoogleのAPIが返す暗号化された推論ブロックの構造的な欠陥を利用します。これらの脆弱性は、中国のAIシステム、特にMoonshot社のKimi K3が米国のプロプライエタリなモデルを蒸留（ディスティレーション）して構築されたという継続的な論争に、新たな法科学的証拠を提供しています。

二つの相補的な攻撃ベクトル

Reasoning Exposure Prompting (REP) — 2026年5月30日、論文「Hidden Thoughts Are Not Secret: Reasoning Trace Exposure in LLMs」（arXiv:2606.00642）で発表。研究者のLu、Tsai、Tsai、Popa、Yuらは、プロバイダーが意図的に思考過程を隠蔽していても、軽量なインコンテキスト・プロンプト技術（シャドウモデル・プロンプティング）を用いることで、隠された推論をユーザー可視の出力に引き出せることを示しました。回収された推論過程は、小型モデルを蒸留するのに十分な詳細さを持っています。

「Stolen Thoughts」リプレイ攻撃 — 2026年8月10日～11日、論文「Stealing Reasoning Traces from Proprietary LLM APIs」（arXiv:2608.09867）で発表。研究者のPanfilov、Schmotz、Shumailov、Beurer-Kellner、Schaeffer、Prabhu、Geiping、Andriushchenkoらは、Anthropic、OpenAI、GoogleがAPIクライアントに返す暗号化された「思考」ブロックが、そのソースに適切に紐づけられていないという重大なアーキテクチャ上の欠陥を発見しました。これらのブロックは、ある会話から持ち出され、同じプロバイダーのより弱い兄弟モデルに「再生」されると、その最先端モデルの隠された推論を平文で出力します。この攻撃は異なるセッション間、異なるユーザーアカウント間、そして同じプロバイダーのエコシステム内の異なるモデル間で機能します。研究者らは、この手法がテストしたすべての主要なフロンティアAI企業で有効であることを確認し、回収された推論の長さはAPIが報告する隠された思考トークン数とほぼ1:1で一致したと述べています。

Kimi K3蒸留論争の証拠

抽出された推論過程は、モデル蒸留（より強力なモデルの出力を使って、より小さく安価な競合モデルを訓練する手法）のための高品質なトレーニング信号を提供します。この手法は、中国のAIラボを巡る激しい論争の中心にあります。

• Anthropicは、DeepSeek、Moonshot、MiniMaxを含む中国のAIラボが、約24,000の不正アカウントを使ってClaudeとの間で1,600万以上のやり取りを生成し、アクセス制限を回避していたと公に声明を発表しています。
• Moonshot AIが2026年7月にリリースしたKimi K3は、ジェームズタウン財団によって蒸留によって構築された特定のモデルとして挙げられており、その性能はAnthropicのClaude Fable 5やOpenAIのGPT-5.6 Solに匹敵すると主張されています。
• Ryan Greenblatt（Redwood Research）は、クロスエントロピー比較を用いた統計分析を発表し、Kimi K3の出力がAnthropicのClaudeモデルの出力と非常に近いことを示唆しています。
• ホワイトハウスの科学顧問Michael Kratsiosは、Moonshotが「秘密の産業的蒸留」によってKimi K3を構築したと公に非難しています。

しかし、この証拠は決定的なものではありません。Braden Hancock（Laude Institute）やNathan Lambert（Allen Institute for AI）を含む研究者は、蒸留だけではKimi K3の全能力を説明できないと主張しています。また、広く拡散された、思考過程の蒸留の証拠とされるPDFは、限定的な実験と根拠のない主張を組み合わせたものとして批判されました。

脆弱性がもたらすセキュリティリスク

この欠陥は、知的財産権の侵害以外にも、複数の具体的なリスクを引き起こします。

• 認証情報と個人識別情報の漏洩: 研究者らは公開リポジトリからスクレイピングした315,320件の推論ブロックをデコードし、推論過程内に埋め込まれていた367件の個人識別情報と182件の認証情報（APIキーやパスワードを含む）を回収しました。
• アンチ蒸留機能の回避: 抽出を可能にするのと同じ脆弱性が、プロバイダー自身の蒸留防止策も無効化します。
• 有害な振る舞いの転移: 別の論文（「Hidden in Thought: Transferable Chain-of-Thought Artifacts Induce Harmful Behavior」）では、転写された推論過程が、最も脆弱なオープンソースモデルにおいて有害な応答率を80%以上に引き上げることが示されています。
• 隠されたプロンプトの露出: エージェント開発者が安全だとして保持・公開する不透明な推論フィールドには、隠されたシステム命令や認証情報が含まれている可能性があります。

OpenAI、Anthropic、Googleの対応

3社は全て、「Stolen Thoughts」の研究者から事前に連絡を受けていました。報道によると、OpenAI、Anthropic、Googleは通知を受けた後、クロスモデル推論攻撃をブロックしました。緩和策の具体的な詳細は公開された情報源では完全には開示されていませんが、この脆弱性は修正前に3社全てのAPIに存在することが確認されました。攻撃が「ブロックされた」ということは、各社がサーバーサイドの修正（暗号化された推論ブロックが異なるモデルコンテキストやアカウント間で再利用されるのを制限するなど）を実装したことを示唆しています。

Anthropicは、中国のラボがClaudeの出力を抽出するために使用した24,000の不正アカウントと1,600万のやり取りについて報告し、大規模な蒸留と公に戦っていました。

REPとStolen Thoughtsの両論文からの核心的な教訓は、推論過程を隠蔽したり暗号化したりすることは、本質的に脆弱なセキュリティ戦略であるということです。もし推論がモデルの重みの中に存在するならば、それは引き出されうるのです。