リプレイ攻撃の仕組み

ユーザーがClaude Opus 4.8やGPT-5.6 SolのようなフロンティアモデルにAPI経由でクエリを投げると、モデルは内部でステップバイステップの推論（いわゆる「思考の連鎖」）を行い、その過程を暗号化されたテキストのブロックとしてクライアントに返します。その後の呼び出しでは、クライアントがこのブロックをAPIに送り返すことで、プロバイダー側で中間状態をサーバーに保存することなく、モデルが推論を継続できる仕組みになっています。

研究チームが発見したのは、これらの暗号化ブロックが特定のセッションやユーザー、さらにはモデルにすら紐づいていないという事実です。全セッション、全ユーザーで単一のグローバル暗号鍵が共有されていたのです。つまり、ある会話から取得したブロックを、全く別のコンテキストでリプレイすることが可能でした。肝心なのは、Claude Opus 4.8のような厳重なガードレールを持つフロンティアモデルのブロックを、同じAnthropicの低性能モデル（例：Claude Haiku）に流し込むと、ガードレールの弱い姉妹モデルがそのブロックの内容をそのまま復号して出力する点です。

この攻撃を実行するのに必要なAPIコールはわずか2回。1回は暗号化ブロックの取得、もう1回はそれを弱いモデルに流し込むためです。研究チームは、この攻撃が大規模に機能することを実証しました。

蒸留の状況証拠：Kimi K3の「異常な確率現象」

この攻撃はフロンティアモデルの推論過程を暴露しただけでなく、中国のAI企業Moonshot AIが自社モデル「Kimi K3」をアメリカのモデルの蒸留（実質的なコピー）によって訓練したのではないかという、長年にわたる議論に新たな証拠を提供しました。

研究チームはClaude Opus 4.8とGPT-5.6 Solから抽出した推論過程を、Kimi K3を含むオープンウェイトモデルの出力と比較しました。その結果、Kimi K3の出力には、ClaudeやGPTの推論過程と非常に密接に一致する「異常な確率現象」が見られたのです。

この証拠は状況証拠であり、決定的なものではありません。独立した研究者は、この発見は「ある中国モデルが米国モデルから推論情報を蒸留して訓練された可能性を示す、決定的ではないにせよ、一定の証拠を提供する」と述べています。さらに、Kimi K3に自己紹介をさせたところ、最初に「AnthropicのClaudeです」と名乗ったという示唆に富む事例も報告されています。

Kimi K3は、2026年7月16日にMoonshot AIがリリースした2.8兆パラメータのオープンウェイトモデルです。いくつかのベンチマークではClaude Opus 4.8を上回る性能を示していますが、無条件のリーダーというわけではありません。独立した評価機関「Artificial Analysis Intelligence Index」では、K3はスコア57で、Claude Fable 5の60、GPT-5.6 Solの59に及ばないという結果が出ています。Moonshot社自身も、K3はまだGPT-5.6 SolやClaude Fable 5に全体的に及ばないと、異例の正直さで認めています。

タイムラインをめぐる議論

蒸留疑惑は今に始まったものではありません。AnthropicとOpenAIは以前から、中国企業が組織的に自社モデルを蒸留していると非難してきました。中国の軍関係の研究論文や特許のレビューでは、中国人民解放軍の研究者がOpenAIやAnthropicのモデルの出力を国防目的の国内AIシステム訓練に使用していたことが明らかになっています。

Kimi K3のリリースは即座に論争を巻き起こしました。7月16日のリリースから数時間以内にAnthropicはMoonshotを非難し、その主張はホワイトハウスにまで届き、制裁の可能性が取り沙汰されました。

しかし、この蒸留主張には批判もあります。Claude Opus 4.8がリリースされたのはKimi K3の発表のごく最近のことです。独立研究者は、このタイムラインを考えると、単純なコピーは「あり得ない」と指摘します。なぜなら、リリースされたばかりのモデルから蒸留によって2.8兆パラメータのモデルを訓練するには、単に時間が足りなすぎるからです。Moonshot社は、K3は独自の研究から構築されたと主張しています。

セキュリティ脆弱性：機密データが平文で漏洩

同じアーキテクチャ上の欠陥は、現実的なセキュリティ脆弱性も露呈させました。フロンティアモデルは推論プロセスに資格情報や個人データを組み込むことがあるため、開発者が公開したエージェントセッションログ（その仕組みを知る者にとって）には、暗号化された推論ブロック内に機密情報が丸見えの状態で含まれていたのです。

2026年8月以前に公開された約7,000のエージェントセッションログを調査したところ、研究チームは62個の有効なAPIキー、33個のパスワード、その他の機密ユーザーデータ、合計704件のプライバシーアーティファクトを、これらの暗号化ブロック内から発見しました。GitHubなどの公開リポジトリに生のログを保存していた開発者は誰でも、誰にも読めないと思っていたブロックの中に、APIキーやパスワード、個人を特定できる情報を無自覚にさらしていた可能性があるのです。

研究者らは、この脆弱性によって可能となる4つの悪用経路を特定しています。隠された推論の再構築、エージェントトレースに埋め込まれた秘密の回復、検査不能なチャネルを介した命令の注入、そして期限切れでないブロックのクロスセッションリプレイです。

各社の対応：開示後のサーバーサイドパッチ

3社はすべて、研究チームが責任ある開示手続きを経た後、サーバーサイドでの軽減策を展開しました。研究チームはOpenAI、Anthropic、Google、Microsoft、Hugging Faceに調査結果を開示。各社が変更を実施した後、再現性確認テストにより、現在のAPIビルドでは主要な抽出テクニックがもはや成功しないことが確認されています。現在のドキュメントでは、ログを共有する前、または会話の途中でモデルを切り替える前に、推論ブロックを取り除くようアドバイスしています。

注目すべき点として、暗号研究者のMatthew Green氏が2026年5月に、このクロスセッションリプレイの脆弱性をOpenAIとAnthropicのバグ報奨金プログラムを通じて別途報告していましたが、今回の学術論文が発表されるまで、両社からは門前払いの対応を受けていたことが報じられています。

2026年8月時点でこれらのパッチは有効ですが、論文発表前に公開ウェブからすでに収集され、復号された推論ブロックを含む過去のセッションログは引き続きアクセス可能な状態にあります。

なぜこれが重要なのか

今回の「盗まれた思考」攻撃は、現代のAI API設計における根本的な緊張関係を浮き彫りにしました。プロバイダーはスケーラビリティとレイテンシー向上のために、推論状態の保存をクライアント側にオフロードしたいと考えますが、その状態をセッション、ユーザー、モデルをまたいで安全に保つための暗号学的なバインディングには、注意深い設計が必要です。Anthropic、OpenAI、Googleが採用した単一のグローバル暗号鍵によるアプローチは、近道であったがゆえに、これらのAPIとやり取りするすべてのユーザーと開発者に影響を及ぼすセキュリティとプライバシーの脆弱性を生み出したのです。

この攻撃はまた、エスカレートする米中AI蒸留をめぐる対立の只中に登場しました。Kimi K3に関する証拠は状況証拠に過ぎませんが、蒸留が大規模に行われている可能性を示すこれまでで最も強力な技術的証拠を提供し、政策立案者や研究者にAIモデルの出自を調査する新たなツールを与えました。

リプレイ攻撃の仕組み

ユーザーがClaude Opus 4.8やGPT-5.6 SolのようなフロンティアモデルにAPI経由でクエリを投げると、モデルは内部でステップバイステップの推論（いわゆる「思考の連鎖」）を行い、その過程を暗号化されたテキストのブロックとしてクライアントに返します。その後の呼び出しでは、クライアントがこのブロックをAPIに送り返すことで、プロバイダー側で中間状態をサーバーに保存することなく、モデルが推論を継続できる仕組みになっています。

研究チームが発見したのは、これらの暗号化ブロックが特定のセッションやユーザー、さらにはモデルにすら紐づいていないという事実です。全セッション、全ユーザーで単一のグローバル暗号鍵が共有されていたのです。つまり、ある会話から取得したブロックを、全く別のコンテキストでリプレイすることが可能でした。肝心なのは、Claude Opus 4.8のような厳重なガードレールを持つフロンティアモデルのブロックを、同じAnthropicの低性能モデル（例：Claude Haiku）に流し込むと、ガードレールの弱い姉妹モデルがそのブロックの内容をそのまま復号して出力する点です。

この攻撃を実行するのに必要なAPIコールはわずか2回。1回は暗号化ブロックの取得、もう1回はそれを弱いモデルに流し込むためです。研究チームは、この攻撃が大規模に機能することを実証しました。

蒸留の状況証拠：Kimi K3の「異常な確率現象」

この攻撃はフロンティアモデルの推論過程を暴露しただけでなく、中国のAI企業Moonshot AIが自社モデル「Kimi K3」をアメリカのモデルの蒸留（実質的なコピー）によって訓練したのではないかという、長年にわたる議論に新たな証拠を提供しました。

研究チームはClaude Opus 4.8とGPT-5.6 Solから抽出した推論過程を、Kimi K3を含むオープンウェイトモデルの出力と比較しました。その結果、Kimi K3の出力には、ClaudeやGPTの推論過程と非常に密接に一致する「異常な確率現象」が見られたのです。

この証拠は状況証拠であり、決定的なものではありません。独立した研究者は、この発見は「ある中国モデルが米国モデルから推論情報を蒸留して訓練された可能性を示す、決定的ではないにせよ、一定の証拠を提供する」と述べています。さらに、Kimi K3に自己紹介をさせたところ、最初に「AnthropicのClaudeです」と名乗ったという示唆に富む事例も報告されています。

Kimi K3は、2026年7月16日にMoonshot AIがリリースした2.8兆パラメータのオープンウェイトモデルです。いくつかのベンチマークではClaude Opus 4.8を上回る性能を示していますが、無条件のリーダーというわけではありません。独立した評価機関「Artificial Analysis Intelligence Index」では、K3はスコア57で、Claude Fable 5の60、GPT-5.6 Solの59に及ばないという結果が出ています。Moonshot社自身も、K3はまだGPT-5.6 SolやClaude Fable 5に全体的に及ばないと、異例の正直さで認めています。

タイムラインをめぐる議論

蒸留疑惑は今に始まったものではありません。AnthropicとOpenAIは以前から、中国企業が組織的に自社モデルを蒸留していると非難してきました。中国の軍関係の研究論文や特許のレビューでは、中国人民解放軍の研究者がOpenAIやAnthropicのモデルの出力を国防目的の国内AIシステム訓練に使用していたことが明らかになっています。

Kimi K3のリリースは即座に論争を巻き起こしました。7月16日のリリースから数時間以内にAnthropicはMoonshotを非難し、その主張はホワイトハウスにまで届き、制裁の可能性が取り沙汰されました。

しかし、この蒸留主張には批判もあります。Claude Opus 4.8がリリースされたのはKimi K3の発表のごく最近のことです。独立研究者は、このタイムラインを考えると、単純なコピーは「あり得ない」と指摘します。なぜなら、リリースされたばかりのモデルから蒸留によって2.8兆パラメータのモデルを訓練するには、単に時間が足りなすぎるからです。Moonshot社は、K3は独自の研究から構築されたと主張しています。

セキュリティ脆弱性：機密データが平文で漏洩

同じアーキテクチャ上の欠陥は、現実的なセキュリティ脆弱性も露呈させました。フロンティアモデルは推論プロセスに資格情報や個人データを組み込むことがあるため、開発者が公開したエージェントセッションログ（その仕組みを知る者にとって）には、暗号化された推論ブロック内に機密情報が丸見えの状態で含まれていたのです。

2026年8月以前に公開された約7,000のエージェントセッションログを調査したところ、研究チームは62個の有効なAPIキー、33個のパスワード、その他の機密ユーザーデータ、合計704件のプライバシーアーティファクトを、これらの暗号化ブロック内から発見しました。GitHubなどの公開リポジトリに生のログを保存していた開発者は誰でも、誰にも読めないと思っていたブロックの中に、APIキーやパスワード、個人を特定できる情報を無自覚にさらしていた可能性があるのです。

研究者らは、この脆弱性によって可能となる4つの悪用経路を特定しています。隠された推論の再構築、エージェントトレースに埋め込まれた秘密の回復、検査不能なチャネルを介した命令の注入、そして期限切れでないブロックのクロスセッションリプレイです。

各社の対応：開示後のサーバーサイドパッチ

3社はすべて、研究チームが責任ある開示手続きを経た後、サーバーサイドでの軽減策を展開しました。研究チームはOpenAI、Anthropic、Google、Microsoft、Hugging Faceに調査結果を開示。各社が変更を実施した後、再現性確認テストにより、現在のAPIビルドでは主要な抽出テクニックがもはや成功しないことが確認されています。現在のドキュメントでは、ログを共有する前、または会話の途中でモデルを切り替える前に、推論ブロックを取り除くようアドバイスしています。

注目すべき点として、暗号研究者のMatthew Green氏が2026年5月に、このクロスセッションリプレイの脆弱性をOpenAIとAnthropicのバグ報奨金プログラムを通じて別途報告していましたが、今回の学術論文が発表されるまで、両社からは門前払いの対応を受けていたことが報じられています。

2026年8月時点でこれらのパッチは有効ですが、論文発表前に公開ウェブからすでに収集され、復号された推論ブロックを含む過去のセッションログは引き続きアクセス可能な状態にあります。

なぜこれが重要なのか

今回の「盗まれた思考」攻撃は、現代のAI API設計における根本的な緊張関係を浮き彫りにしました。プロバイダーはスケーラビリティとレイテンシー向上のために、推論状態の保存をクライアント側にオフロードしたいと考えますが、その状態をセッション、ユーザー、モデルをまたいで安全に保つための暗号学的なバインディングには、注意深い設計が必要です。Anthropic、OpenAI、Googleが採用した単一のグローバル暗号鍵によるアプローチは、近道であったがゆえに、これらのAPIとやり取りするすべてのユーザーと開発者に影響を及ぼすセキュリティとプライバシーの脆弱性を生み出したのです。

この攻撃はまた、エスカレートする米中AI蒸留をめぐる対立の只中に登場しました。Kimi K3に関する証拠は状況証拠に過ぎませんが、蒸留が大規模に行われている可能性を示すこれまでで最も強力な技術的証拠を提供し、政策立案者や研究者にAIモデルの出自を調査する新たなツールを与えました。