米3機関、DeepSeekなど中国系AI企業6社が米国モデルを大規模「蒸留」と警告

米国家安全保障局（NSA）、サイバーセキュリティ・インフラ安全保障庁（CISA）、連邦捜査局（FBI）は共同勧告で、中国を拠点とするAI企業6社が、米国AI企業の最先端モデルが持つ独自の機能・能力を、産業規模の「知識蒸留」により組織的に抽出していたと主張した。

名指しされたのは、DeepSeek、Moonshot AI、Alibaba、MiniMax、StepFun、Z.AI。勧告は、これを補助的な学習手法ではなく、各社のAI開発戦略の中核を成す活動と位置づけている。ただし、これは米政府機関による申し立てであり、司法判断などによって確定した事実ではない。12

勧告が指摘した手法

「蒸留」自体は、より能力の高いモデルの出力を使って別のモデルを訓練する、AI研究で用いられる手法だ。共同勧告は、その正当な用途と区別したうえで、今回の活動は攻撃的かつ標的型で、不正な抽出に当たるとした。12

勧告による主張は次の通り。

• 少なくとも2024年後半以降、6社はClaude、GPT、Gemini、Grokの各モデル群に対し、数百万回のやり取りを行い、合計で数十億トークンを抽出したとされる。中国政府がこの活動を認識していた可能性も指摘された。1
• 接続経路には、モデル提供元のAPI、遠隔クラウド事業者、顧客メタデータを見えにくくする第三者アグリゲーターが含まれるという。1
• 地理的制限、安全措置、利用規約、追跡可能性を回避するため、「転送ステーション」と呼ばれるプロキシサービスを使ったとも主張した。1
• プレミアム契約の大量購入・共有、遮断時に接続先を自動で切り替える仕組み、思考過程（chain-of-thought）の抽出、防御策による回答変化を探る評価システムも挙げられている。1

なお、提供された根拠資料は、グレーマーケットの「転送ステーション」の存在には言及しているが、特定のオンライン市場名については独自に裏付けていない。

企業別に示された内容

DeepSeek：R1とV3向けの合成学習データ作成か

共同勧告はDeepSeekについて、2024年後半からR1およびV3のための合成訓練データを作る組織的な活動を行ったと主張した。狙いは、推論、特定分野の知識、専門的な機能を取り込み、研究開発費と計算資源のコストを抑えることだったとされる。1

対象として列挙された能力には、法務分野への最適化、APIのルール駆動型タスク、思考過程の下書き、エージェント機能、Q&A最適化、コーチング・アシスタント機能、機能作成の最適化、教師ありファインチューニングの最適化、創作・職業文書の作成最適化が含まれる。1

勧告は、Claude、Gemini、GPT、Grokの各モデルの出力が使われたとし、DeepSeekが公表した訓練コスト560万ドルには、こうした蒸留で得たデータのコストや価値が含まれていないとも述べた。1

Moonshot AI：Kimi-K3とKimi-K2への利用を主張

Moonshot AIについては、2025年半ば以降に広範な活動があったとされる。勧告は、Kimi-K3にClaude Fable 5のデータが相当量、Kimi-K2にGPT-4oのデータが用いられたと主張した。1

求められた能力として、教師ありファインチューニング、強化学習、ソフトウェアエンジニアリング、数学が挙げられている。1

Alibaba、MiniMax、StepFun、Z.AI

Alibabaについては、Qwenファミリーの性能を高めるための産業規模の蒸留が行われたと共同勧告は主張した。1

MiniMax、StepFun、Z.AIについても、米国モデルに対する悪意ある蒸留に関与したとの一般的な主張が示された。1 一方で、提供資料にはMiniMaxに固有のキャンペーン名、対象モデル、能力の割り当てに関する詳細は含まれていない。

AI提供企業に求めた3つの防御策

共同勧告はAI企業に対し、短期的な対策として以下の3点を推奨した。1

1. 異常の検知と緩和
   悪意あるプロンプト、アカウント、ネットワーク、行動を特定する。契約内容に比して利用量が不自然に大きいケース、新規アカウントが直後から上限近くまで使うケース、企業規模の高スループットなどを監視対象とする。1

2. 疑わしい抽出試行には応答を選択的に変える
   抽出を試みていると疑われるアクセスに対しては、検知方法を明かさずに回答を微妙に変え、蒸留キャンペーンにとっての情報価値を下げる。1

3. エコシステム全体で脅威情報を共有する
   モデル提供企業、クラウド事業者、APIアグリゲーターが活動を突き合わせ、複数の提供元・接続経路へ分散されたキャンペーンを可視化する。1

CISAのAIサイバーセキュリティ協力に関する指針も、政府機関や業界パートナーとの自主的な情報共有を促している。4

中国側の反応や制裁論、米中対話について

今回提供された一次資料には、中国政府や中国外務省報道官の公式反応は収録されていない。また、米財務長官による制裁・エンティティー・リスト指定に関する発言の詳細、米中AI安全性協議との直接の関係、中国と米国のモデル性能差に関する評価についても、提供資料だけでは確認できない。

確実に言えるのは、米3機関が今回、モデルの出力を大規模に収集して別モデルの能力向上に転用する行為を、単なる競争上のベンチマークではなく、知的財産とサイバーセキュリティの問題として扱った点だ。AI企業にとっては、モデルの安全性だけでなく、API利用の監視、契約・アカウント管理、業界横断の検知体制が重要性を増している。14