OpenAIが主張するMoonshot AI関連の推論抽出、その規模と「分からないこと」

OpenAIは2026年9月30日、同社モデルの保護された内部推論を引き出そうとする活動を検知し、7月28日までに関連する活動を遮断したと発表しました。同社は活動の「中心的な一群」をMoonshot AI関係者に結びつけています。ただし、観測した全ての実行者が単一の主体だったかどうかは不明だとも説明しています。

ここでいう「蒸留」は、より高性能なモデルの出力を使って別のモデルを訓練・改善する手法です。広く使われる手法ですが、無断で大規模にモデルの能力を引き出そうとする行為とは区別する必要があります。

OpenAIが示した件数と手口

OpenAIによると、活動は7月初めに始まり、7月24〜25日に特定の抽出パターンを使った約1万6,000件のリクエストが4,000人超から確認されました。さらに調査を進めると、関連するプロンプトのパターンが1万5,000人を超える利用者に広がっていたといいます。OpenAIは7月28日までに関連活動を遮断したとしています。

報告された手口の一つは、ある会話から暗号化された推論をコピーし、別の会話でモデルに復号して書き起こすよう求めるものでした。OpenAIの説明では、暗号やデータベースを破ったのではなく、モデルとのやり取りを操作して、通常は回答に表示されない情報を見える形で出力させようとしたとされています。

重要なのは、これらの数字が試みられたリクエストや関連パターンの規模を示す点です。実際にどれだけの推論が抽出されたかを示す数字ではありません。また、OpenAIの帰属は活動全体ではなく「中心的な一群」に関するもので、全ての実行者のつながりを特定できたわけではありません。

9月の米政府機関の勧告とAnthropicの報告

9月、米国家安全保障局（NSA）、サイバーセキュリティ・インフラ安全保障庁（CISA）、連邦捜査局（FBI）は、中国を拠点とするAI企業6社による産業規模の蒸留活動について共同勧告を出しました。対象としてMoonshot AIのほか、DeepSeek、Alibaba、MiniMax、StepFun、Z.AIを挙げています。勧告は、遅くとも2024年末以降、米国の先端モデルに対する数百万件のやり取りで、合計数十億トークンが抽出されたと述べています。これらは6社全体についての数字であり、Moonshot単独の実績ではありません。

勧告によれば、リクエストは各社のAPIだけでなく、リモートのクラウド事業者や第三者の集約サービスなど、複数の経路を通じて送られる場合があります。米政府機関は産業規模の無断蒸留に対する検知・緩和策を求めています。ただし、ここで参照できる資料だけでは、推奨策を網羅した具体的なチェックリストまでは確認できません。

別に、Anthropicは自社の脅威報告で、Moonshot AIがKimiで処理する代わりに顧客のリクエストをClaudeへ転送し、そのことを利用者に知らせていなかったと主張しました。同社によれば、ある10日間に約30万件近くの顧客リクエストが転送され、大半はOpusに送られていたといいます。これもAnthropic側の報告に基づく主張として扱う必要があります。

Kimi K3のCodex提供は別の話

一方、Moonshot AIのモデル「Kimi K3」は、米国の推論基盤事業者Basetenを通じて、企業ユーザーがOpenAIのコーディングツール「Codex」から使えるようになったと報じられています。利用料は企業がすでに持つOpenAIの支出契約に計上でき、新たな取引先の契約手続きが不要とされています。中国のオープンモデルがこの企業向け調達・決済経路に入る初の例とも報じられました。31

これは、OpenAIがMoonshot AI関係者による抽出を主張する一方で、MoonshotのモデルがOpenAIの企業向け経路から利用可能になったという、目を引く並びです。ただし、Codex経由の提供が、別途主張されている抽出活動を可能にした、あるいは助けたと示す証拠ではありません。3