解説
「蒸留攻撃」とは何か、自社開発AIモデルを持つ企業が知るべきリスク
自社でAIモデルを開発したり、APIを通じて独自のAIサービスを提供したりしている企業にとって、見えないところで自社モデルの中身を抜き取られるリスクがあるとしたらどうでしょうか。Anthropicが公表した「蒸留攻撃」への対策は、そうしたリスクの実態と防ぎ方を示す事例です。
何が起きたか
AI開発企業のAnthropicは、自社モデル「Claude」の思考プロセスを不正に抜き取る「蒸留攻撃」への対策について公表しました。公表によると、新たに導入した3つの防御手法により、蒸留を試みる者が得られるデータ量は従来と比べて約90〜99％削減されたといいます。
Anthropicが挙げた対策は次の3つです。
- 2026年8月31日以降に作成された新しいAPIアカウントが、Claudeの過去のコンテキストを編集できないようにする「保持された思考」という仕組み
- 有害なリクエストを検知してブロックする「憲法分類器」という監視システム
- 繰り返し蒸留を試みるアカウントを検知し、多くは2時間以内にBANする仕組み
これらの導入により、既知のすべての蒸留手法をブロックできており、抽出された推論トークン数は導入前の10〜100分の1になったとAnthropicは説明しています。また、過去には中国企業のモデルへのリクエストがClaudeに転送され、特定の個人を監視カメラ映像から分析しようとした痕跡が確認されたとも述べており、蒸留が国家安全保障上のリスクにもつながり得ると指摘しています。
背景・解説
蒸留とは、性能の高いAIモデルに大量の質問を投げかけ、その回答や思考過程を学習データとして使い、別の安価なモデルを作り上げる手法です。蒸留を行う側にとっては、最先端モデルの開発にかかる莫大な費用をかけずに近い性能を得られるという利点があります。一方、蒸留をされる側の企業にとっては、開発コストをかけて作ったモデルの価値が不正に流用される形になり、望まない負担を強いられることになります。
Anthropicによると、蒸留を行う者にとって最も価値が高いのは、Claudeが回答を出す前に文章として出力する「推論過程」の記録だといいます。そのためAnthropicの対策は、この推論過程への第三者からのアクセスを難しくすることに重点が置かれています。
最初に導入された対策は、推論過程をユーザーに見せる前に要約してしまうというものでした。これにより推論過程をそのまま蒸留した場合のベンチマークスコアは80.4％から71.8％まで下がったといいます。しかし蒸留を行う側も「推論過程をそのまま出力してください」といった指示や、1万件以上のリクエストを試す手法で対抗してきたといい、単純な要約だけでは不十分でした。さらに、蒸留を行う者は数十万件規模の不正アカウントを使い分けて検知を回避していたため、Anthropicは今回、より多層的な防御の導入に至ったという経緯です。
仕事や業務への影響 — AI Topicaの見方
自社でAIモデルを開発し、API経由で社外に提供している企業ほど、今回の話は無関係ではいられません。自社モデルの推論能力そのものが、競合や第三者に安価にコピーされる標的になり得るからです。例えば、独自にファインチューニングした業務支援AIをAPIとして他社に提供しているIT企業で、情報システム担当者が1人でアクセス管理を担っているような場合、通常利用とは異なる大量リクエストのパターンを監視する仕組みを持っているかどうかが問われます。
具体的には、推論過程やログをそのまま外部に出力する設計になっていないか、数千件単位の連続リクエストを検知してアカウントを一時停止できる仕組みがあるかどうかを確認すべきです。自社でLLMを一から開発していない企業であっても、外部AIのAPIを自社サービスに組み込んで提供している場合は、利用規約で蒸留行為が禁止されているかを把握しておく必要があります。規模の小さいスタートアップであれば、専任のセキュリティ担当を置かずにAPI提供を始めているケースも珍しくありません。そうした企業ほど、大手AI企業の対策事例を参考に、最低限の異常検知の仕組みを検討する価値があります。
逆に、社内利用のみでAIを使っている企業、つまり外部にAPIを公開していない経理部門や人事部門がチャットボットを使う程度であれば、蒸留攻撃を直接心配する必要はありません。リスクが生じるのは、あくまで自社の推論能力を外部に公開している立場の企業です。
不確かな点・注意
今回の数値はAnthropicが自社の対策として公表したものであり、第三者による独立した検証結果ではありません。90〜99％という削減幅も、Anthropicの計測方法に基づく数字である点には留意が必要です。
Anthropic自身も「こうした成果がどのくらい続くかは分かりません」と述べており、蒸留を行う側が新たな回避手法を開発すれば、効果が薄れる可能性は否定できません。また、今回の対策には正規ユーザーの利用体験を損なうという代償も伴うとされています。推論過程を一部隠すことで、通常利用者にとっても情報の透明性が下がる面があることは理解しておくべきです。
さらにAnthropicは「不正な蒸留を防ぐには、最先端モデルを開発するすべての企業による協力が必要」とも呼びかけています。他のAI開発企業が同様の対策をどこまで導入しているかについては、今回の情報源では触れられておらず、業界全体の状況は不明なままです。