米CISAら3機関、中国AI企業による大規模知識蒸留に警告発表

米国土安全保障省サイバーセキュリティ・インフラストラクチャ・セキュリティ庁（CISA）、国家安全保障局（NSA）、連邦捜査局（FBI）の3機関は2026年9月8日、中国を拠点とするAI企業が米国の最先端AIモデルに対して産業規模の知識蒸留キャンペーンを展開しているとして、共同サイバーセキュリティ勧告（AA26-251A）を発表した。知識蒸留（高性能な親モデルの出力データを用いて軽量な子モデルを学習させる機械学習技術）自体は正当な研究手法であるものの、中国企業が利用規約や地域制限を回避しながら数十億トークン規模のデータを不正に抽出している実態を挙げ、米国の技術的優位性と公正な競争環境を揺るがす深刻な脅威であると警告している。

名指しされた6社と抽出対象となった米最先端モデル

勧告では、中国政府の認識のもとで大規模な蒸留活動に関与した企業として、DeepSeek、Moonshot AI、Alibaba、MiniMax、StepFun、Z.aiの6社が特定された。これらの企業は少なくとも2024年後半以降、米国の主要なフロンティアモデルであるClaude、GPT、Gemini、Grokの各シリーズに対して数百万回に及ぶクエリを実行し、高度な機能を抽出してきたとされる。

各社が抽出した主な領域と対象モデルは以下の通りである。

• DeepSeek: R1およびV3モデルの訓練に向け、Claude 3.7 / 4、GPT-4 / 5、Gemini 2.5などから法律専門知識、APIルール処理、エージェント機能、教師あり微調整（SFT）データを抽出。公表された訓練費用560万ドルについて、勧告は悪意ある蒸留データの取得コストが含まれておらず実態を反映していないと指摘した。
• Moonshot AI: Kimi-K3の開発に向けてClaude Fable 5のデータを大量抽出したほか、Kimi-K2向けにGPT-4oデータを抽出。数学能力やソフトウェア工学のデータを収集した。
• Alibaba: 自社モデルQwenの強化に向け、Claude 4やGPT-5からカスタマーサービス対話、仮想キャラクター生成、ソフトウェア工学スキルを抽出。
• MiniMax / StepFun / Z.ai: MiniMaxはClaude CodeやGemini 3 Proから内部推論やコードレビュー機能を抽出。StepFunはClaude Opus 4.5やGPT-5.2からコード開発能力を、Z.aiはGPT-5.5から数十億トークン規模の推論データを抽出した。

3機関が明かした攻撃手法と推奨防護策

中国勢は、米企業の地域制限や規約による遮断を回避するため、「転送ステーション（transfer stations）」と呼ばれるプロキシのグレーマーケットを経由してアクセスしていた。さらに、通常は外部に非公開とされている思考の連鎖（CoT）（AIが回答に至るまでの多段階の論理的推論プロセス）を強制的に出力させるプロンプトインジェクション（開発者の制約指示を迂回してAIに意図しない出力を強制する攻撃手法）を仕掛けていた。

3機関は米国のAI開発企業に対し、以下の3項目の即時導入を求めている。

1. ​包括的な検知と遮断​: 異常なプロンプトやアカウント行動の監視に加え、新規アカウントによる急激な最大利用や企業規模のスループット発生パターンを常時監視する。
2. ​標的型の応答変更​: 悪質な蒸留の疑いがあるリクエストに対して出力を微細に変更し、抽出側が得られる学習データの品質と経済的価値を削ぐ。
3. ​業界横断の情報共有​: モデル提供企業、クラウド事業者、APIアグリゲーターの間でログや攻撃パターンを相互共有し、分散された抽出活動を捕捉する。

一次資料との差分整理と未確認事項

報道では「中国企業によるモデルの模倣」という枠組みで紹介されているが、CISA・NSA・FBIによる公式勧告AA26-251Aは、MITRE ATLASフレームワークに沿って攻撃ライフサイクルを詳細に定義している点が特徴である。攻撃側は防御措置を自動検知する品質保証パイプラインや、遮断時に別経路へ切り替える自動フェイルオーバー基盤まで構築しており、単なるスクレイピングを超えた高度な組織オペレーションであることが示された。

一方で、本勧告は技術的な警戒呼びかけと民間防護の推奨にとどまっており、司法訴追や新たな貿易制限などの法的措置が直ちに発動されるかは現時点で未確認である。また、推奨策にある「標的型の応答変更」が、誤検知によって一般の開発者や正規利用者のAPI利用に支障を及ぼさないかという実運用上の課題も残る。

分析・展望

今回の勧告は、米中間のAI覇権争いの主戦場が「先端半導体の輸出規制」という物理インフラの攻防から、「最先端モデルの推論データそのものの防衛」へと拡大したことを明確に示している。米情報機関が特定モデルの開発コスト公表値にまで踏み込んで疑義を呈した背景には、中国勢の「低コスト開発」というナラティブを崩し、知的財産保護を強化したい思惑が透けて見える。今後は主要AIプラットフォーマーによるAPI利用資格の審査厳格化や、通信元の追跡強化が進む公算が大きい。

引用元：GIGAZINE | CISA | CISA