米当局が中国AI企業6社を名指し、「蒸留」は防御対象へ

米国家安全保障局（NSA）、連邦捜査局（FBI）、サイバーセキュリティ・インフラ安全保障庁（CISA）は2026年9月8日、中国のAI企業6社が米国のフロンティアモデルから能力を組織的に抽出したとする共同勧告を公表した。NSAの発表 は、対象をDeepSeek、Moonshot AI、Alibaba、MiniMax、StepFun、Z.AIの6社とし、モデル提供者に検知と緩和策の導入を求めている。

同勧告が防御対象としたのは、知識蒸留という技術一般ではなく、複数のアクセス経路やアカウントを使って制限を回避し、大量の応答を取得する行為だ。これは米政府機関によるサイバーセキュリティ上の評価であり、6社の法的責任を裁判所が認定したという発表ではない。

6社への指摘は蒸留の「取得経路」に向けられた

米当局の主張によると、6社は少なくとも2024年後半以降、Claude、GPT、Gemini、Grokの各系統を含む米国製モデルへ大量の要求を送り、自社モデルの訓練に利用した。企業ごとに対象モデルや期間は異なるため、6社が単一の共同作戦を行ったとまでは勧告から読み取れない。

問題視された経路には、不正に作成されたアカウント、複数のクラウド事業者、第三者のAIアグリゲーター、代理API、開発者間で共有された有料契約が含まれる。TechRadarが整理した勧告内容 では、単一アカウントを多数の接続元から使う動き、新規アカウントが直ちに利用上限へ達する動き、契約規模に不釣り合いな処理量などが検知点として挙げられている。

プロンプトの内容も判断材料になる。特定の推論、コーディング、強化学習用データなどを系統的に再現しようとする反復要求が、アカウントやネットワークの挙動と組み合わさった場合に警戒対象となる。通常の高頻度利用だけで直ちに不正と判断する構成ではない。

通常の知識蒸留との境界は許可と回避行為

知識蒸留は、高性能な教師モデルの出力を使い、より小さく効率的な生徒モデルを訓練する一般的な機械学習手法だ。権利者の許可を得たモデルやデータを用い、ライセンスと契約条件に従う限り、モデル圧縮、推論コストの削減、端末向けの最適化などに利用できる。

今回の勧告との違いは、技術の名称ではなく、出力を取得する権限と方法にある。許可された蒸留では、対象となる出力、利用目的、取得量、再利用条件が提供者との合意内に収まる。米当局が「悪意ある」と位置付けた行為は、提供者が設けたアクセス制限や地域制限、追跡手段を回避し、制限対象の能力を大量に取り出そうとするものだ。

したがって、蒸留を一律に違法または危険と扱うのは正確ではない。確認すべき要素は、APIや出力の利用許可、規約との整合性、取得量、複数経路への分散、識別情報を隠す行為、取得後の用途である。

勧告がモデル提供者に求めた三つの防御

第一は、プロンプトだけでなく、アカウント、接続元、APIキー、利用量、決済や契約の情報を横断する異常検知だ。同じ目的とみられる要求が複数アカウントへ分散していないか、利用開始直後から機械的な大量要求が続いていないかを関連付けて調べる。

第二は、蒸留が疑われる要求への応答変更である。勧告は、疑わしい抽出に対する出力を調整し、取得側が得る利益を小さくする方法を示している。ただし、正規の研究者や大規模顧客を誤検知すれば、通知されないまま品質が変わるおそれがあるため、人による再審査や例外管理が必要になる。

第三は、モデル企業、クラウド基盤、APIアグリゲーターなどの間での情報共有だ。各事業者が見られるアカウント情報と通信特性は異なる。一つの経路を止めても別の中継先へ移られるため、既知の代理経路や攻撃パターンを、法令、プライバシー、契約上の守秘義務に沿って照合することが前提となる。

日本企業は契約、API管理、誤検知を同時に点検

日本のAI提供者にとっても、海外モデルのAPIを統合・再販する場合は同じ境界管理が必要になる。直接契約した顧客だけでなく、その先の利用者や中継事業者をどこまで識別できるかが、規約回避型の抽出を見分ける鍵になる。

• 検知：アカウント、接続元、APIキー、利用量、プロンプトの類似性を関連付け、分散された要求を一つの活動として評価できるか。
• 契約：出力を別モデルの訓練、模倣、評価に使える範囲と、禁止するアクセス回避行為を規約や法人契約で区別しているか。
• API管理：キー共有や代理アクセスを検知した際、速度制限、追加認証、停止、調査用ログの保存を段階的に実施できるか。
• 誤検知対応：大学、セキュリティ研究者、大規模な正規顧客を自動遮断せず、例外登録、異議申し立て、人手による再審査を用意しているか。

応答変更を使う場合は、セキュリティ対策だけでなく、顧客に約束した品質や障害告知、監査ログ、下流サービスへの影響も決めておく必要がある。正規利用者を保護する手続きがなければ、検知精度を上げても別の運用リスクが生じる。

中国側は米国の評価を受け入れていない。AP通信が伝えた中国商務省の反論 は、米側の主張には根拠がなく、蒸留は米国企業を含め世界で使われる一般的手法だとするものだ。中国外務省も根拠のない非難を控えるよう米国に求めた。

現時点で確定しているのは、米3機関が6社と抽出手法を具体的に挙げた勧告を公表し、中国政府がその前提を否定したことまでだ。個別企業の法的責任、各活動の全容、勧告が制裁や規制へ発展するかは確定しておらず、名指しされた企業や米当局から追加の技術的根拠が示されるかが次の焦点となる。