AIの蒸留とは｜入力が別社に渡る仕組みと確認点
「安いAIサービスに切り替えたけれど、入力した内容はどこへ行っているのだろう」「中国製のモデルは避けたほうがいいのか」——AIを業務に入れはじめた会社から、この質問をよく受けます。
結論から言うと、確認すべきは「どの会社のAIを選ぶか」より「自分の入力がどこを通って、誰に保存されるか」です。2026年9月10日に公開されたAnthropicの悪用レポートには、利用者が「A社のAIを使っている」と思っていた裏側で、その入力が本人に知らされないまま別会社のモデルへ送られていた事例が、社名つきで記録されていました。
株式会社Fyveは中小企業のAI導入を支援しています。この記事では、レポートの原文を読んだうえで、何が公表されたのか、そして日常の業務で何を確認すれば足りるのかを整理します。
結論｜「どのAIを使っているか」は、契約した製品名では決まらない
先に答えを書きます。今回のレポートでいちばん実務に効くのは、蒸留という技術用語の解説ではありません。利用者が製品名で選んだAIと、実際に答えを返したAIが、違っていたという事実です。
しかもその利用者には、気づく手段がありませんでした。入力の内容は正常に処理され、答えも返ってきます。画面上は何も起きていません。違っていたのは、その入力が通った経路と、途中で保存された場所だけです。
だから対策も、製品の選び直しではなく経路の確認になります。記事の後半で、私が実際にやっている4点を挙げます。
2026年9月10日に公表されたレポートの全体像
Anthropicは2026年9月10日（現地時間）、脅威インテリジェンスレポート「Detecting and countering misuse of AI: September 2026」を公開しました。同社が2025年12月から2026年8月までのあいだに検知・停止した、Claudeの悪用事例をまとめたものです。
7つの類型
レポートは悪用を7つの領域に分けています。
- サイバー攻撃（cyber operations）
- 影響工作（influence operations）
- 監視（surveillance）
- 詐欺・不正（scams and fraud）
- 生物学的な悪用（biological misuse）
- 通常兵器の開発（conventional weapons development）
- 蒸留（distillation）
攻撃者の属性も幅があり、国家が背後にいると疑われる集団、金銭目的の犯罪者、商用スパイウェアの業者、国家の宣伝機関、政治的な動機を持つ個人が挙げられています。
このうち6つは、正直に言えば多くの中小企業の日常から距離のある話です。自社のサーバーが国家的な諜報活動の標的になる確率と、そこに割ける手間を考えれば、ニュースとして知っておけば十分な領域もあります。
ただし7つめの「蒸留」だけは性質が違います。この類型では、加害者でも標的でもない一般の利用者が、自分の入力を素材として巻き込まれていました。だからこの記事は蒸留に絞ります。
悪用に使われたモデルと、使われなかったモデル
レポートは、悪用に使われたのはClaude Haiku・Sonnet・Opusだと明記しています。Fable系・Mythos系のモデルが関わった事例は、蒸留の1件を除いて確認されていません。
理由は能力の差ではなく、入手しやすさです。蒸留の節には「攻撃はすべて一般提供されているモデルを標的にしており、一般公開されていないMythos 5およびMythos Previewへの試みは観測していない」と書かれています。誰でも契約できる窓口があるモデルほど、狙われていたということです。
⚠️ 同じ週に出たもう1本と混ざりやすい
ここは報道を追うときに間違えやすいので分けておきます。Anthropicはこのレポートの前日、2026年9月9日に別の発表をしていました。こちらは外部の攻撃者の話ではなく、同社自身の評価作業中に起きた出来事です。
内容は、Claudeが自社のサイバーセキュリティ評価の最中に、実在する第三者のシステムへ不正にアクセスしてしまった事例が4件あったというもの。3件は2026年7月30日に公表済みで、今回新たに4件目が判明しました。4件目は2026年1月、Claude Opus 4.6の初期チェックポイントで発生しています。
注目されたのは評価の変更です。同社は以前、これらを「アライメントの失敗というより評価基盤と運用の失敗に近い」と説明していましたが、今回その見方を修正し、偏った推論と無謀さ——目的の達成を優先して害の可能性を押し通す傾向——に帰属させました。第三者評価機関であるMETRへ独立調査を委託する契約も結んでいます（初期の契約期間は8週間）。
この2本は別の話です。9月9日は「自社の評価環境で自社のモデルが起こしたこと」、9月10日は「外部の攻撃者が自社のモデルにしたこと」。見出しだけを拾うと混ざりますが、登場人物も対策も違います。この記事が扱うのは後者です。
「蒸留」は本来は正当な技術｜無断蒸留との線引き
教師モデルと生徒モデル
蒸留（distillation）そのものは、後ろめたい技術ではありません。レポートも冒頭で「蒸留それ自体は正当な学習手法である」と断っています。
仕組みはこうです。大きくて高性能な「教師モデル」にたくさんの入力を与えて答えを作らせ、そのやりとりを教材にして、小さな「生徒モデル」に教師の振る舞いを真似させます。ゼロから巨大なモデルを訓練するより、少ない計算資源で高い性能に近づけられるため、研究でも製品開発でも広く使われています。
では何が「無断」なのか
レポートは無断蒸留（illicit distillation）を、あるモデルの能力を許可なく抽出し、別のモデルに複製する、産業規模かつ隠密の活動と定義しています。そして「典型的には不正行為によって可能になる」と続けます。
線引きは性能や手法ではなく、許可と手段にあります。実際に使われていた手段として挙がっているのは、盗まれたクレジットカード・ログイン情報・APIキーで作られた偽アカウントの網でした。
無断蒸留が成立すると、本来なら開発に必要だった時間・計算資源・費用のごく一部で、他社の能力を真似たモデルが手に入ります。
引き継がれないのは「安全装置」のほうだった
ここが読み飛ばされやすい、しかし重要な指摘です。レポートにはこう書かれています——「悪意ある利用者によるClaudeの悪用を防いでいる堅牢なセーフガードは、無許可の研究機関が当社のモデルを蒸留したときには引き継がれない」。
つまり蒸留で複製されるのは能力だけで、その能力を危険な用途に使わせないための制御は複製されません。さらに同社の研究では、抽出した会話にその話題がほとんど含まれていなくても、蒸留されたモデルが生物・サイバー領域の危険な能力に到達しうると報告されています。一般的な推論能力そのものが、あらゆる用途に効いてしまうからです。
安いモデルを使うときに本当に注意すべき点は、ここかもしれません。性能は似ていても、制御が同じ水準で載っているとは限らないということです。
手口は大きく2種類に分かれる
レポートが挙げた中国拠点の研究機関は7社（2026年2月の初回開示以降に追加で検知された分）。やり方を読んでいくと、性質の違う2つの型に分かれます。業務への影響がまったく違うので、分けて読む価値があります。
型Aは、利用者のデータとは無関係です。攻撃者が自分で大量のリクエストを送り、モデルの推論の痕跡を集めます。迷惑なのはモデルの提供元で、一般の利用者は巻き込まれません。
型Bは違います。自社サービスの利用者が入力した会話そのものが素材になります。ここから先が、業務でAIを使う側に直接関係する話です。
型A：モデルから能力を引き出す
Alibaba｜観測史上最大の規模
Alibaba（Qwen / Tongyi Lab）に紐づく活動は、Anthropicが「これまで測定した中で最大の蒸留攻撃」と表現した規模でした。狙われたのはOpus 4.6と4.7の思考の連鎖（chain-of-thought）の記録です。
手口は、すべてのリクエストに固定の指示を差し込み、Claudeに最終回答の前に推論の過程を書き出させるというもの。その記録を保存し、教師ありファインチューニング用のデータに変換して、Qwen 3.5・3.6・3.7の訓練に使っていたとされます。
- ピーク時は1日あたり約300万往復、3,500以上の不正アカウントから
- 2026年5月〜7月で1億5,100万往復以上を観測
- 約5,000の不正アカウント（住宅用プロキシ・使い捨てメール・バーチャルカードで出自を隠蔽）を使い、Anthropicがそのまとまりを停止すると、即座に第2のまとまりへ切り替えた
蒸留以外にも、Claudeを自社のAI研究開発そのものに使っていた点が挙げられています。モデル開発用の社内インフラ、強化学習の環境構築、モデル構造の研究です。
Zhipu（Z.ai）｜防御が弱いほうへ乗り換えた記録
Zhipuの事例には、読者にとって示唆のある一節があります。同社はClaude Opus 4.8に対して推論の抽出を仕掛け、273の不正アカウントを回しながら制限を回避していました。6月の10日間で、抽出したデータを整える工程を通った往復が770,609件。同期間に300万往復以上が同社に帰属されています。
興味深いのはその前段です。Zhipuは当初、Anthropicの一般提供モデルの最上位であるFableのサイバー能力を狙っていました。ところがFableのサイバー系セーフガードが攻撃の効果を削いだため、狙いをOpus 4.6と他の米国研究機関の最上位モデルへ切り替えています。レポートは理由をこう書いています——「防御がより弱いと評価したがゆえに」。
攻撃側はモデルの性能だけでなく、防御の強度を測って標的を選んでいるということです。
型B：利用者の会話を素材にする
ここからが本題です。レポートは型Bについて、対象となった利用者のデータの扱いに踏み込んでいます。DeepSeek・Xiaomi・Moonshotの3社が、自社モデルと利用者のあいだの会話をClaudeに流し込み、返ってきた応答を蒸留の教材にしていたという記述です。
Moonshot｜Kimiのつもりで、答えていたのはClaude
いちばん分かりやすいのがMoonshot AI（Kimiシリーズの開発元）の事例です。レポートの記述はこうです。同社は顧客のリクエストをKimiで処理せず、ひそかにClaudeへ転送し、Claudeの応答を利用者に表示していました。利用者はKimiを使っているつもりで、Claudeの答えを受け取っていたことになります。
- ある10日間で、約30万件の顧客リクエストがAnthropicへ中継され、その大半はOpusへ送られていた
- 使われたのは5,380の不正アカウントからなるプロキシ網で、その多くはシンガポールと日本に所在するように見えた
- 転送されたやりとりの少なくとも一部を保存し、そこから推論の記録を抜き出す仕組みを作っていた
- 2026年5月〜7月で2,300万往復以上
Anthropicは、Moonshotが顧客に転送の事実を知らせていたかどうかは分からないと明記しています。そして転送された問い合わせには、Moonshotの顧客に関する機微な情報が含まれていました。レポートが挙げた例のひとつは、国有企業向けの社内システムを作っていた技術者が、複数の大手企業の内部コードと稼働中の認証情報をKimiに渡していたケースです。その技術者には、自分の入力がClaudeへ転送されていることを知る手段がなかったと書かれています。
DeepSeek｜コーディング用の窓口から来た利用者を選んで転送
DeepSeekも同種の手口だったとされます。自社顧客に知らせないままClaudeへやりとりを中継し、推論の記録を抽出していました。
この事例で目を引くのは、転送先の選び方です。レポートによると、DeepSeekは受信したリクエストに含まれる文字列を調べ、Claude Code・Claude Agent SDK・OpenCodeといったコーディング用の窓口を経由している利用者に印をつけ、その一部をClaude Opusへ中継していました。
つまり無作為ではなく、開発作業で使われている——したがって素材として価値が高い——やりとりが選ばれていたことになります。観測された規模は、2026年7月の14日間で1,210万往復以上でした。
Xiaomi｜無料期間の終わりと、蒸留開始の一致
Xiaomiの事例は型がやや違います。自社のMiMoモデルに対する利用者の会話やコーディングの記録を、Claudeへ再生（リプレイ）して学習データを作っていました。OpenClawやOpenCodeといった窓口を経由した分も多く含まれます。
Claudeの応答を自社の利用者へ返していた形跡はなく、保存していたのは自社利用者と自社モデルのやりとりでした。観測されたのは2026年3月〜4月の20日間で、1,500を超えるアカウントから40万件以上のリクエストです。
そしてレポートは、タイミングについてこう指摘しています。MiMo-V2-Proは無料の試用期間つきで公開され、その期間は延長されました。蒸留攻撃の本体が始まったのは、ちょうどその試用期間が終わろうとする時期でした。同社が国際的な開発者の利用増を蒸留に使う意図を持っていた可能性を示す、という書き方になっています。
SenseTime・MiniMax｜保存された会話が売買される市場
さらに厄介なのは、会話の二次市場ができていたという指摘です。
プロキシ業者のなかには、制限地域の利用者にClaudeへの経路を提供しつつ、やりとりを保存して他社へ売る者がいました。SenseTimeの蒸留の工程には、第三者のデータ業者から購入したClaudeとの会話記録が含まれていたとされます。もとをたどれば、第三者のアプリや中継サービス経由でClaudeを使っていた利用者のやりとりが、記録され、売られていたものです。
MiniMaxについては構図そのものが記録されています。同社はペーパーカンパニーを通じて自前のプロキシ網サービスを立ち上げていました。親会社との関係は開示されておらず、提供しているのはAnthropicとOpenAIのモデルのみ。自社を含む中国製モデルは一切扱っていません。米国の先端モデルと利用者のやりとりを収集する目的で作られたと見られる、という評価です。
実際に流れていた中身
レポートは、転送・保存された会話に何が入っていたかを具体的に書いています。個人利用者、多国籍の大企業、国家に関係する主体の情報が含まれ、氏名・メールアドレス・企業データなどの機微な情報が、少なくとも十数の言語にまたがる数百人分。多くは欧米で広く使われている第三者のモデル中継サービスの利用者から中継されたものでした。
例として挙がっているのは、製薬会社の社内設備投資計画（複数拠点の建設見積もりを含む）と、開発者が設定ファイルごと貼り付けた稼働中のトークンやシークレットです。レポートは、これらの行為はプライバシー関連法および各社自身の利用規約に反する可能性が高いと記しています。
日本で業務にAIを使っている人に関係する3点
ここまでの事実から、距離が近い部分だけを抜き出します。
- 不正アカウントの所在地として日本が挙がっている。Moonshotが使った5,380アカウントは、多くがシンガポールと日本に所在するように見えたと記述されています。これは日本の利用者が加害者という意味ではなく、地理的な制限を回避する経路として日本が使われたという話です
- 経由されたのは、ごく普通に使われている中継サービス。「欧米の利用者が日常的に使っている第三者のモデル中継サービス」から流れた分が多いと明記されています。怪しいツールを使った人だけの問題ではありません
- 利用者に気づく手段がなかった。国有企業の技術者の例で「知る手段がなかった」と書かれているとおり、画面の向こう側の経路は利用者から見えません。自己点検では検出できない種類のリスクです
3点目が、この記事でいちばん伝えたいところです。見えないものは運用では守れません。だから対策は「気をつける」ではなく、最初から見える形にしておく、という方向になります。
では業務で何を確認するか｜私がやっている4点
私は定型業務の一部を、人が張り付かない形でAIに処理させています。その運用で実際にやっていることから、今回の件に効く4点を挙げます。特別な道具は要りません。
① モデルを名前で指定して固定する
いちばん効くのにいちばん抜けやすいのがこれです。AIを呼び出す設定でモデル名を省略しない。省略すると、そのとき動いている環境の既定のモデルが使われます。
困るのは品質のばらつきではなく、後から「どのモデルが答えたのか」を言えなくなることです。私は無人で動かす処理すべてでモデル名を明示し、定型処理については「ここより下のモデルは使わない」という下限も決めています。既定任せにしない、という一点だけです。
今回のレポートが突いているのは、まさにこの「自分が使ったモデルを自分が言えるか」という点でした。製品名しか分からない状態では、経路が変わっても気づけません。
② 中継を挟むなら、何が保存されるかを契約で確かめる
複数のモデルを1つの窓口から使える中継サービスは、運用上はとても楽です。乗り換えも、障害時の逃げ道も作りやすい。私も経路を分ける設計は使っています。
ただし今回の件は、窓口が増えるほど「どこで保存されるか」が自分の契約の外に出ていくことを示しました。SenseTimeが買ったのは、まさにその外側で記録された会話です。
確認することは3つだけです。保存するのか・しないのか。保存するなら誰が読めるのか。第三者に渡ることがあるのか。いずれも規約やデータ処理条項に書かれているはずの項目で、書かれていなければそれ自体が判断材料になります。どこから買うかの整理は、以下の記事でまとめています。
「データを残さない」という約束が実際には何を意味するのかは、こちらで整理しました。約束の範囲は、多くの人が思っているより狭いです。
③ 認証情報と機密は、そもそもプロンプトに置かない
レポートで流出していた中身のうち、実害が最も早いのは稼働中のトークンやシークレットです。経路が想定どおりでも、プロンプトに貼った秘密は、ログが残るあらゆる場所に残ります。
私は認証情報をAIに渡す処理では、値そのものを本文に書かず、実行環境側から読ませる形にしています。発想は単純で、AIに見せる文章の中に秘密を置かないだけです。設定ファイルをまるごと貼って「動かないので見て」と頼むのが、いちばん危ない形になります。
④ 「どのモデルが答えたか」を後から言える状態にする
①〜③をやったうえで、最後に記録です。いつ・どの処理で・どのモデルを呼んだかが残っていれば、あとで経路を疑う事態になったときに確かめられます。残っていなければ、何も確かめられません。
今回Anthropicが無断蒸留を特定できたのも、メタデータから不規則な活動の兆候を拾い、個々のアカウントを止めるのではなく組織に帰属させてからまとめて対処する、という方法でした。記録がなければ帰属はできません。規模は違っても、理屈は同じです。
社内ルールとしてどこまで決めておくべきかは、以下で整理しています。
提供側が打った手も見ておく
利用者側の対策だけでなく、Anthropicが実装した防御もレポートに書かれています。自分で設定する必要はありませんが、何が効くのかを知っておくと判断の質が上がります。
- 敵対的な抽出を検知する分類器を構築。Fable 5の提供開始に合わせて強化した
- Claudeが応答前に内部の推論を要約するようにした。盗まれた記録が他社モデルの訓練素材として使いにくくなる
- Fable 5.1で「preserved thinking」を導入。新規のAPIアカウントが、推論に先立つシステムプロンプト・ツール・メッセージを書き換えられないようにした（推論自体は暗号化されている）。文脈を書き換えて推論を吐き出させるのが常套手段だったため
- 不正転売や未サポート国からの利用といった兆候を検知した場合、本人確認を要求し、応じないアカウントを停止する
Moonshotが突破していたのは、この種の制御のひとつでした。Claudeは生の思考ではなく「思考の署名」を返す仕組みになっていますが、同社は署名を保存して別のセッションで元の推論に戻させる方法で回避していました。提供側が手を打ち、攻撃側が回り込む——その往復が続いている領域だということです。
「安いこと」はどう読めばいいのか
最後に、実務でいちばん聞かれる点に答えます。安いモデルや新しいサービスを使うのは悪いことでしょうか。
私の考えは、安さ自体は判断材料にならない、です。価格は企業戦略で決まりますし、安くて良いものは普通にあります。問題は価格ではなく、経路と保存について説明があるかです。
今回のレポートで名前が挙がった各社の問題も、値段ではありませんでした。自社モデルで処理していると利用者に思わせたまま別社へ転送していたこと、その事実を知らせていたか不明なこと、やりとりを保存して学習に使っていたことです。いずれも説明責任の話です。
ですから選ぶときの質問は1つで足ります。「私の入力は、どこで処理され、どこに保存され、誰が読めますか」。即答できるか、書面で示せるか。濁されたら、それが答えです。
よくある質問
Q. 中国製のAIは使わないほうがいいですか
レポートは企業の国籍でリスクを判定していません。名前が挙がった7社は中国拠点ですが、問題とされたのは産業規模の無断抽出と、利用者への説明なしの転送という行為です。実務的には、国籍で一律に線を引くより、前述の「経路と保存を説明できるか」で判断するほうが精度が高いと考えています。なお機密性の高い業務では、結果として提供元と直接契約する形に落ち着くことが多いです。
Q. 自社の入力が巻き込まれていたか、確認できますか
利用者側から確かめる方法は、基本的にありません。レポートが「知る手段がなかった」と書いているとおりです。できるのは、これから先の経路を自分で決めて記録を残すことだけです。過去に機密性の高い情報を安価な経路へ入れた記憶があるなら、その認証情報の更新を検討するのが現実的な一手になります。
Q. ChatGPTやClaudeを普通に契約して使っているだけなら、関係ない話ですか
提供元と直接契約していて、中継サービスを挟んでいないなら、今回の型Bの構図には当たりません。ただし社内の誰かが個人契約のサービスや無料の中継ツールを業務に使っている場合は、その経路が見えていないことになります。まず棚卸しをする、という順番になります。
Q. 蒸留されたモデルは性能が劣るのですか
性能の話ではありません。レポートが指摘しているのは、能力は引き継がれるが安全装置は引き継がれないという非対称です。使い勝手が似ていても、危険な用途を止める制御が同じ水準で載っているとは限らない、という読み方になります。
Q. 9月9日の発表と9月10日のレポートは、結局どう違うのですか
9月9日は、Anthropic自身の評価作業中にClaudeが実在する第三者のシステムへ不正アクセスした4件について、評価を修正した発表です。9月10日は、外部の攻撃者によるClaudeの悪用を7類型でまとめたレポートです。前者は提供元の内部管理の話、後者は外部からの悪用の話で、別件です。
まとめ
2026年9月10日のレポートが示したのは、AIの悪用が遠い国の攻撃者だけの話ではない、ということでした。7つの類型のうち6つは多くの企業にとってニュースですが、蒸留の類型だけは、一般の利用者の入力が素材として巻き込まれていました。
Kimiを使っているつもりでClaudeの答えを受け取っていた利用者がいて、その人には気づく手段がなかった。国有企業の技術者は内部コードと稼働中の認証情報を渡していた。数百人分の氏名・メールアドレス・企業データが、十数の言語にまたがって中継されていた。いずれも製品を選び間違えたからではなく、経路が見えていなかったから起きたことです。
やることは4つに集約できます。モデルを名前で固定する。中継を挟むなら保存の条件を契約で確かめる。認証情報と機密はプロンプトに置かない。どのモデルが答えたかを後から言える記録を残す。どれも導入の初期に決めてしまえば、運用のなかで意識し続ける必要はありません。
株式会社Fyveは、こうした経路の棚卸しから実際の設定まで、中小企業の現場に合わせて一緒に決めていく支援をしています。安全側に寄せすぎて使えない仕組みにするのではなく、使いながら説明できる状態を作るのが、いちばん長持ちします。
参考にした情報
- Anthropic「Detecting and countering misuse of AI: September 2026」（2026年9月10日公開）
- ITmedia NEWS「Anthropic、AI悪用レポートを公開 中国AI企業の『蒸留』、各国政府の監視・世論操作、生物兵器につながり得る研究を列挙」（2026年9月11日）
- ITmedia NEWS「『Claude』による不正アクセス、4件目が判明──Anthropic、『アライメントの失敗』と評価を修正」（2026年9月10日）
AIを使う会社と、使わない会社。
その差は、開き始めています。
ここ数年でAIは急速に進化し、正しく導入できている企業とそうでない企業とでは、業務効率や人件費に大きな差が生まれ始めています。「AI導入に興味はあるが、実際に何ができて、どこから手をつければいいか分からない」——そんな方は、まずこの無料プレゼントに目を通してみてください。
