US says Chinese firms extracted billions of tokens from frontier AI models

米国のサイバーセキュリティおよび情報機関によると、少なくとも2024年後半以降、中国のAI企業6社が、米国の最先端AIモデルに対して産業規模のディスティレーション攻撃を行っていたという。

CISA、NSA、FBIによる共同勧告によると、DeepSeek、Moonshot AI、Alibaba、MiniMax、StepFun、Z.AIの各社は、Anthropic、OpenAI、Google、xAIの最先端AIモデルに対し、数百万件のリクエストを通じて数十億のトークンを抽出していたという。

各機関は、この作戦の規模と高度さから、中国政府が関与している可能性があると評価しており、この手法は問題の企業にとって中核的な開発戦略である可能性が高いと指摘している。

AIモデルの蒸留（ディスティレーション）は、十分に訓練されたモデルの出力から「生徒」モデルが学習する正当な手法であり、研究者や開発者がトレーニングコストを削減し、AIの導入を加速するのに役立ちます。

しかし、Googleが2月に警告したように、蒸留攻撃はこれらの企業が管理する環境の外で発生する可能性があり、APIアクセスを悪用して高性能なモデルの知識やロジックを抽出することで、わずかなトレーニングコストでそれらと競合することが可能になる。

CISAの勧告によると、中国企業は、地理的制限、利用制限、および検知を回避するために、不正なアカウントや共有アカウント、API、クラウドサービス、アグリゲーター、および「転送ステーション」プロキシにAPIリクエストを分散させているという。

使用されたプロンプトの一部は、制限された「思考の連鎖（CoT）」推論を露呈させようとするものであった一方、自動化されたシステムはプロバイダーを切り替え、防御側が応答の品質を低下させているかどうかを確認していた。

「高度な産業規模の蒸留戦術には、思考連鎖（CoT）推論の抽出、ブロック試行時の経路間での自動フェイルオーバー、および防御的対策を検出するための洗練された品質評価フレームワークが含まれる」と、この勧告は説明している。

「米国のAIモデルに対して産業規模のディスティレーションを行う中国を拠点とするAI企業は、最先端モデルのトレーニングにおいて、AI開発のリードタイムを大幅に短縮し、財務的支出を削減できている」

DeepSeekとMoonShot AIは、複数のClaude、GPT、Gemini、Grokモデルを対象とした蒸留に関与した主要な違反者として特定され、続いてClaude、Gemini、GPTモデルを標的としたMiniMaxが挙げられた。

AlibabaとStepFunは、自社製品を改善するためにClaudeおよびGPTモデルを標的としたと非難されており、一方、Z.AIはGPT-5.5およびClaude Opus 4.8を標的としたとされる。

この勧告では、AI企業に対し、行動およびインフラレベルでの検知能力の向上、蒸留操作が疑われる場合の対応策の修正、およびこれらのキャンペーンに関する情報をすべての利害関係者と共有することを推奨している。

潜在的な指標としては、新規アカウントが即座に最大利用量に達すること、人間なら通常見られるアイドル期間を伴わない継続的な活動、多数のIPアドレスやユーザーエージェントからアクセスされる共有アカウント、複数のプロバイダー間で同一のプロンプトが使用されていること、異常に高いサブスクリプション対利用比率、およびアクセス経路の協調的な切り替えなどが挙げられる。

当メディアは、中国のAI企業6社すべてにコメントを求めており、回答が得られ次第、その内容を追加する予定です。