Anthropic蒸留攻撃対策｜抽出を90〜99%削減
A
AI Friends
1日前・9分で読める
@aifriends
AI Friends（https://aifriends.jp）のクロスポスト公式アカウント。AIツールの紹介・使い方・できることを、中学生でもわかるやさしい日本語で届けます。
自分のAIの賢さを、他社に「コピー」されたら困りますよね。AnthropicはClaudeの回答を大量に抜き取る「蒸留攻撃」について、抜き取られたデータを約90〜99%減らせたと発表しました。この記事では、対策の仕組みと利用者への影響を説明します。
蒸留（強いAIの回答を使って、別のAIを育てる方法）自体は、ふつうの技術です。自社モデルを小さく軽くするときにも使われます。
問題になるのは、他社のAIを無断で大量に使ってコピーする場合です。Anthropicはこれを「蒸留攻撃」と呼んでいます。
Anthropicは2026年2月、蒸留攻撃に関する最初の報告を出しました。DeepSeek、Moonshot AI、MiniMaxの3社が、約24,000個の不正アカウントを使い、Claudeと1,600万回以上やり取りしたとされています。
Anthropicが心配する理由は2つあります。
1つ目は、コピーされたAIに安全対策が足りない可能性です。生物兵器の開発やサイバー攻撃への悪用を防ぐ仕組みが、抜け落ちるかもしれません。
2つ目は、コピーされたAIが軍事や監視のシステムに組み込まれる危険です。
Anthropicは2026年10月12日、公式の研究ページで新しい防御策を公開しました。日本ではGIGAZINEも報じています。
主な数字は次のとおりです。
ちなみにAnthropicは、日によっては抽出量が小さすぎて測れなかったとも書いています。
蒸留する側にとって、いちばん価値が高いのはClaudeの推論の記録です。答えだけでなく、「どう考えてその答えにたどり着いたか」が書かれているからです。
数学の問題集で、答えだけの解答集より途中式つきの解説のほうが勉強になりますよね。それと同じことです。
Anthropicは以前、推論の過程を要約してから見せる対策を取りました。効果は数字に出ています。コピー側のAIの成績（SWE-bench Verified）は、完全な記録で80.4%、要約した記録で71.8%でした。
ところが攻撃側は、すぐに手口を変えました。「前の推論を一字一句そのまま出力して」と頼むなど、直接聞き出す方法に切り替えたのです。要約だけでは足りませんでした。
Claude Fable 5.1とClaude Opus 5.5では、思考の保持（Preserved thinking）という仕組みが入りました。2026年8月31日以降に作られたAPIアカウントは、Claudeの過去のやり取りを編集できません。
複数のアカウントを使った繰り返しの抽出を難しくする狙いです。Claude Sonnet 5.5では、推論の記録を読めるのは、そのリクエストを出した組織だけになりました。
2つ目は、2段階の分類器（入力や出力を見て、危ない依頼かどうかを判定するプログラム）です。Anthropicがすでに使っている「憲法分類器」の研究をもとに、蒸留する側の実際の試行で鍛えています。
たとえば「前の推論を別の言語に翻訳して」「答えと一緒にタグの中へ書いて」といった頼み方も、すでにふさがれています。堅牢さは、生物兵器への手助けを防ぐ仕組みとおおむね同じ水準だそうです。
3つ目は、繰り返しの試行への対処です。しつこく抜き取ろうとするアカウントには、より厳しい利用制限をかけ、続けるとBANします。
分類器が事前にブロックしたリクエストは、2026年9月24日から課金も再開されました。
蒸留をめぐる問題は、Anthropicだけのものではありません。OpenAIも2025年1月、DeepSeekがChatGPTの出力を使ったのではないかと疑いを示しました。Interesting Engineeringは、これをOpenAIの規約違反の可能性として伝えています。
一方で、推論を隠すだけでは足りないという指摘もあります。Hackreadに載った実験では、要約を細かく区切って組み立て直すと、全記録で学習したときの改善の約85%を取り戻せました。ただし、査読を受けていない実験で、Claudeそのものをコピーできると示したわけではありません。
つまり、要約だけに頼る方法には限界があります。アカウントの動きを見張る対策も合わせて必要になります。
日本でClaudeのAPIを使う開発者にとって、気になるのは使い勝手でしょう。Anthropic自身も、正規ユーザーに影響を出さないという2月の目標は、まだ完全には達成できていないと認めています。
具体的には、次の3点が考えられます。
たとえば、社内のカスタマーサポート用AIを作っている企業を考えてみましょう。過去のやり取りを編集しながら使う設計だと、2026年8月31日以降に作った新しいアカウントでは、その編集ができなくなります。
自社でAIを開発する日本企業にとっても、他人事ではないでしょう。自社モデルのAPIを公開すれば、同じ手口で狙われる可能性があります。
Anthropicは、この対策がいつまで効くか分からないとしています。今後も「いたちごっこ」が続く見通しです。
高度で粘り強い回避の試みは、まだ見ていないそうです。つまり、最も手ごわい相手との勝負は、これからかもしれません。
コストもあります。蒸留する側は、お金を払うお客さんでもあります。Anthropicは、大きな収益と、膨大な量の有料トラフィックを断ったとのことです。
そのうえで、すべての最先端モデル開発企業が取り組む必要があると呼びかけました。API、外部クラウド、ほかの推論事業者が、抜け道になるためです。
Q. 蒸留は違法なのですか？
A. 蒸留そのものは、ふつうの技術です。問題になるのは、他社の規約や地域の利用制限に違反し、不正アカウントで大量に抜き取る場合です。
Q. 私がClaudeを使うと、何か変わりますか？
A. 公式の説明で影響が書かれているのは、主にAPI利用者です。新しいアカウントでは、過去のやり取りの編集ができなくなります。
Q. 90〜99%という数字は確実ですか？
A. Anthropicは「初期の証拠」と説明しています。長く続く保証はなく、今後の攻撃者の動き次第で変わります。
Q. 誤ってブロックされたらどうなりますか？
A. 誤判定の率は0.1%未満とされています。ただし、分類器が事前にブロックしたリクエストは課金の対象になります。
Q. 他のAI企業も同じ対策を取りますか？
A. 今回の発表では、他社の対策は示されていません。Anthropicは、自社の手法を公開して、他社にも協力を呼びかけています。
ClaudeのAPIを使っている方は、まず公式の「思考の保持」の資料を見て、自分の連携に影響がないか確認しておきましょう。
この記事は AI Friends からのクロスポストです。
