蒸留攻撃（Distillation Attack）とは・意味、知識蒸留との違い・手口・事例

最終確認日：2026年10月31日

蒸留攻撃とは？

蒸留攻撃とは、開発元の許可を得ずにAIモデルの出力を別のモデルの学習に使い、元のモデルの能力を再現しようとする行為のこと。英語では「distillation attack」と言い、Google は日本語版のブログで「蒸留攻撃」と書いている（※1、※2）。

語の範囲と呼び方は、発表元によって少しずつ違う。

• Google は、この語をモデル抽出攻撃の別名として使う。同社の説明では、攻撃者は正規のアクセスを通じて成熟したモデルを系統的に調べ、新しいモデルの学習に使う情報を取り出す（※1）。
• Anthropic は「illicit distillation」（不正な蒸留）を、許可なくモデルの能力を抜き出して別のモデルで再現する、産業規模の隠れた活動と定義している。同社によると、この活動は盗んだクレジットカードやログイン情報、APIキーで作った偽のアカウント網に支えられていることが多い（※3）。APIは、ほかのソフトウェアからAIモデルを呼び出す窓口だ。
• OpenAI は日本語版の発表で「敵対的蒸留」と呼ぶ。同社はこの語を、モデルの出力や推論を組織的に無断で使い、別のモデルの学習や再現、改善に役立てる活動の意味で使っている（※4）。

知識蒸留と蒸留攻撃の違い

蒸留そのものは、攻撃の名前ではない。知識蒸留は、元になる「教師」モデルの答えを使って「生徒」モデルを学習させる、機械学習で一般的な手法だ。Google は蒸留に正当な用途があるとしており、Google Cloud でも蒸留のサービスを提供している（※1）。Anthropic によると、最先端のモデルを作る企業も、自社のモデルを蒸留して小さく安い版を顧客向けに作ることがよくある（※6）。

Google、Anthropic、OpenAI なども会員の業界団体 Frontier Model Forum は、許可された蒸留と敵対的な蒸留を次のように分けている（※5、※17）。

• 許可された蒸留は、社内で行う蒸留や、オープンソースのモデルのライセンスが認める蒸留を指す。教師モデルの内部の値まで使う方法もある。
• 敵対的な蒸留では、多くの場合、隠れた形や間接の形でアクセスし、攻撃者が手にできるのは教師モデルの出力だけだ。開発元の利用規約やライセンスに反することも多い。

米国の大統領府の科学技術政策局も、より高度なモデルから小さく軽いモデルを作るために正当に使う蒸留は、AIのエコシステムに欠かせないとしている。同局が受け入れられないとするのは、米国の研究開発を組織的に損ない、独自の情報を手に入れようとする産業規模の蒸留だ（※8）。

見た目だけでは区別しにくい点もある。Frontier Model Forum は、挙げた手法はどれも無害な目的にも使えるので、見分けることが技術面の大きな課題だと指摘する（※5）。Anthropic も、1回の依頼は普通に見えても、似た依頼が協調した多数のアカウントから数万回届くと傾向がはっきりするとしている（※6）。

蒸留攻撃の手口

ここで挙げるのは、発表元が例として説明している手口で、すべての活動に当てはまるわけではない。

仲介サービスと偽のアカウントによる地域制限の回避

Anthropic によると、許可を得ていない研究所は、一般に仲介サービスを通じて同社のモデルを使う（※3）。

Anthropic は2026年2月の発表の時点で、国家安全保障を理由に Claude を中国で商用に提供していない（※6）。こうした仲介サービスは偽の身元や盗んだAPIキーなどで数千の新しいアカウントを作り、地域の制限を避けている（※3）。同社が確認した例では、1つの仲介の網が2万を超える不正なアカウントを同時に管理していた（※6）。

米国の国家安全保障局（NSA）、サイバーセキュリティ・インフラセキュリティ庁（CISA）、連邦捜査局（FBI）の共同の勧告は、こうした仲介を「transfer stations」と呼ばれるAPIのグレーマーケット（正規の販売経路の外の市場）と説明している（※9）。

隠された推論をモデルに書き出させる

狙われやすいのは、モデルが答えを出す前にたどる推論の過程だ。Frontier Model Forum によると、推論の記録はモデルがどう答えに至ったかを映すので、敵対的な蒸留の格好の標的になる。各社はふつう推論の全文を利用者に見せないが、攻撃者はそれを取り出そうとする（※5）。

OpenAI の例では、暗号化された推論を1つの会話から写し取り、別の会話でその中身を読み出して書き起こすようモデルに求めていた。同社によると、実行者は暗号の解読やデータベースへの侵入、保存された会話への直接のアクセスをしたのではない。モデルとのやり取りを操作して、推論を再現させていた（※4）。

第三者からの会話記録の購入

Anthropic によると、モデルと利用者の会話の記録を第三者から買う研究所もある。売り手には仲介サービスの運営者が含まれ、利用者が知らないうちに会話を保存していることが多いという（※3）。

蒸留攻撃の由来と広まった経緯

「蒸留」の語は、機械学習では以前から使われている。2015年3月に Geoffrey Hinton 氏らが発表した論文「Distilling the Knowledge in a Neural Network」は、複数のモデルの知識を1つのモデルに蒸留する手法を示した（※13）。

他人のモデルを質問への答えから写し取る攻撃は、別の名前で研究されてきた。2016年9月の Florian Tramèr 氏らの論文は、パラメーターや学習データを知らずにモデルの機能を複製しようとする攻撃を「model extraction attacks」と呼んでいる（※14）。

「distillation attack」という言い方の先行例には、2019年6月の Ziqi Yang 氏らの論文がある。ただし、この論文の語はモデルに埋め込んだ透かしを蒸留で消す攻撃を指しており、今の意味とは異なる（※15）。

Anthropic は、OpenAI が2025年の初めからこの活動に注意を促してきたと説明している（※3）。2026年2月には発表が相次ぎ、13日に Google が、23日に Frontier Model Forum と Anthropic が文書を公表した（※1、※5、※6）。その後は米国政府の文書や議会の法案でも扱われ、中国の商務省が反論している（※8、※9、※10、※11、※12）。

蒸留攻撃に関する主な出来事・ニュース

• 2026年2月13日　Google「GTIG AI Threat Tracker」を公開：Google DeepMind と Google Threat Intelligence Group は、モデル抽出の試み、いわゆる蒸留攻撃の増加を確認したと報告した。
• 2026年2月23日　Frontier Model Forum「Adversarial Distillation」を公開：Frontier Model Forum は、敵対的な蒸留の主な手法と狙われる能力を整理した文書を公開した。
• 2026年2月23日　Anthropic「Detecting and preventing distillation attacks」を公開：Anthropic は、DeepSeek、Moonshot、MiniMax の3つの研究所が Claude の能力を不正に取り出す活動をしていたと発表した。
• 2026年4月20日　Huizenga 下院議員、法案「Deterring American AI Model Theft Act」の提出を発表：Huizenga 議員は、裁量による制裁を認めることなどを盛り込んだ法案 H.R. 8283 の提出を発表した。
• 2026年4月23日　米国の科学技術政策局「Adversarial Distillation of American AI Models」を公表：科学技術政策局は、産業規模の蒸留に対して政権が取る対応を、各省庁の長に宛てた覚書で示した。
• 2026年7月27日　中国の商務省、調査と制裁の可能性について報道官の見解を公表：中国の商務省は、米国の主張には事実の根拠がないとする報道官の答えを公表した。
• 2026年9月8日　NSA・CISA・FBI、蒸留に関する共同の勧告を公表：米国の3機関は、中国に拠点を置くAI企業の産業規模の蒸留について、米国のAI企業に対策を勧める共同の勧告を公表した。
• 2026年9月9日　中国の商務省、共同の勧告に反論：中国の商務省は、9月8日の勧告の指摘には事実と法の根拠がないとする報道官の答えを公表した。
• 2026年9月9日　Google「GTIG AI Threat Tracker: From Prompting to Autonomy」を公開：Google Threat Intelligence Group は、2月の報告のあとも同社のモデルを狙う蒸留の活動の規模と巧妙さが増し続けていると報告した。
• 2026年9月10日　Anthropic「Detecting and countering misuse of AI: September 2026」を公開：Anthropic は、2月の発表のあとに、中国に拠点を置く7つの研究所による蒸留攻撃を確認して阻止したと報告した。
• 2026年9月30日　OpenAI「組織的なモデル蒸留活動の阻止」を公開：OpenAI は、モデルの保護された推論を取り出そうとする組織的な活動を特定し、阻止したと発表した。
• 2026年10月12日　Anthropic「Strengthening our defenses against distillation attacks」を公開：Anthropic は、蒸留攻撃への新しい防御の方法と、その効果や負担を説明した。
• 2026年10月21日　OpenAI「使用に関するポリシー」を更新：OpenAI は、自社のモデルや出力を別のモデルの学習に使うことの制限を明確にした更新を公表した。発効は2026年11月20日の予定だ。

蒸留攻撃に関する事例

ここで紹介する件数や企業名は、それぞれの発表元の観測と主張だ。

Gemini の推論を狙う10万件超のプロンプトを Google が確認

Google の報告では、Gemini の推論の全文を出力させようとした活動の1つで、10万件を超えるプロンプトが見つかった。同社は質問の幅の広さから、英語以外の言語で Gemini の推論の力を再現しようとした試みとみている。Google によると、同社のシステムはこの攻撃を即座に認識し、リスクを下げた（※1）。

Google は攻撃の主体について、世界各地の民間企業や研究者を挙げている。同社が追跡している高度な攻撃集団や情報工作の集団による最先端のモデルへの直接の攻撃は、2025年には確認していないという（※1）。

Google は2026年9月の報告で、2月の報告のあとも活動の規模と巧妙さが増していると述べた。同社は組織的な活動を定期的に観測しており、1億件のプロンプトを超える例もあるという（※20）。

Anthropic は、中国拠点の研究所の活動を2度報告

Anthropic は2026年2月、3つの研究所が約2万4,000の不正なアカウントを通じて Claude と1,600万回を超えるやり取りをしたと発表した（※6）。

9月の報告では、2月の発表のあとに中国に拠点を置く7つの研究所による攻撃を確認して阻止したとした。同社がこれまでに測った最大の例は Alibaba の関係者によるもので、2026年5〜7月に1億5,100万回を超えるやり取りを観測したという（※3）。

OpenAI は、活動の中核を Moonshot AI 関係者と判断

OpenAI によると、この活動は2026年7月1日に始まり、7月24日と25日に急増した。この2日間には、関連する抽出の型を使った1万6,000件の依頼が、4,000人を超える利用者から送られた。ただし、これらの数は試みの数で、取り出しの成功を必ずしも意味しない。実行者がすべて同じ主体かどうかは不明だが、同社は中核の一群を Moonshot AI の関係者と判断している（※4）。

米国の3機関による6社を名指しした勧告

NSA、サイバーセキュリティ・インフラセキュリティ庁（CISA）、連邦捜査局（FBI）は2026年9月8日の共同の勧告で、DeepSeek、Moonshot AI、Alibaba、MiniMax、StepFun、Z.AI の名を挙げた。

勧告によると、これらの企業は遅くとも2024年の終わりごろから米国のモデルを狙い、数百万回のやり取りを通じて数十億トークンを取り出した。対象には Claude や GPT、Gemini、Grok の各系統が含まれる。トークンは、AIが文章を区切って扱う単位だ。3機関は、中国政府がこの活動を知っていた可能性が高いともみている（※9）。

中国の商務省は蒸留の指摘を否定

中国の商務省は2026年7月27日、米国政府の高官が調査や制裁の可能性に触れたことについて、報道官の答えを公表した。答えは、米国の主張には実際の証拠も法的な裏づけもないとしている。商務省はこの中で、自らの理解として、米国の多くのAI企業も中国のモデルを蒸留して研究開発や学習に使っているとも述べた（※10）。

9月9日の答えでは、蒸留はモデルどうしが学び合う一般的な方法で、本質は中立の技術だとした。商務省は、業界で通常使う方法を米国が攻撃と呼んで中傷しているとも批判した。米国の一部のAI企業が利用規約に広い地域の制限を設けていることも、不当な条項だと述べている。商務省は、米国が蒸留への対処を名目に中国のAI企業を抑え込むなら、対抗の措置を取るとも表明している（※11）。

蒸留攻撃を防ぐ仕組み

防御の中身を詳しく公開している例として、Anthropic の2026年10月の発表がある。同社は防御を、推論の行き先の管理、取り出しの阻止、繰り返しの抑止に分けて説明している（※7）。

• 推論の行き先を管理する。一部の新しいモデルでは、2026年8月31日以降に作られたAPIアカウントが過去の文脈を編集できないようにし、推論を読める範囲も絞った。
• 取り出しの試みを止める。一般に提供する中で最も高性能なモデルでは2段階の分類器で依頼を見分け、見つかった抜け道を塞ぐ。分類器は、依頼や出力の種類を見分けるAIの仕組みだ。
• 繰り返しの試みを難しくする。推論を取り出そうとし続ける利用者には厳しい利用制限をかけ、繰り返しの試みを検知したアカウントは停止する。

同社は初期の対策として、推論を要約してから利用者に見せるようにした。Claude Opus 4.8 の記録でモデルを学習させた同社の試験では、コーディングの指標 SWE-bench Verified の成績は、推論の全文で80.4%、要約だけで71.8%だった。

Anthropic の推計では、分類器を入れたあとに自社のサービスから取り出された推論の量は、それまでの10分の1から100分の1に減った。この数字は同社の自己申告で、測った範囲は同社自身のサービスだ。ただし同社は、この効果がいつまで続くかは分からず、高度で粘り強い回避の試みはまだ見ていないとしている（※7）。

OpenAI は、不正なアカウントの停止や制限、新規登録の管理の強化に加え、推論を外に出しかねない出力を検知して送信を保留する機能を足した（※4）。同社は2026年10月21日に使用に関するポリシーも改めた。

新しいポリシーは11月20日に発効する予定で、自社のモデルや出力を使い、自社のモデルやサービスの代わりになることを意図したモデルに向けて学習の材料を作ることなどを禁じる。モデルへの直接のアクセスを第三者に仲介するサービスには、事前の審査と承認を求める（※16）。Google は、生徒モデルの性能を下げる可能性のある即時の防御も使っているとしている（※1）。

米国の3機関の勧告は、米国のAI企業に対して3つの対応を勧めた。不審な依頼やアカウントの検知、蒸留が疑われる依頼への応答をわずかに変えること、組織をまたいだ情報の共有だ（※9）。

蒸留攻撃の英語での言い方・略語

蒸留攻撃のニュースを読むときの注意点と論点

蒸留攻撃の発表の多くは当事者の主張

この記事で取り上げた発表の多くは、被害を訴える開発元とその業界団体、米国政府によるものだ。件数は各社の観測や推計で、中国の商務省は指摘を否定している（※10、※11）。

米国の NPR は2026年7月28日、米国大統領の科学技術顧問が Anthropic のモデルの蒸留で作られたと指摘した Moonshot AI の新しいモデル Kimi K3 について、同社が取材に応じなかったことと、同社が否定したとする中国の報道を伝えた。この報道の時点で、Anthropic はこのモデルについて Moonshot AI を名指ししていなかった。

同じ報道は、蒸留が違法かどうかは裁判で確かめられていないとも伝えている（※18）。その後、Anthropic は9月の報告で、2026年5〜7月に Moonshot AI によるものとする2,300万回を超えるやり取りを観測したとしたが、このモデルには触れていない（※3）。

9月8日の米国の3機関の勧告は、Moonshot AI が Claude Fable 5 の相当量のデータを取り出し、Kimi K3 の学習に使ったと書いている（※9）。

企業名を挙げた指摘は発表した側の主張で、開発元と米国政府の発表には、名指しされた企業が指摘にどう答えたかは載っていない。名指しされているのは特定の企業や研究所で、Google は世界各地の民間企業や研究者を挙げている（※1）。国の名前だけで、その国の企業や人を一括りに見ないことが大切だ。

一般の利用者にも間接の影響がありうる

Google によると、モデル抽出や蒸留の攻撃でAIサービスの機密性や可用性、完全性は損なわれない。そのため、一般の利用者には通常リスクにならない。リスクが集まるのはモデルの開発元とサービスの提供者だ（※1）。

ただし、間接の影響は報告されている。Anthropic は、一部の研究所が自社のモデルの利用者の会話を Claude に送っていたと報告した。その中には、少なくとも12の言語で、数百人の利用者の氏名やメールアドレス、会社のデータなどが含まれていたという（※3）。業務でAIを使うときは、どの事業者を経由して入力が届くのかを確かめておくと良いだろう。

Anthropic の例では、防御の負担が正当な利用者にも及んでいる。同社は、一部の開発者に Claude と開発者のシステムをつなぐ部分の更新を求めることになったほか、分類器が0.1%未満の割合で無害な依頼を誤って止めることがあり、止めた依頼にも課金していると認めている（※7）。

オープンウェイトや輸出規制との関わり

オープンウェイトのモデルとの関わりも論点だ。Frontier Model Forum は、許可された蒸留の例としてライセンスが認めるオープンソースのモデルの蒸留を挙げている（※5）。一方で Anthropic は、Zhipu（中国の外での名は Z.ai）の GLM-5.3 を例に、蒸留で作られたモデルが能力に見合う安全対策なしに公開されてきたと主張する（※7）。

米国の科学技術政策局も、オープンソースの発展を支える方針を示しながら、悪意のある取り出しから生まれたモデルを批判している（※8）。

AIモデルの輸出規制との関わりでは、規制を支持してきた Anthropic が、蒸留攻撃は輸出規制の効果を損なうと主張している（※6）。米国の Huizenga 下院議員も、法案の発表で輸出規制の回避を止める必要に触れている（※12）。

蒸留攻撃に関連する用語

• オープンウェイト：学習を終えたAIモデルの重みが公開され、手に入る状態。
• AIモデルの輸出規制：政府が安全保障などを理由に、高性能なAIモデルを外国へ渡すことや外国人に使わせることを制限すること。

蒸留攻撃に関する出典

※1 Google Threat Intelligence Group「GTIG AI Threat Tracker: Distillation, Experimentation, and (Continued) Integration of AI for Adversarial Use」（2026年2月13日）
※2 Google Threat Intelligence Group「GTIG AI 脅威トラッカー: 敵対的な使用を目的とした AI モデルの抽出（蒸留）、実験、（継続的な）統合」（2026年2月13日）
※3 Anthropic「Detecting and countering misuse of AI: September 2026」（2026年9月10日）
※4 OpenAI「組織的なモデル蒸留活動の阻止」（2026年9月30日）
※5 Frontier Model Forum「Adversarial Distillation」（2026年2月23日）
※6 Anthropic「Detecting and preventing distillation attacks」（2026年2月23日）
※7 Anthropic「Strengthening our defenses against distillation attacks」（2026年10月12日）
※8 米国大統領府 科学技術政策局「Adversarial Distillation of American AI Models（NSTM-4）」（2026年4月23日）
※9 NSA・CISA・FBI「China-Based Artificial Intelligence Companies Conducting Industrial-Scale Distillation Campaigns Against U.S. AI Companies」（2026年9月8日）
※10 中国商務省「Ministry of Commerce Press Spokesperson Answers Reporter’s Question about the United States Threatening to Launch Investigations and Implement Sanctions Against Chinese Artificial Intelligence Enterprises」（2026年7月27日、Center for Security and Emerging Technology の英訳）
※11 中国商務省「商务部新闻发言人就美发布中国人工智能企业对美蒸馏活动相关网络安全公告答记者问」（2026年9月9日、新華網）
※12 Bill Huizenga 下院議員事務所「Huizenga Introduces Legislation to Stop China and Russia from Stealing American AI Models」（2026年4月20日）
※13 Geoffrey Hinton、Oriol Vinyals、Jeff Dean「Distilling the Knowledge in a Neural Network」（2015年3月9日、arXiv）
※14 Florian Tramèr ほか「Stealing Machine Learning Models via Prediction APIs」（2016年9月9日、arXiv）
※15 Ziqi Yang、Hung Dang、Ee-Chien Chang「Effectiveness of Distillation Attack and Countermeasure on Neural Network Watermarking」（2019年6月14日、arXiv）
※16 OpenAI「使用に関するポリシー」（2026年10月21日更新、2026年11月20日発効）
※17 Frontier Model Forum「Membership」
※18 NPR「Allegations of AI distillation spark debate about IP theft. But is it illegal?」（2026年7月28日、Little Rock Public Radio の掲載）
※19 中国商務省「商务部新闻发言人就美宣称拟对中国人工智能企业开展调查并实施制裁答记者问」（2026年7月27日、新華網）
※20 Google Threat Intelligence Group「GTIG AI Threat Tracker: From Prompting to Autonomy – The Evolution of Adversarial AI」（2026年9月9日）