TL;DR· Anthropicが米国上院に書簡を送り、AlibabaとQwen関連運営者がClaudeの能力を大規模に抽出したと非難。
· このような蒸留攻撃は、強力なモデルの出力を使って他のモデルを訓練するもので、モデル重みの輸出制限を回避する可能性がある。
· Alibabaは蒸留疑惑について回答しておらず、米国のモデル規制はAnthropic自身の開放性も制限し始めている。

Anthropicは米国上院銀行委員会に宛てた書簡で、AlibabaとそのAIラボQwen関連運営者が約2万5000の不正アカウントを使用し、Claudeモデルの能力を大規模に抽出したと非難した。Reutersなどのメディアが確認した書簡によると、Anthropicが「既知最大規模」と表現するこのモデル蒸留攻撃は、2026年4月22日から6月5日までの間に行われ、Claudeとの2880万回以上のやり取りが含まれていた。この事件が注目されるのは、その規模の大きさだけでなく、米国政府がAI輸出規制を強化し、国防総省がAlibabaを「中国軍事企業」リストに追加したのと同じ時期に発生したためである。

「モデル蒸留」とは、モデルの重みやソースコードを直接盗むのではなく、強力なモデルの出力を使って別のモデルを訓練し、後者が一部の能力を迅速にコピーできるようにする手法である。AI研究開発では一般的な技術だが、不正アカウントを通じて、利用規約に違反したり、アクセス制限を回避したりして行われる場合、知的財産の不正抽出と見なされる。米国の政策立案者にとってさらに厄介なのは、最先端のモデルそのものを入手しなくても、大規模な呼び出しによって、競合他社が同様のソフトウェアエンジニアリングやエージェント推論などの能力を得る可能性があることだ。

42日間、2880万回のやり取り——AnthropicがAlibabaとQwenを非難

この書簡の日付は6月10日で、宛先は米国上院銀行委員会の委員長Tim Scottと上級メンバーElizabeth Warrenである。複数のメディアが確認した書簡の内容によると、Anthropicはこの行動を同社に対する既知最大の蒸留攻撃と表現している。

核心的な数字は明確である。4月22日から6月5日まで、攻撃者は約2万5000の不正アカウントを通じて、Claudeと2880万回以上のやり取りを行った。Anthropicは、これらのアカウントの背後にある運営者がAlibabaおよびAlibaba Qwenと関連しており、中国がAnthropicの先進モデル能力を迅速に入手することを目的としていると考えている。

懸念の核心は、単なる一般的なQ&A能力の複製ではなく、ソフトウェア工学、自動化タスク、エージェント推論における最先端モデルの能力流出にあります。これらの出力が体系的に収集されれば、他のモデルのトレーニングデータとなる可能性があります。

ここで境界線も重要です。Anthropicが使用しているのは「AlibabaおよびAlibaba Qwenに関連する運営主体」という表現であり、これは阿里巴巴（アリババ）が公式に直接攻撃を組織したと確認されたことや、関連モデルがClaudeの先進的な能力を複製することに成功したことを証明するものではありません。関連報道の時点で、阿里巴巴はこの蒸留疑惑に対して回答していません。五角大楼（米国防総省）が同社を「中国軍事企業」リストに追加した件については、阿里巴巴はすでに訴訟を起こしており、その認定は「事実または法的根拠がない」と主張しています。

蒸留攻撃が通常のスクレイピングよりも敏感な理由

通常のデータスクレイピングは、ウェブページ、テキスト、公開資料の収集を指します。蒸留攻撃は、モデル自体の出力能力を標的にします。

攻撃者は強力なモデルに繰り返し質問し、回答、推論プロセス、コード生成結果、タスク実行計画を保存し、それを自らのモデルのトレーニングに使用できます。これにより、基礎となる重みにアクセスしなくても、特定のタスクにおける強力なモデルの行動パターンを学習できる可能性があります。

これこそが、AI企業や規制当局が警戒を強めている点です。先進モデルへのアクセスインターフェースは本来、商業製品であり、対外サービスチャネルです。しかし、アクセス規模が数千万回に達し、アカウントが不正アカウントと判定された場合、製品インターフェースは能力抽出の経路になり得ます。

Anthropicは以前にも同様の事例を公開しています。2026年2月、同社はDeepSeek、Moonshot AI、MiniMaxに対して小規模な同様の行動を発見したと発表しました。DeepSeek関連のインタラクションは15万回超、Moonshot AIは340万回超、MiniMaxは1300万回超でした。これらの事例と比較して、今回のAlibabaおよびQwen関連運営主体を対象とした2880万回のインタラクションは明らかに大規模です。

Anthropicが議会に書簡を送ったのは、米国政府と民間AI企業間での脅威情報共有を促進するためでもあります。同社の見解では、こうした攻撃の強度と複雑性は増しており、より迅速な連携対応が必要です。

非難が米国の政策強化と重なる中、Anthropic自身も制限を受ける

この非難は孤立して発生したものではありません。

今年4月、ホワイトハウスは中国が「産業規模」で米国のAI研究所の知的財産権を盗用していると非難した。6月上旬には、ペンタゴンが1260Hリストを更新し、アリババを「中国軍事企業」リストに追加した。アリババはこの認定に異議を唱えているが、この動きにより、米国の国家安全保障審査との関係はさらに緊迫している。

その後、米商務省は6月12日、国家安全保障を理由に、Anthropicの最新モデル「Mythos」および「Fable」に対する輸出制限を実施した。米国側は、これらの先進モデルが中国などの軍事機関や情報機関に利用される可能性を懸念している。

Anthropicにとって、この制限は直接的な結果をもたらした。世界中のユーザーIDやアクセス元を効果的に選別することが困難なため、同社は地域ごとの正確なブロックにとどまらず、関連モデルへのアクセスをより広範囲に制限せざるを得なくなった。

これにより、ある矛盾が生じている。Anthropicは一方で、政府による外部からの蒸留攻撃対策への支援を求めているが、他方で、より厳格な輸出規制による製品の開放制限を受け始めている。AIモデルはもはや単なるソフトウェアサービスではなく、先進的なチップと同様の安全保障管理フレームワークに組み込まれつつある。

帰属と対抗措置の境界線が最大の不確定要素

今回の事件は、短期的には米国議会や規制当局がAIモデルへのアクセス制御について議論を続けるきっかけとなる可能性が高い。従来の輸出規制と比較して、モデルインターフェースの管理はより困難である。ユーザーは国境を越えて登録したり、アクセス権を転売したり、多数の小口アカウントに分割して呼び出し規模を分散させることができる。

しかし、この事件は依然としてAnthropicの一方的な告発段階にとどまっている。攻撃の意図、アカウントの背後にある実際の運営主体、能力の流出の程度は、いずれも司法判断に至っていない。アリババが応答するかどうか、Qwen関連の運営主体の身元をどのように説明するか、また、第三者がアリババのエコシステムや名義を利用して操作を行った可能性があるかどうかは、依然として未解決の問題である。

より現実的な影響として、米国はAI企業に対し、アカウント審査の強化、異常な呼び出しの監視、企業間の脅威情報共有をさらに求める可能性がある。Anthropic、OpenAI、Googleなどの最先端モデル企業にとって、これはセキュリティコンプライアンスコストの増加を意味する。中国のAI企業にとっては、海外の先進モデルサービスへのアクセスがさらに困難になる可能性がある。

この告発はまだ司法上の結論には至っていないが、ある問題をより具体的にした。すなわち、モデルの重み付けに加えて、モデルの出力そのものも、米中AI競争において規制され、争奪される資産になりつつあるということだ。

BlockBeats の公式コミュニティに参加しよう：

Telegram 公式チャンネル：https://t.me/theblockbeats

Telegram 交流グループ：https://t.me/BlockBeats_App

Twitter 公式アカウント：https://twitter.com/BlockBeatsAsia