米当局のAI蒸留勧告、疑惑と防御・評価の透明性を読む

6社を挙げた共同アドバイザリー

NSA、CISA、FBIは2026年9月8日、共同文書AA26-251Aを公表した。DeepSeek、Moonshot AI、Alibaba、MiniMax、StepFun、Z.AIの中国拠点企業6社について、米国のフロンティアモデルを対象とする大規模な蒸留活動を実施したと評価している。

文書は2024年後半以降の活動を挙げ、数百万回のやり取りと数十億トークン規模の抽出があったとする。中国政府が認識していた可能性が高いという表現も用いている。ただし、これは米当局の評価・主張であり、名指しされた企業の違法行為を裁判所が認定したという意味ではない。公開情報だけで、帰属判断を独立に再現できる状態にもなっていない。

従来の企業による告発が、連邦政府のサイバーセキュリティ勧告という形式でまとめられた点に今回の特徴がある。技術開発上の競争に加え、利用規約、営業上の利益、安全保障が重なった問題として扱われた。

蒸留自体と、許諾を巡る争いを区別する

知識蒸留は、あるモデルの出力や振る舞いを別のモデルの学習に利用する技術の総称だ。正規に許諾を受けて能力を移し、軽量化や用途への最適化を図る利用もある。したがって、蒸留という名称だけでは、適法性や悪意を判定できない。

米側が問題にしているのは、規約やアクセス制限を回避し、大量の出力を競争相手の開発へ利用する活動である。一方、中国商務省は9月9日の談話で、公告には事実上・法律上の根拠がないと反論した。蒸留は世界の企業が使う中立的な技術であるとして、米側の安全保障上の位置づけや地域制限も批判している。

両者の対立は、一般に蒸留が使われているかどうかだけでは解けない。具体的な取得行為があったのか、契約上許された利用だったのか、その根拠を誰が示すのかが分かれ目になる。本稿では当局の指摘と中国側の反論を区別し、独自に違法性を断定しない。

提供者に求めた3種類の対策

CISAの発表は、異常な利用の監視と緩和、疑わしい活動に対する応答の変更、組織をまたぐ情報共有を即時対応として挙げる。大量の処理を一社だけで見ても全体像を把握しにくいため、モデル提供者、クラウド、APIの中継事業者などの協力を求めている。

特に注目されるのは、高い確度で悪意ある蒸留と判断した要求に対し、応答の内容や品質を調整するという勧告だ。文書は、疑わしい利用者には切り替えを知らせない方向を示す一方、AI安全性研究者や第三者評価者にはモデルの変更を知らせるべきだとしている。通知を一律にやめるという内容ではない。

ここには、防御を相手に学習されにくくすることと、正当な評価の再現性を保つことの緊張がある。安全性の検証で得た結果が、通常のサービスと異なる応答設定に基づいていれば、比較の意味が変わる。防御と評価の関係を文書の同じ箇所で扱っている点は、運用上見落とせない。

大量利用という特徴だけで判断しない

勧告は、利用状況やアカウント、ネットワークなどの行動指標を重ねて判断する考え方を取る。固定的なIPアドレスやファイルのハッシュを並べた一覧とは性質が違う。自動処理の量が多い、継続的に稼働する、といった一部の特徴は、正当な企業利用にも現れうる。

以下は日本のAPI利用企業への考察である。夜間処理や大量の評価を行う場合、利用目的、認証主体、契約、実行記録を説明できる状態にしておく意義がある。複数の顧客の要求を中継する事業者では、誰の処理かを区別できない構成が、障害対応や提供元への照会を難しくする。

応答が変化した場合も、ただちに防御による品質変更と結論づけてはいけない。モデル更新、負荷、入力の差、ツールの不具合など、別の原因がありうる。同じ条件での比較記録と、提供者へ確認できる契約・連絡経路を持つことが、誤認を減らす。

情報共有には、誤判定を戻す経路も必要

複数の事業者が同じ利用者について情報を持ち寄れば、単独では見えなかった活動を把握できる可能性がある。一方、誤った分類が組織間で広がると、正当な利用者が複数のサービスで影響を受けるおそれもある。共有する指標と、その指標から導く判断を区別することが重要だ。

ここも運用上の考察だが、事業者は判断の根拠を記録し、見直しが必要になったときに追えるようにしたい。個別の検知方法を公開することと、契約上の制限や異議申立ての窓口を示すことは、両立しうる別の対応である。利用側が問い合わせを行える状態は、防御の仕組みをそのまま相手へ教えることとは異なる。

AIの能力を継続的に比較する組織では、評価したモデル、時刻、APIの設定、取得した応答を保存する意味も増す。評価者への通知に関する勧告は、研究コミュニティだけでなく、モデルを選定する企業にとっても参考になる。ただし、この文書が日本の利用企業へ特定の記録義務を新設したという意味ではない。

開発費の数字と、公開情報の限界

文書はDeepSeek-V3の訓練費として知られる約560万ドルについても、開発全体の費用とみなすことに異議を示している。ただし、代わりとなる総額の推計は提示していない。特定の訓練段階の計算費用と、データ取得や試行錯誤を含む総開発費を、同じ数字として扱わないことが必要だ。米側の指摘だけから、未公表の費用を逆算することもできない。

企業別のモデル名を確認する際も、文書の本文と表の記載を照らす必要がある。一部の記載には列挙範囲の違いがあり、表だけを抽出して活動の全体像と断定するのは適切ではない。公開された情報で言える範囲と、当局しか持っていない根拠を分けて読む姿勢が求められる。

今後の実務課題は、正規の利用や評価を継続できる契約と、濫用を防ぐ監視をどう両立させるかにある。情報共有を進める場合も、顧客データや個人情報をどこまで共有できるかは別途検討が必要だ。国家間の主張の対立だけでなく、日々のAPI運用の透明性と説明責任にもつながる論点である。

出典：イノベトピアの報道、CISA・NSA・FBI共同勧告AA26-251A、中国商務省の談話を伝える中国新聞網。各当事者の主張と、本稿の運用上の考察を分けて記述した。

AIを利用する業務システムの検討・相談先として、当メディアを運営するRO合同会社の公式サイトも参照できる。