今回の記事の重要ポイント（三点）
・Anthropicは9月10日、中国の7社がClaudeの回答を不正に集めて訓練に使い、KimiとDeepSeekは利用者の入力をClaudeへ中継していたと報告した。
・蒸留そのものは普通の訓練手法で、問われているのは規約に反した大量取得と、利用者の質問の中継の2つ。中国側は政府が反論し、企業は沈黙している。
・AIを選ぶ物差しに、入力がどこで処理されるかを利用者が確かめられるかが加わる。2日後の減速提案は、この告発を中国への締め付けと結び付けた。
Anthropicが中国7社の「不正蒸留」を報告、Kimi経由で軍関係の監視データも
米AI企業Anthropicは9月10日、AIの悪用事例をまとめた脅威報告書を公表し、アリババ、ムーンショットAI、DeepSeek、智譜（Z.ai）、シャオミなど中国の7社が、不正な手段でClaudeの回答を大量に集め、自社モデルの訓練に使っていたと主張した。
同社はこれを「不正な蒸留」と呼び、アリババ関連だけで5〜7月に1億5,100万件超のやり取りを観測したとしている。
報告書によれば、ムーンショットとDeepSeekは自社の対話サービスに届いた利用者の質問の一部をClaudeへ転送し、返ってきた回答を自社モデルの回答として表示していた。利用者への通知や同意の状況は独立には確認されておらず、ムーンショットについてはAnthropic自身も通知の有無を不明としている。
この中継を通じて、中国人民解放軍の関係者とみられる利用者による監視映像の分析依頼、国有企業の内部コードと認証情報、ロシア国防省関連機関のデータベースの認証情報などがClaudeに届いたとしている。
米国家安全保障局（NSA）など米政府3機関は報告書に先立つ8日、中国のAI企業6社が米国のAIモデルから産業規模の蒸留を行っていると警告する共同文書を出した。
中国商務省の報道官は9日、「根拠も法的根拠もない」と反発し、蒸留を口実に中国企業を抑圧するなら対抗措置を取ると述べた。名指しされた企業側のコメントは13日時点で確認されていない。
Anthropicのダリオ・アモデイCEOは12日、AI開発の速度を各社で調整する提案を公表し、社外の評価者の受け入れ、民主主義国の企業間での共通の安全基準、中国への先端半導体の販売と無断蒸留の取り締まりを求めた。OpenAIのサム・アルトマンCEOは同調し、2026年中の株式上場は適切でないと表明した。
関連記事
「蒸留」は何を移し、利用者の入力はどこへ行っていたのか
蒸留は普通の技術で、問われているのは取り方と中継
蒸留そのものは正当な訓練手法で、Anthropic自身も報告書でそう書いています。蒸留（distillation）とは、性能の高い「教師モデル」に大量の問題を解かせ、その答えで小さな「生徒モデル」を訓練する手法で、どの会社も自社の中で使っています。
問題にされているのは2つの行為です。1つは、盗んだクレジットカードや使い捨てのメールアドレスで何千ものアカウントを作り、規約に反してClaudeの回答を集めたこと。もう1つは、自社サービスの利用者の質問をClaudeへ送り、その答えを自社の答えとして返していたことです。前者は米国企業が被害を訴える話で、後者は中国側の利用者が巻き込まれる話です。
報告書は、集めた回答で中国側のモデルがどれだけ強くなったかを示していません。書かれているのは、自社の実験では今回より少ないやり取りでも大きな向上が出た、という一般論までです。
「安い中国AI」は3通りの形で届いている
利用者の画面からは、AIがどの形で動いているか区別がつきません。中国製のAIを使う形は大きく3つあります。開発した会社が自分のサーバーで動かす形、公開されたモデル本体（オープンウェイト）を別の会社や利用者が手元で動かす形、そして画面の裏で別の会社のAIを呼び出して答えを返す中継の形で、データの行き先はそれぞれ違います。
報告書の主張は、ムーンショットとDeepSeekが一部の利用者に対して3つ目の形を取っていた、というものです。ムーンショットは10日間で約30万件の質問をClaudeへ回し、DeepSeekはコーディング用のツールから来た質問を見分けて、選んだ利用者の分だけ送っていたとされます。
これはAnthropicが自社への通信を観測して組み立てた主張で、ムーンショットが利用者に転送を知らせていたかどうかは分からない、と同社自身が書いています。中国の企業側からは反論も説明も出ていません。
関連記事
中国AI「Kimi K3」が米最先端に急接近 OpenAIとAnthropicの堀は何年もつのか【海外の反応・解説】
2日後の減速提案に、蒸留の取り締まりが入っている
アモデイ氏の提案は、安全のための減速と中国への締め付けを1つの文書に並べています。骨格は3段階です。第1に、社外の評価団体に社員並みのアクセスを与えて安全対策や訓練の工程を確かめてもらうことで、Anthropicは自社だけでも先に始めると約束しています。
第2に、民主主義国のAI企業同士で共通の安全基準と、確認なしに進んでよい速度の上限を決めること。企業同士の話し合いは独占禁止法に触れるおそれがあるため、米政府の仲介か限定的な免除が要るとしています。第3に、中国を含む国際的な協調です。
減速の意味は本人が定義しています。モデルを調整し保護するのに十分な時間を取り、第三者がそれを確かめることで、訓練や技術の進歩を止めることは含みません。急ぐ理由は、AIが次のAIを作る能力の急な向上と、7月に起きたOpenAIのAIエージェントによる実在企業への侵入事件です。
同じ文書で、中国への先端半導体と製造装置の販売禁止、権威主義国の企業による無断蒸留の取り締まり、モデル本体の盗難防止も求め、うまく実行すれば今後3〜5年の間に米国のリードを大きく広げられるとしています。
関連記事
OpenAIとAnthropicのAIが実在企業をハッキング 「暴走」ではなく命令に忠実すぎた事故の全貌【海外の反応・解説】
海外の反応
Anthropicの報告書は、英語圏のAI関連コミュニティでもすぐに取り上げられました。
技術系の話題を扱うr/singularityでは、報告を伝える記事に187件の書き込みが集まりました。目立つのは「これは攻撃なのか」という問いと、他人の著作物で学習してきたAnthropicの側に言う資格があるのかという批判や冷笑です。その中で、利用者の入力が転送されていた点と、出力を訓練に使った点を切り分けるやり取りが続いています。途中に出てくる「国家機密」や米情報機関への共有は投稿者の見方で、報告書が確認した事実ではありません。
以下はスレッド内のユーザーコメントの抜粋・翻訳です。
これは本当に「攻撃」なのか。トークン（AIが文章を処理する単位。課金の単位でもある）の代金は払っていて、Claudeは訓練された通りに応答しているだけに聞こえる。
彼らは自分の顧客をだまし、その情報を勝手に外へ出している可能性がある。重要な政府系の顧客まで含めてだ。しかもAnthropicの利用規約に違反して、その出力で訓練している。さらにAPIの認証情報を盗んで他人のアカウントを使い、実体のない会社まで作って、利用者とClaudeのデータを集めている。この規模を考えれば、攻撃という言葉はかなり妥当に思える。
でも、どう見ても「攻撃」ではない。OpenAIやAnthropicが音楽で訓練していることを、音楽家への「攻撃」と呼んでいるか。
著作物で訓練することについては、賛成の側にも反対の側にもまともな言い分がある。まともでないのは、自分たちが著作物で訓練するのは構わないが、自分たちの出力で訓練されるのは駄目だ、というAI企業の言い分だ。両方とも構わないか、両方とも駄目かのどちらかだ。
ひとつ例外を挙げるなら、蒸留する側が偽のアカウントや盗んだクレジットカードを使っている場合だ。それは昔ながらの詐欺で、話が別。
ただ、中国企業にとっては悪い知らせだろう。これが本当なら、中国の国家機密にあたる情報をかなりの量、米国企業に漏らしたことになる。その企業はおそらく米国の情報機関と共有する。
それと、ここでの問題は蒸留（大きなモデルの出力を使って別のモデルを訓練する手法）ではない。どの研究所もある程度はやっているはずだ。
問題は、これらの企業が、国家機密を含む利用者のプロンプト（AIへの入力文）を、利用者の同意なくClaudeへ回していたこと。
中国は蒸留などしていない、ただモデル作りがものすごくうまいだけだ、という書き込みをこの掲示板で何度見たか。数えきれない。
まず、中国に強い敵意を持つ最高経営責任者がいる会社、Anthropicの言葉を、そのまま真実として受け取っている。
それに、中国の研究所が蒸留をしていないと言う人はあまり見たことがない。実際にやっているし、否定もしていない。反論されているのは、中国の研究所が今の位置に来られたのは蒸留だけのおかげだ、という主張のほうだ。彼らは米国のどの研究所よりも多くの技術論文を出しており、蒸留が手段のひとつにすぎないのは明らかだと思う。
2日後の減速提案については、Claudeの利用者が集まるr/ClaudeAIにスレッドが立ちました。
日頃からAnthropicの製品を使っている人たちの場ですが、書き込みの多くは提案に懐疑的です。
以下はスレッド内のユーザーコメントの抜粋・翻訳です。
これらの企業が主張どおり危険なのだとしたら、公的な監督と監査と説明責任の仕組みを示せるようになるまで、株式を公開することは認められるべきではない。
どの会社も、相手が先に出たとたんに減速を言い出す。笑ってしまう。
私が心配しているのは、規制を使って堀を作り、新しい企業が追いつけないようにして、中国企業との競争を締め出したり、オープンソース（誰でも使えるように公開されたモデル）を大きく制限したりすることだ。
私はAIが好きだし、生産性の向上も、シンギュラリティ（AIが人間の知能を超える転換点）も、そこから来る恩恵も歓迎している。Anthropicやアモデイの欠点や、偽善と受け取られかねない部分があるとしても、成長のペースを調整して管理する必要があるという点には完全に同意する。
これは、何かが起きる確率は低くても、起きたときの結果が壊滅的になりうる類いのものだ。加えて、公開されているモデルは蒸留によっていずれ最先端に追いつく。安全装置のないモデルが出回れば、たとえば大規模なサイバー攻撃の群れが、止める手段のないまま起こりうる。
安さの裏で入力はどこへ行くのか、そして誰が確かめるのか
流れ出たのは「モデルの能力」より「利用者の入力」
報告書が正しければ、被害を受けたのは中国のAIサービスを信頼して機密を入力した中国側の利用者でもあります。Anthropicから見れば自社モデルの能力を抜き取られた事件で、利用者から見れば、KimiやDeepSeekに入れた文章が知らないうちに米国企業のサーバーへ届いていた事件です。
報告書に並ぶ例は、監視カメラの映像分析、社内システムの認証情報、警察の案件管理システムの設計と、いずれも組織の内側で使う前提で入力されたものです。
中継が事実なら、転送していることを説明し同意を取る責任は事業者の側にあります。監視映像に映っていた人々や、認証情報でつながる組織も当事者です。
9日の中国商務省の反論は米政府の蒸留告発に向けたもので、11日の外交部の会見での回答も、報告書に含まれた別の情報収集の疑いについてでした。利用者の入力の中継の有無や通知・同意についての具体的な説明は、政府からも企業からも13日時点で見つかっていません。
軍・政府関係データの中継は、米中AI競争をどう変えるのか
報告書に挙がった情報は、組織の内部業務をうかがわせる種類のものです。軍施設の周辺を含む監視カメラの映像、国有企業の内部コードと認証情報、警察の案件管理システムの設計といった内容で、真正で十分な中身を含んでいれば、監視の対象と方法や内部システムの組み方の手掛かりになりえます。
その先は段階を分けて見る必要があります。米国企業が受け取ったことと、米政府が入手したこと、それを外交や作戦に使ったことは別の段階で、報告書が示しているのは最初の段階までです。情報の新しさや米側にとって未知の内容だったかも分かっておらず、「中国の軍事戦略が筒抜けになった」と広げる材料は今のところありません。
一方、告発を知った中国側が動く方向は、今ある事実から考えられます。告発が裏付けられれば、中国の政府機関や国有企業にとって「米国製を避けて中国製を選ぶ」だけでは情報を守れず、問題はサービスの国籍ではなく実際の処理経路になります。
国内AI企業の外部接続の監査、機微な業務での利用制限、外部通信を管理できる専用環境への移行は、実施が確認された措置ではなく、告発から考えられる対応の方向です。米国側は自国AIの能力を持ち出させないために、中国側は自国の情報を持ち出させないために、同じ接続を両側から狭める展開もありえます。
中国製AIを使う第三国の政府や企業にとっても、問いは同じです。米国企業への依存を避ける目的で中国のサービスを選んだのに入力が米国企業へ転送されていたなら、選んだつもりの立ち位置と実際の処理経路が一致していなかったことになります。この告発は、各国が自国で管理できるAI基盤や処理先を監査できるサービスを求める材料にもなります。
評価軸に「処理先を確かめられるか」が加わる
性能と価格の次に、入力がどこで処理され誰の訓練に使われるかが、AIを選ぶ物差しに入ってきます。今回の報告書が突いたのは、選んだサービスと実際に処理した場所が一致しない可能性があり、しかも利用者の側から確かめる手段が限られていることです。
この物差しは、米国製のAIにも同じように当てはまります。米国のAI企業も政府や軍、情報機関と協力しており、Anthropic自身、報告書の中で当局や業界と情報を共有したと書いています（共有した情報の種類や対象の案件は明らかにしていません）。どの国の企業に入力を預けるかは性能と価格の外側にある選択で、企業や行政には価格差より重い条件になりえます。
確かめる手段は使い方で変わります。公開モデルを自社の管理する環境で動かし、外部との連携やログの送信まで通信を管理する方法があり、その場合は計算資源と運用費用、用途ごとの性能を見極めることになります。クラウドのサービスを使う場合は、契約の条項、処理先の開示、第三者の監査を組み合わせて、事業者の説明をどこまで確かめられるかが問われます。
「確かめる」役は誰が担うのか
減速提案が言う第三者の評価と、蒸留や中継の探知は、別の仕事です。アモデイ氏が提案した社外の評価者は、AI企業の安全対策と訓練の工程を中から確かめる役です。
今回の告発のような「誰がどこから何件取ったか」の探知と帰属は、通信記録を持つAI企業自身が行っており、独立した第三者による検証は13日時点で確認できていません。
2025年1月にDeepSeekがOpenAIのモデルを蒸留したと米政権のAI担当が述べたときも、証拠は公表されないままでした。今回は件数や手口まで開示された一方、告発者と探知者と利害関係者が同じ1社である点は変わらず、提案の中にもそれを第三者が確かめる仕組みは入っていません。
核不拡散の分野では、国際原子力機関（IAEA）が核物質の平和利用からの転用を査察で検証します。物質と施設があるから測れる仕組みです。アモデイ氏自身は、AIがAIを作る速度の制限を、ミサイルの数を制限した米ソの戦略兵器制限交渉（SALT）になぞらえています。
AIの場合、測るべきものが計算資源なのか、能力なのか、訓練の工程なのかが決まっておらず、出力は施設なしに国境を越えます。今回の告発が示したのは、この測りにくさの実例です。
同じ会社が、告発と減速案の両方を出した
安全のための協調と、米国の優位を保つ設計は、同じ文書に入っています。自社だけが遅くすれば競争上の負担を1社で背負うため、提案は企業間の調整と独占禁止法の免除を含む政府仲介を柱にし、まず民主主義国の企業間で歩調を合わせ、中国には先端半導体と蒸留の両方で追いつく手段を絞りつつ、中国を含む国際協調も並行して目指す設計です。
この2つは同じ論理でつながっています。民主主義国の側が減速できる幅は権威主義国に対するリードの大きさで決まる、とアモデイ氏自身が書いており、減速と対中の締め付けは同じ設計の中で互いを支えます。告発が「無断蒸留の取り締まり」という項目の根拠になる構図も、ここから出てきます。
そのうえで、この設計には代償の懸念もあります。社外評価者の受け入れや共通基準への適合は、適用範囲と費用負担の設計次第で新興企業に重くのしかかり、今の上位企業の地位を固める方向に働きえます。
米政権でAI政策を担ってきたデービッド・サックス氏は8月、アモデイ氏の路線を「規制による囲い込み」と呼び、承認待ちの行列を作ると批判しました。現政権の基本方針は開発の加速で、政府仲介の前提がそろうかは13日時点で見えていません。
アルトマン氏がX上で同調し、Fortuneのインタビューで年内の上場を否定したことは、単なる宣伝ならここまでしないという見方にも、上場前に規制の形を整えておきたいという見方にも読めます。
減速に反対する側には動機を疑う以外の言い分もあり、広い速度制限は医療や科学、防御側のセキュリティ技術の便益も遅らせるので、危険な用途を個別に縛る方が効くという考え方です。アモデイ氏自身も、遅くしすぎれば間違った人々が技術を握ることになると述べており、どこまで遅くするかという幅が争点として残っています。
日本の企業と行政は、入力の行き先をどう確かめるか
日本にとっての問いは、どの国のAIを使うかより、使うAIの処理先をどう確かめるかです。6月のFable 5公開停止で見えたように最上位モデルの利用は米国の管理と結び付いており、提案が言う「民主主義国の企業間調整」に日本の事業者が入る側になるのか、基準を持ち込まれる側になるのかは決まっていません。
報告書に日本の名前が出てくるのは、ムーンショットの中継に使われたアカウントの大半が日本とシンガポールに所在するとみられる、というAnthropicの推定の中だけです。企業や行政の調達で入力の処理先を契約と監査で確かめる仕組みは、国内のAI基盤の整備と並ぶ課題になります。
関連記事
Claude Fable 5公開停止で始まるAI信頼アクセス圏 同盟国日本に問われる防諜と国内AI基盤【海外の反応・解説】
安いAIの入力の行き先は、中国製に限らず利用者が確かめる手段を持てるかの問題
安全対策の評価だけでは、入力先の信頼までは保証できない
今回の報告書が示したのは、性能と価格で選ばれてきたAIサービスの裏側で、入力がどこへ届いていたかを利用者が知る手段を持っていなかったことです。中国の利用者にとっては入力の国外送信、米国の企業にとっては能力の抜き取りという、同じ仕組みが両方の顔を持っています。
2日後に出た減速提案は、安全のための協調と米国の優位を保つ設計を1つの文書に収め、安全対策を検証する第三者評価の構想を示しました。それを国際的に実施する権限や違反時の対応は、これからの課題です。
そして、AIの安全性を評価する仕組みと、利用者の入力が誰に渡るかを確かめる仕組みは同じではありません。今回の告発が問いかけているのは後者で、安いAIを使う側に残るのは、自分の入力の処理先を契約と監査でどこまで確かめられるかという問いです。
それではまた、次回の記事でお会いしましょう。
YouTubeでも配信中
せかはんでは、記事の内容をまとめた解説動画とショート動画を配信しています。動画で振り返りたい方はこちらからどうぞ。
▼記事が面白かったら応援クリックお願いします！▼
▲更新の励みになります！▲
関連書籍紹介
『半導体戦争 世界最重要テクノロジーをめぐる国家間の攻防』
クリス・ミラー／千葉敏生訳（ダイヤモンド社／2023年02月刊）
半導体という一つの製品を軸に、戦後の技術と国家の関係を追った大著です。トランジスタの発明から、日本メーカーの台頭と後退、台湾への製造の集中、そして設計・製造装置・材料が国ごとに分かれて成立している現在の供給網まで、人物と企業の判断を追いながら描いています。計算能力を握ることが国力にどう結び付いてきたかを、技術史と国際政治の両側から読める一冊です。
今回の記事で扱った、先端半導体を中国に売らないという要求がAI開発の速度をめぐる提案と同じ文書に入っている構図は、この本が描いてきた供給網の分断の延長にあります。今の米中のAI競争が、どこから積み上がってきた話なのかを押さえたい方に向きます。
『AI監獄ウイグル』
ジェフリー・ケイン／濱野大道訳（新潮社／2024年03月刊）
新疆ウイグル自治区で、顔認証カメラ、身分証の読み取り、通信アプリの監視といった技術がどう組み合わされ、人の行動を点数化して拘束につなげる仕組みになったのかを、3年にわたる168人への聞き取りから再構成したノンフィクションです。技術そのものより、集めたデータをどの機関がどう使えるようにしたか、という運用の側に焦点があります。
今回の記事で扱った、監視カメラの映像の分析依頼がAIサービスを経由して国外のサーバーへ届いていたという話は、この本が扱う「データが誰の手に渡るか」という問題の別の面です。入力の行き先という論点を、個人の側から考えたい方に向きます。
参考リンク
- Threat Intelligence Report: September 2026｜Anthropic
- We Must Pace the Frontier｜Dario Amodei
- China-Based Artificial Intelligence Companies Conducting Industrial-Scale Distillation Campaigns Against U.S. AI Companies（AA26-251A）｜CISA
- China firmly opposes U.S. groundless allegations on Chinese AI firms: commerce ministry｜Xinhua
- Chinese AI labs secretly used millions of Claude exchanges to train their models, Anthropic says｜CNBC
- OpenAI rules out IPO this year as Altman, Musk & Amodei warn AI is moving too fast｜CNBC
- Anthropic details distillation campaigns from Alibaba, Moonshot AI, and DeepSeek｜TechCrunch
- David Sacks says Anthropic’s Dario Amodei wants a ‘DMV for AI’｜Fortune
