アントロピックがClaudeの蒸留攻撃対策を強化し抽出データを90〜99%削減
25秒でわかる内容解説
アントロピックは2026年10月13日、Claudeに対する蒸留攻撃の防御策を強化したと発表した。コンテクスト固定や二段階分類器の導入により、攻撃者が抽出するデータ量を90から99%削減することに成功した。API利用者が頻繁に遭遇する推論ブロックの固定化は、開発者の統合更新を促す一方で、モデルの安全性を大幅に向上させた。この動向は、大規模モデルの知財保護とオープンソース開発のバランスを考える上で重要な指標となる。
三段階の防御機構とデータ抽出量の劇的減少
蒸留攻撃とは、大規模モデルの内部推論を無断で抽出し、小型モデルに転移させる産業規模のキャンペーンだ。攻撃者が最も価値を置くReasoning tokens（最終回答に到るまでの中間的な思考過程を表すトークン）の取得を阻むことを核心に施策を設計した。
最初の対策では推論過程を要約するだけで対応できたが、攻撃者は以前の推論を文字通り出力せよと指示し、一万二千種類のリクエストを試して突破を図った。
当初の対策の一つとして、Claudeの推論をユーザーに表示する前に要約する仕組みを導入した。これを受け、8月31日以降に作成されたAPIアカウントには、以前の文脈を編集できないコンテクスト固定措置が適用された。
As one of our initial anti-distillation measures, we had Claude summarize its reasoning before we showed it to users.
当初の対策の一つとして、Claudeの推論をユーザーに表示する前に要約する仕組みを導入した。
9月24日以降、分類器でブロックされたリクエストにも料金を徴収する仕組みが本格稼働した。Claude Sonnet 5.5やOpus 5、Fable 5などの主要モデルに二段階分類器が導入され、防御を回避するために多数のリクエストを送るコスト負担が加わった。
導入直後の初期データでは、分類器の導入により抽出された推論トークン数が従来の10倍から100倍に減少した。関連するアカウントを2時間以内に数万停止する検知力も発揮している。
防御強化により、蒸留者は意味のある収益と三兆トークン分の有料トラフィックを失った。研究チームと製品チームは多数のリソースを投入し、既存顧客への影響を最小限に抑えながら対策を適用した。
有料化されたブロック領域は、特にサイバー防御と生物学の分野で誤検知率が0.1%未満に抑えられている。分類器は継続的に改善されており、翻訳やタグ付けによる推論抽出など複数の新攻撃経路が既に塞がれている。
分類器の頑健性とZhipuによるGLM-5.3の転移
中国のZhipuはGLM-5.3の開発時にClaudeのサイバー防御能力を蒸留した。CAISSIの評価では、GLM-5.3が現時点で最もサイバー対応能力の高いオープンウェイトモデルと認定された。ZhipuはClaude Fable 5のサイバー防御が攻撃を弱めるのを知ると、古いClaudeモデルと他社モデルに切り替えた。
下の画像は、推論の要約が転移学習に与える影響を示している。完全な推論データで学習したモデルはSWE-bench Verifiedで80.4%のスコアを示したが、要約データのみでは71.8%に低下した。
採用された二段階分類器は、サイバー防御や生物学の safeguards と同等の頑健性を備えている。誤検知率は0.1%未満に抑えられ、 benign なリクエストのブロックはほぼ発生していない。分類器は継続的に改善されており、新たな回避手法が観測されると迅速にアップデートが適用される。
海外のAIラボは米企業に追いつくため蒸留を多用した。MoonshotのKimiモデルへのリクエストが非公式にClaudeへ中継され、中国の人民解放軍関係者がCCTV映像を分析した事例が報告された。蒸留モデルは外国軍や諜報機関のシステムへ統合され、国家安全保障上のリスクとなっている。
GLM-5.3の safeguards は容易にバイパス可能となり、エンドツーエンドのセキュリティエクスプロイト生成を許容している。これにより蒸留者が抽出するデータ量は90から99%削減された。各社は2026年10月中旬までに、自社のAPI経由で送信されるリクエストの蒸留検知率を向上させる方針だ。
開発者間の意見分裂と実運用におけるコスト増
発表後、Hacker Newsを中心に開発者や研究者の間で議論が交わされた。蒸留を海賊同士の盗みやIPの最大級窃盗と捉え、アントロピックの姿勢に皮肉を交える声が目立つ。Anthropicが全てのデータを学習して知財を窃盗した後に自社のモデルをロックしたという逆説も指摘されている。
一方で、蒸留がオープンソースや中国モデルの発展に寄与するとサポートする層もいる。AIの権力が数百社から数十社へ集約されるのを打破するため、ピア蒸留ネットワークやオープン推論ハードウェアの構築を求める声が上がっている。
実用上の制約を懸念する声も根強い。推論プロセスの固定化により、トレーニング分布外のタスクでモデルの挙動を制御しにくくなった。推論を可視化できることで誤った推論を途中で切断し、理解の誤りを防いでいた開発者が不便を感じている。
課金対象のブロック領域が広く設定されたため、ベンチマークテスト時のコストも増加している。企業間の競争利益と開発者の利便性の間で意見が割れている。業界全体では、防御コストの負担と未許諾利用者の収益確保の間で葛藤が続く。
利用規約を注意深く読むと、蒸留出力の禁止は記載されているが公開は許可されている。大手企業だけでなくオープンソースプロジェクトや個人開発者も、プロプライエタリなソフトウェアの出力カタログ化を共有する利益を共有している。
2026年10月以降の継続適用と業界全体の葛藤
新防御策の効果は現時点で確立されているが、長期的な維持は未確定だ。攻撃手法の洗練により対策を回避するケースが今後現れる可能性がある。蒸留対策は猫と鼠のゲームとして推移し、防御機構の継続的なイテレーションが求められる。
2026年10月以降、主要な一般公開モデルへの分類器適用が継続され、蒸留対策は強化される。第三者プラットフォームが防御を怠れば、アントロピックの対策効果が相殺されるリスクもある。各社は自社のAPI経由で送信されるリクエストの蒸留検知率を向上させる方針だ。
防御は高額だが、未許諾の蒸留者は依然として収益源となっている。対して防御側はコストを負担するため、何もせずにおくインセンティブが働く。アントロピックは手法を公開し、他社にも対応を促している。
開発者やプラットフォームは不正アカウントの検知とリソースの分散により、蒸留を大幅に遅らせられる。2026年10月中旬までに、業界全体の防御網が強化される見込みだ。蒸留はあらゆるモデル開発者が直面する課題であり、協調的な対策が今後の競争環境を左右する。
用語の注釈
- Reasoning tokens
- 最終回答に到るまでの中間的な思考過程を表すトークンである。（参考：【メモ】 Reasoning（推論）とは｜藤川忠彦 - note（ノート））
出典
- Strengthening our defenses against distillation attacks（Hacker News） · 議論