米国が遮断ではなく「静かに正答レベルを落とせ」と告げました

勧告文13ページに記された防御指針

9月8日、米国家安全保障局（NSA）とサイバーセキュリティ・インフラセキュリティ庁（CISA）、連邦捜査局（FBI）が合同でサイバーセキュリティ勧告文を出しました。中国のAI企業6社が米国のフロンティアモデルを相手に、産業規模の知識蒸留¹を行ってきたという内容です。文書番号はAA26-251Aで、配布制限なく全文が公開されています。

この話自体は以前からあるものです。コミュニティでも広まっていましたし、4月にはイーロン・マスクが法廷でxAIがOpenAIのモデルを蒸留に利用したと認め、7月には財務長官が制裁の可能性に言及しました。ただ、情報機関3機関が名を連ね、企業の実名とモデルのリストまで添えて文書化したのは今回が初めてです。

韓国国内の報道は、企業リストと規模の話に集中しています。しかし、この文書は告発状ではなく防御指針書です。米国のAI企業が何をすべきかという内容が半分以上を占めていて、その中の2番目の勧告がこれです。蒸留が疑われるリクエストには、応答を微妙に変えろというものです。推論の深さを減らしたり、正しい結論を別の論理で提示したり、文体を揺らして学習価値を落とせということです。勧告文は「精巧さを落としたダウングレード版モデル」で答える方法も例に挙げています。

そして、もう一文が付け加えられています。モデルの水準を落とした事実を、当該ユーザーには知らせるなというものです。 知らせれば回避手法を改善し、学習をいつ元に戻すかを把握されてしまうという理由です。代わりにAI安全性の研究者と第三者評価機関には、変更の事実を知らせるよう別に記されています。

通知対象を明示的に分けたということは、それ以外は通知対象ではないという意味です。有料でAPIを使う世界中の企業顧客が、その「それ以外」に当たります。

---

6社とモデルのリスト

まず、文書が何を主張しているのかから整理します。

勧告文は中国の2024年末から、Claude、GPT、Gemini、Grokの複数バージョンから数百万件のリクエストで数十億トークンを引き出しており、中国政府がこれを把握していた可能性が高いと見ています。

DeepSeekはR1とV3を訓練するため、Claude Sonnet 3.7・4・4.5、Claude Opus 4.1、Gemini 2.5 Pro・Flash、GPT-4系列、GPT-5、Grok 3 mini・4まで、計14個のモデルを対象にしたと記されています。引き出した項目も具体的です。法律特化の最適化、APIルールベースの作業、思考の連鎖²の草稿を活用した文章作成、質疑応答の最適化、エージェント機能といったものです。勧告文は、DeepSeekが公開した訓練費560万ドルが誤解を招くと指摘しています。蒸留で得たデータの実際のコストが抜け落ちているというわけです。

Moonshot AIは、表に列挙された米国モデルだけで17個に上ります。Kimi K3にはAnthropicのFable 5データを、Kimi K2にはGPT-4oのデータを使ったと記されています。

MiniMaxに関する部分は少し性格が異なります。M2モデルの思考の連鎖推論とコードレビュー能力を上げるために、Claude CodeやClaude Sonnet 4、Opus 4.5、Gemini 3 Proなどを使ったとされていますが、ここにさらに2点が付け加わります。1つはClaude Codeを社内の開発業務にそのまま使ったこと、もう1つはプロンプトインジェクションによってClaude Code自身にMiniMaxの製品だと思い込ませようとしたことです。新しいClaudeモデルが出ると、24時間以内にリクエストをそちらへ移したという観察結果もあります。

アクセス経路も整理されています。公式API、クラウド事業者、ユーザー情報を自動的に消去してくれるサードパーティーのアグリゲーター、そして「トランスファーステーション」と呼ばれるプロキシのグレーマーケットです。正規価格の一部だけを受け取ってフロンティアモデルへのアクセスを転売する業者です。StepFunは従業員ごとのアカウントプールを作り、同時セッションを回して割り当て量が枯渇しないよう負荷を分散したと記されています。

China-Based Artificial Intelligence Companies Conducting Industrial-Scale Distillation Campaigns Against U.S. AI Companicisa.gov

契約違反から脅威分類体系へ

この文書で最も静かでありながら最も大きな変化は、形式にあります。

これまで蒸留は利用規約の問題でした。サービス利用規約に違反したのだから、アカウントを停止するか、民事で争う領域だったわけです。ところが今回の勧告文は、蒸留行為をMITRE ATLAS³にマッピングしました。インフラの確保、モデルへのアクセス、実行と防御回避、偵察、収集、窃取、影響まで、攻撃者のライフサイクルの段階ごとに番号を振っています。国家の背後にあるハッキングを記述する際に使われる、まさにあの文法です。

ここに登録された技法の中には、プロンプトインジェクションやジェイルブレイクも含まれています。モデルに隠された思考の連鎖を吐き出させるよう誘導するプロンプトが代表例として挙げられています。これまでレッドチームの研究者やプロンプトエンジニアが日常的に行っていた試みが、特定の条件下では攻撃技法の番号を持つことになったわけです。

勧告文は、対応が個々の企業単位では難しいと見て、三つ目の勧告を付け加えました。モデル提供社、クラウド、APIアグリゲーターが活動情報を互いに突き合わせるべきだというものです。そして、この調整の範囲に「同盟国」を明記しました。韓国でこの一文を読むべき理由がここにあります。何らかの形で要請が来れば、国内のクラウドやリセラーが保有する呼び出しログが照合の対象になり得ます。

検知指標を韓国のオフィスに当てはめると

最も重要な部分です。勧告文は蒸留アカウントをどう見つけるかを指標として提示しましたが、その指標は国籍や身元ではなく、すべて行動なんです。文書に書かれた指標を国内チームの日常運営と並べてみると、こうなります。

勧告文の検知指標	国内で同じ信号を出す状況
複数のIP・User-Agentから一つのアカウントを使用	チーム単位でのアカウント共有、リモートとオフィスの併用
人間の休止時間がない24時間連続の呼び出し	夜間バッチパイプライン、クロンジョブ
新規契約が即座に最大使用量に達する	導入初週のPoC（概念実証）フル稼働
契約数に対するAPI使用量の比率異常	シートは少なくサーバー呼び出しだけ多い構造
サードパーティのアグリゲーター・リレー経由	ルーターやリセラーを通した迂回決済
作業の多様性よりキャッシュヒット率への最適化	プロンプトキャッシング、ベンダーが推奨するコスト削減法
価格・料金変動に応じた経路切り替え	マルチプロバイダーのコスト最適化ルーティング
類似プロンプトの大量反復呼び出し	評価セットの実行、大量分類、合成データ生成

8つのうち6つは国内の開発チームがコストを節約するために行う標準的な実務です。残り2つも決済構造や勤務形態から自然に生じます。

ここで一つ、誤解を整理しておきます。この表は国内企業が蒸留をしているという意味ではありません。行動だけを見る検知では、目的を区別できないという意味です。 Claude Sonnetで社内文書10万件を分類する作業と、同じモデルで学習データを抽出する作業は、呼び出しログ上ではほとんど同じに見えます。プロンプトを読まない限り区別できず、プロンプトを読むことはまた別の問題を生みます。

一つだけ、まだ公開されていないことがあります。国内で自社モデルを作っているチームが大型商用モデルの出力を学習データとして使っているのか、使っているとすればどの範囲までなのか、確認された資料はありません。政府の独自AIファウンデーションモデル事業に参加したコンソーシアムが先月末からモデルを公開しましたが、データ調達の経路は詳しく公開されていません。聞いてみる価値のある質問だと思います。

通知なき劣化が生むもの

勧告文の2つ目の勧告に戻ります。

企業がAPIを買うとき、実際に買っているものは2つあります。特定の性能を持つモデル、そしてその性能が維持されるという予測可能性です。後者がなければ前者を検証する方法がありません。ところが勧告文は、疑わしいアカウントに対して応答品質を下げつつも通知はするな、と述べており、さらには変更をリクエストごとに違うものにせよとまで書いています。相手が品質評価によって劣化に気づかないようにするためです。

勧告文はこれを何の留保もなく勧めているわけではありません。差分プライバシー⁴を説明する際には、ノイズと効用はトレードオフの関係にあると明記していますし、理論上の設定が実際の精度低下を予測できない場合が多いとも書いています。慎重な調整と実証的な監査が必要だという但し書きもつけています。複数の情報源による裏付けで確信が高まってはじめて、正常なユーザーに被害を与えることなく劣化を正当化できる、とも述べています。

問題は、その確信の閾値を決める主体がモデル提供企業自身だという点です。誤判定が起きたときに、それに気づく手段は顧客側にはありません。応答が少し浅くなったのがモデルのアップデートのせいなのか、リクエスト文の違いのせいなのか、それとも劣化措置のせいなのか、判別する手がかりがないからです。昨日まで問題なく動いていたパイプラインの出力が微妙に悪化したとき、これまでは自分たちのプロンプトを疑っていました。今はそこに疑うべき候補がひとつ増えたのに、確認するための道具は増えていません。

これはコンプライアンスの問題ではなく、観測可能性の問題です。そして観測可能性の問題には、対応する方法があります。

Oswarldの視点

まず明らかにしておきたいことがあります。私は少し前まで、この勧告文に名前が挙がった6社のうちの1つであるMiniMaxの韓国市場パートナーとして働いていました。結論として、勧告文に書かれている内容を他の5社と同じ重みで扱うことにしました。Claude Codeが自分自身をMiniMaxの製品だと信じ込むよう仕向けようとしたという記述は、この文書の中でも最も重い記述の一つで、過去の関係を理由にそれを外すのは読者にとって不利益になります。その前提の上で、私の判断をお伝えします。私はGTMパートナーであって技術パートナーではないので、実際の学習過程については分かりません。ただ、今回の件は韓国企業にとっても意味するところが大きいです。簡単に言えば、これはAIが他国で不審な使われ方をしていると判断されれば、静かに答えを鈍くさせる、ということとほぼ同義です。

この勧告文の宛先欄には米国のAI企業が記されていますが、実際に条件が変わるのはその企業の顧客全員です。米国政府は中国企業に制裁を科したわけではありません。代わりに、米国のAI企業に対して自社の顧客を監視し選別するよう求めました。規制をサプライチェーンの内側に押し込む構造であり、こうした構造の下では、コストは常に下流へ流れます。アカウント審査は細かくなり、利用パターンの説明を求められる場面が増え、アグリゲーター経由のトラフィックの位置づけが曖昧になります。

だからこそ、現場でやるべきことはコンプライアンス対応ではなく計測だと考えます。3つ提案させてください。

第一に、自社独自の回帰テストセットを用意しておくことです。実際の業務で使っているプロンプトを30〜50個固定し、期待される出力の品質基準を定めて定期的に走らせる程度で十分です。劣化を検出するためではなく、変化を検出するためです。モデルの更新であれ何らかの措置であれ、自社側に記録があってはじめて対話が成立します。

第二に、経路を単純化することです。価格の関係で複数のリセラーやルーターを組み合わせて使っているなら、今はその節減効果とアカウントの地位の不確実性を合わせて計算してみるべき時期です。勧告文がアグリゲーターとプロキシを回避手段として名指ししたからです。

第三に、アカウントの衛生管理です。チーム共有アカウントを個人認証アカウントに分け、サーバー呼び出しを人間のアカウントと分離するだけで、表の指標のうち2つ3つは消えます。実はこの3番目が最もよく見られるパターンで、意外に多くの企業がアカウント共有の形で各種AIを使っています。実はこの場合、大半が利用規約違反です。限界についてもはっきりさせておきます。これは勧告であって義務ではありません。実際にどの企業が応答の劣化を適用しているのかは確認されておらず、AnthropicとGoogleは以前から蒸留検知に関する資料を公開してきましたが、劣化措置を実施したと明言したことはありません。現時点で確かなのは、そうするようにという公式の勧告が文書として存在するという事実だけです。

おわりに

6社の名前と数百ものモデルのリストは、この文書の中でもっとも目を引く部分ですが、実務を変えるところではありません。実務を変えるのは、検知が身元ではなく行動を見るという設計と、対応が遮断ではなく通知なしの劣化であるという選択です。この二つが重なると、正規のユーザーも同じ網に引っかかり、しかも引っかかったかどうかを知る方法がありません。

だからといってAPIを切るような話ではありません。ただ、これまで当然だと思っていた前提の一つが揺らいだのだから、その前提を自分で確認できる仕組みを作っておこうという話です。計測はもともと、信頼が揺らいだときに作るものですから。

---

💬 読者さんは最近、同じプロンプトなのに答えが浅くなったと感じたことはありますか？どんな作業だったのか、コメントで教えてください。

📨 チームアカウント一つでAPIを共有して使っているなら、その同僚にもこの記事を送ってあげてください。

参考資料と関連リンク

主要出典

• NSA・CISA・FBI、「China-Based Artificial Intelligence Companies Conducting Industrial-Scale Distillation Campaigns Against U.S. AI Companies (AA26-251A)」、2026年9月8日。……この記事のすべての引用と表の出典です。18ページの全文が公開されており、11〜14ページの検知指標と緩和策が実務者にとって最も重要です。
• CISA、「CISA, NSA and FBI Warn of China-Based AI Companies Targeting US AI Models」、2026年9月8日。……勧告の公式プレスリリースです。3つの即時対応策が要約されています。

背景知識

• CyberScoop、「Feds accuse China of ‘systematic’ distillation of U.S. AI models」、2026年9月8日。……勧告の背景と、2026年6月にホワイトハウス科学技術政策局が示した類似の主張まで併せて取り上げています。

関連する過去号

• 法廷に立ったマスク「みんなそうしている」（93号）
• ジェンスン・フアンはなぜ中国モデルを称賛したのか（158号）
• OpenAIが投資した法律AI、中身は中国モデルでした（208号）

発行メモ

キービジュアルプロンプト

著者 アン・グァンソプ（Oswarld） は世宗大学校 兼任教授、INLEVEL9 戦略コンサルタントです。経歴、研究、著書、最近の活動は著者紹介で更新しています。 最近の活動 · 2026年7月：HEMA-2: A Consolidation-Aware Tri-Memory Architecture with Multi-Channel Scheduling for Lifelong Conversational AI。

📝 用語解説

각주

1. 知識蒸留（Knowledge Distillation）：大きく性能の高いモデルの出力を正解として、小さなモデルを学習させる手法です。正当な研究手法ですが、他者のモデル出力を大量に抽出して使うと、利用規約や知的財産の問題が生じます。 ↩

2. 思考の連鎖（Chain of Thought、CoT）：モデルが答えを出す前に経る、段階的な推論過程です。米国のフロンティアモデルは概してこの過程をユーザーにそのまま見せません。 ↩

3. MITRE ATLAS：AIシステムを狙った攻撃手法を段階別に分類した公開フレームワークです。サイバー攻撃の分類体系であるATT&CKのAI版だと考えればよいでしょう。 ↩

4. 差分プライバシー（Differential Privacy）：出力に計算されたノイズを混ぜることで、個別の情報が逆算されないようにする手法です。ノイズを大きくすれば保護は強まりますが、精度は下がります。 ↩