米国家安全保障局(NSA)、サイバーセキュリティ・インフラセキュリティ庁(CISA)、連邦捜査局(FBI)は9月8日、共同でサイバーセキュリティ警告を発表し、中国のAI企業6社を名指しした。これらの企業が「蒸留」を用いて米国の先進モデルの専有能力を大規模に抜き取り、自社製品の学習を加速させていると指摘している。公開報道で実名が明らかになっているのはDeepSeek、月の暗面(Moonshot AI)、アリババの3社だ。
警告によると、標的となったのはAnthropic、OpenAI、Google、SpaceXのモデルで、こうした行為は「中国政府の把握の下で行われた可能性が高い」という。関与した企業は単一のプラットフォームに集中させず、分散して検知を避けていたとも記されている。米側はさらに、こうした能力の向上が中国の軍事・サイバー攻撃能力を一段と強化しかねないと付け加えた。
「蒸留」自体は罪ではない
蒸留は学習における一般的な手法だ。より大規模で高コストなモデルの出力を使って小型モデルを学習させることで、時間とコストを節約できる。学術界では長年使われてきた手法で、各研究所も内部で用いており、大型モデルを端末側で動く小型モデルに圧縮する際の基本手段になっている。
今回の警告の焦点は手法そのものではなく、許諾の有無と規模にある。米側の主張は、これらの企業が無許可かつ産業規模でこれを行ったというものだ。この区別は文書内で明記されているが、伝達される過程で最も抜け落ちやすい部分でもある。それを抜くと「蒸留を使うこと自体が窃取だ」という話にすり替わるが、それは成り立たない。
示されていない部分
警告の公開版には、指摘を裏付ける技術的証拠は含まれていない。アクセスログ、アカウントの帰属、抜き取り規模を示す具体的な数字はいずれも示されていない。「中国政府の把握の下で行われた可能性が高い」という表現も可能性を述べたものであり、断定ではない。本稿執筆時点で、名指しされた企業も中国当局も公式な反応を示しておらず、文書内にも法執行や制裁といった続報は記されていない。
企業にとって確実なことは一つだけだ。米国の各モデル提供企業の利用規約は以前から、出力を競合モデルの学習に使うことを禁止してきた。違いは、これまで契約条項としてプラットフォーム側がアカウント停止で対処してきたのに対し、今回は国家安全保障当局の共同警告という形で示された点にある。位置づけが一段引き上げられたことになる。
タイミング
今回の警告は、二つの動きの直前に出された。米中は9月中旬にAIの安全リスクについて協議する見通しで、習近平国家主席は9月下旬に訪米する見込みだ。同じ日、米財務長官のベッセント氏は、AI競争で米国が中国に敗れれば結果は極めて深刻になると公言している。
国内のモデル開発企業にとって、今回の警告そのものが直接の影響を持つわけではない。法的拘束力はないためだ。影響は下流に及ぶ。海外展開する製品が米国のクラウドに接続したり、米国のアプリストアに掲載されたり、米国企業を顧客にしたりする際、調達側がコンプライアンス質問票に「学習データにサードパーティ製モデルの出力が含まれているか」という項目を一つ追加するのは容易だ。国内大手モデル企業の多くはここ数年、海外の企業市場への進出を進めているところで、この項目にきれいに回答するのは簡単ではない。学習データの出所というのは、説明できなければそれ自体が問題になる性質のものだからだ。
もう一つの厄介な点は立証だ。蒸留の痕跡はファイルではなくモデルの重みに残るため、第三者が証明あるいは反証する確立した方法は今のところ存在しない。学術界ではモデル出力への電子透かしやフィンガープリント付与が数年前から提案されているが、いずれも論文段階にとどまり、証拠として採用された例はない。この種の指摘が警告どまりで訴訟にまで進みにくい理由でもある。
国内ユーザーへの目に見える影響は現時点でほぼゼロだ。名指しされた各製品は通常どおり稼働しており、国内向けのAPIやアプリに変化はない。注意すべきはもう一方、つまり米国のモデル提供企業側が出力の利用状況の検知やアカウント停止を強化する可能性がある点だ。海外APIに依存して二次開発を行っているチームは、これまでよりアカウントリスクが高まる可能性がある。
参考資料：NSA・CISA・FBI共同サイバーセキュリティ警告、ロイター、CocoLoop、聯合新聞網、星島頭條。名指しされた企業数は警告文に基づく。公開報道で実名が判明しているのは3社で、残る3社は非公開。