AnthropicなどのAIモデルの暗号化推論を研究者が読み取り、安全機構の脆弱性が露呈

新たな手法により、Anthropic、OpenAI、Googleのモデルの暗号化された内部推論の読み取りと、逆蒸留保護の迂回に成功した。各ラボはこの件を数か月前に通知を受けている。

事件の核心となる事実

この手法はモデルの内部推論プロセスに直接アクセスし、安全機構の具体的な実装の詳細や一部のクレデンシャルを露呈させた。関係する各ラボは数か月前に技術的な詳細を把握していたが、2026年8月時点において具体的な修正方針は公表されていない。

異常シグナルが示す深層メカニズム

現在のモデルセキュリティ設計の多くは、外部による推論パスの複製を防ぐために暗号化と蒸留制限に依存している。今回の手法は、暗号化レイヤーと実際の推論ロジックとの間に悪用可能なマッピング関係が存在するため、これらの制限を体系的に迂回できることを証明した。安全機構はもともと外部からの内部状態の再構築が不可能であるという前提に基づいていたが、この前提は標的型の読み取り技術に対しては成立しないことが示された。

安全擁護者たちは、モデルのアライメントにおける脆弱性は、攻撃対象領域の網羅的なカバレッジではなく、防護機構への過度な信頼に起因していると指摘している。

業界関係者は、技術的詳細の流出が標的型攻撃ツールの出現を加速させることを懸念している。両者の意見の対立は、より多くの内部情報を即時公開すべきかどうかという点に集中している。

産業への影響経路

モデル提供者は既存の保護手段の実際の限界を再評価する必要がある。同等の効果を得るうえで、暗号化強度を高めると推論コストが直接増大する一方、基盤となるロジックマッピングを変更しない限り読み取りリスクを根本的に排除することはできない。開発者はAPIコールの安定性と機能実装のあいだで、より厳しいトレードオフに直面することになる。

• 内部状態を暗号化する手法が迂回可能であることが示された。
• 逆蒸留保護は推論パスの再構築を阻止できなかった。
• クレデンシャルの漏洩事案が、信頼チェーン崩壊の影響をさらに拡大させた。

これらの変化は、下流アプリケーションがモデル出力に依存する度合いに直接影響を与える。

独立した評価

今回の事件は、現在の最先端モデルにおける安全機構が依然として特定の前提に基づいて設計されており、その前提が突破された場合、保護効果が急速に低下することを示している。今後の改善には、単純な暗号化強化や制限措置の追加ではなく、検証可能なロジック分離への転換が求められる。短期的には、モデル提供者は既知の攻撃に対する既存保護の実際のパフォーマンスを優先的に検証すべきである。