アリババ、2.5万件の偽アカウントでClaudeを蒸留したと告発——既知最大規模のモデル窃取事件に

Anthropicは2026年6月10日、米国上院銀行・住宅・都市問題委員会に書簡を送付し、アリババが2.5万件の偽アカウントと2,880万回のインタラクションを利用して、2026年4月22日から6月5日の間にClaudeモデルを大規模に蒸留したと告発した。ロイターおよびCNBCの報道によれば、この件が事実であれば、中国企業による米国AI企業への最大規模の攻撃となり、さらにDeepSeek、月之暗面（Moonshot AI）、MiniMaxの3社の中国AI企業も関与しているという。

モデル蒸留攻撃の技術的手口

蒸留攻撃の核心は、対象モデルの公開APIの出力を利用し、繰り返しクエリを送信して高価値なレスポンスを収集し、それを自社の弱いモデルの学習に用いることにある。アリババの一連の操作は通義千問（Qwen）チームに関わるもので、1日あたりのインタラクション数のピークは通常のユーザーパターンをはるかに超えていた。Anthropicは書簡の中で、アカウント作成時刻、クエリテンプレートの重複率、出力長の分布といった証拠を列挙しており、これらのデータは組織的な一括操作を直接示すものである。

これと比較すると、DeepSeekが2025年1月以降に行った蒸留行為で記録されたインタラクションはわずか15万回、月之暗面は340万回、MiniMaxは1,300万回にとどまる。アリババ単独の今回の行動規模は、前述3社の合計を既に上回っている。

Claudeモデルの防護状況と脆弱性

Claudeシリーズはレート制限、異常検知、アカウント認証によって一括クエリを遮断しようとしている。しかし2,800万件の偽アカウントの存在は、既存の認証プロセスが低コストで回避可能であることを示している。公式ブログによると、攻撃者は実在する企業メールアドレスと電話番号を使って初期登録を済ませ、その後はプロキシIPとスクリプトでセッションを維持していたという。

この事実は、API設計における現実的な問題を浮き彫りにしている。開発者が利便性向上のため初期認証を緩和した結果、高価値なモデル出力が組織的に収集される事態を招いたのである。Anthropicの広報担当者は、こうした脅威に効果的に対処するためには、政府と産業界の連携が不可欠だと明言した。

他のAI製品との比較

DeepSeekは低価格モデルによって急速に市場の注目を集めたが、その蒸留規模は相対的に限定的であり、単一のターゲットへの直接攻撃よりも公開ベンチマークデータへの依存度が高い。月之暗面とMiniMaxの行動も同様に出力収集に集中しているが、インタラクション数は1,000万回の水準には達していない。

米国側では、2026年6月12日に商務省がAnthropicの最新シリーズであるMythosおよびFableモデルに輸出規制を適用しており、政策手段が単純なブラックリストから標的を絞った技術管理へとシフトしていることが示された。ホワイトハウス科学技術政策局がかつて発表した覚書では、大規模蒸留の検知に企業を支援することが約束されているが、実際の執行は依然として企業の自主的な報告に依存している。

開発者への実践的アドバイス

開発者はAPIレベルでクエリパターン分析を強化すべきである。例えば、同一の意味テンプレートが高頻度で繰り返されるケースや、異常な時間帯に集中するリクエストを検知することが有効だ。デバイスフィンガープリントと行動ベースラインを組み合わせることで、スクリプト駆動のアカウント群を早期に検出・遮断できる。

また、モデルの出力にはデフォルトで透かし（ウォーターマーク）や摂動（パータベーション）メカニズムを組み込み、蒸留後の学習データの品質を低下させるべきである。Anthropicはこうした技術のテストを開始しているが、まだ全面展開には至っていない。

• アカウントごとの1日あたりのトークン割り当てを制限し、新規アカウントには段階的な使用量拡大を適用する。
• クラウドサービスプロバイダーと不審なIPアドレスおよびメールアドレスのリストを共有し、業界横断のブラックリストを構築する。
• ログを定期的に監査し、自然言語とは言えない構造化クエリを重点的に確認する。

企業への戦略的提言

企業はモデルセキュリティをサプライチェーンリスク評価に組み込む必要がある。アリババの事件は、法的警告のみに頼る対策の限界を示しており、技術レベルでの検知能力の強化が不可欠である。Anthropicなどの企業と情報共有チャネルを確立し、既知の攻撃パターンを迅速に把握することを推奨する。

中国のAI企業にとって、蒸留は短期的な性能向上をもたらし得るが、単一のソースへの依存はコンプライアンスおよび持続可能性のリスクをもたらす。基盤モデルの自主開発が依然として長期的な道筋である。

ブルームバーグが入手した書簡の内容によれば、Anthropicはこの件を「これまでに知られている中で最大規模のモデル蒸留攻撃」と位置づけ、トランプ政権の警告を無視した行為が事態の深刻さを一層高めていると強調している。