Anthropicがアリババによる2.5万アカウントを使ったClaudeへの攻撃と能力窃取を告発

近日、AI安全企業Anthropicは調査報告書を公表し、中国テクノロジー大手のアリバババが大規模なアカウント群を通じて同社のフラッグシップ大規模言語モデルClaudeに対して組織的な攻撃を仕掛け、モデルのコア能力の窃取を試みた疑いがあると告発した。Anthropicによれば、アリバババは約25,000の独立したアカウントを使用し、2026年初頭の数カ月間でClaudeと2,880万回以上のインタラクションを行い、1アカウントあたり平均1,100回以上の対話を実施したとされる。この高頻度・大規模なインタラクションパターンは明らかに通常の利用範疇を超えており、Anthropic社内のセキュリティチームによって「構造化データ収集攻撃」として識別された。

攻撃手法：一括アカウントと対抗的プロンプト

報告書では、これらのアカウントが一度に集中登録されたのではなく、世界各地に分散したプロキシIPを通じて段階的にアクティベートされ、プラットフォームのレート制限や異常検知を回避したことが詳述されている。各インタラクションにおいて、攻撃者は巧妙に構築されたプロンプトを送信し、Claudeに内部知識・推論ロジック・さらにはセキュリティポリシーを含む詳細な出力を生成させようと誘導した。例えば、一部のプロンプトは「ロールプレイ」手法を採用し、研究者を装ってモデルにトレーニングデータのフィルタリングメカニズムを段階的に説明させようとした。また、ClaudeにJSON形式で完全な拒否ポリシーセットを出力させるよう直接要求するものもあった。Anthropicは、この攻撃は無作為な「レッドチームテスト」ではなく、組織的かつ目的を持った能力のリバースエンジニアリングであると指摘した。

「これは通常のAPI悪用ではない。攻撃者は我々のモデルの知識グラフと意思決定境界を体系的に再構築しようとしており、そのデータ量は複製モデルのトレーニングに十分なものだ。」——Anthropicセキュリティチーム責任者

背景：トランプ政権による大統領令

注目すべき点として、Anthropicは声明の中でアリバババの行動が「トランプ政権が発令した大統領令に明確に違反している」と特に強調した。2025年8月、トランプ大統領は《フロンティアAIモデルにおける国家利益の保護》と題する大統領令に署名し、いかなる外国組織も「データマイニング、リバースエンジニアリング、または大規模連続クエリ」によって米国AI企業の非公開モデル能力を取得することを明示的に禁止した。この大統領令はこうした行為を「技術スパイ活動」と定義し、商務省に対して関係する外国企業への制裁を授権した。アナリストらは、Anthropicがこのタイミングで公開告発に踏み切ったのは、米国規制当局にアリバババへの調査開始を求めて圧力をかけるためである可能性があると見ている。

アリバババ側は現時点で正式な回答を行っていない。しかし、アリ雲（Alibaba Cloud）に近い関係者によれば、同社は各国の法規制の遵守に努めており、同社の音声アシスタントやAI製品は主に自社開発の通義千問シリーズモデルに依拠しているという。とはいえ、業界では総じて、もし告発が事実であれば、この事件は米中テクノロジー分野の対立をさらに激化させるとの見方が広がっている。

編集後記：モデルセキュリティの地政学化

大規模モデルが「蒸留攻撃」（Model Distillation Attack）に遭遇するのは今回が初めてではないが、これほどの規模でトップクラスのテクノロジー企業が関与する事例は極めて稀だ。長年にわたり、AI企業がAPIを通じてモデル能力を提供する際には常に窃取リスクが伴ってきた——攻撃者は十分な回数の有料呼び出しと巧妙に設計されたプロンプトを組み合わせるだけで、対象モデルの知識を自社モデルに「蒸留」できてしまう。Anthropicは、社内監視システム「Claude Shield」が攻撃の初期段階で異常パターンを検知したと主張しているが、攻撃者はアカウントのプロキシとプロンプトテンプレートを絶えず変更し続け、完全に遮断されるまで数週間にわたって攻撃を継続した。これは、最強のセキュリティチームを擁する企業でさえ、国家レベルのバックグラウンドを持つ攻撃者に対して依然として脆弱であることを示している。

より深い視点から見ると、この事件はAI大規模モデルが「デジタル領土」の新たな焦点になりつつある現実を映し出している。トランプ政権がモデル能力を国家戦略資産と位置づけ、中国のテクノロジー企業がグローバルでAI展開を積極的に推進する中、いかなる技術的摩擦も地政学的事件として増幅される可能性がある。業界にとって、これはおそらく将来のAIモデルが「公開利用可能」ではなくなり、核技術のように厳格な輸出管理とアクセス監査の対象となることを意味するかもしれない。これはAI研究開発コストを押し上げるだけでなく、グローバルなAIエコシステムの断片化をもたらす可能性もある。

本記事はArs Technicaより編訳