Anthropic、蒸留攻撃への工学的対抗措置を初公開——モデル盗用量を90〜99%削減

Anthropicは2026年10月12日に蒸留防御に関する研究報告書を発表し、3段階の工学的防御ラインによってモデルの盗用量が90〜99%低下したことを詳述した。

事実の整理

報告書によると、蒸留攻撃とは不正アカウントのネットワークを通じてClaudeの能力を大規模に抽出し、無許可のモデルで再現するものである。これ以前の単純な対策、たとえばClaudeに推論内容を先に要約させるという手法だけで、蒸留モデルのSWE-bench Verifiedベンチマークにおけるスコアはすでに80.4%から71.8%に低下していた。攻撃者はその後、能動的な抽出手法に転じ、モデルに隠れた推論プロセス全体を出力させようと誘導を試みた。そこでAnthropicは、一般ユーザーがほとんど行わない完全な推論抽出リクエストを識別する検知メカニズムを構築した。

メカニズムの解説

3段階の工学的防御ラインは、推論トークン（reasoning token）へのアクセス権のロック（preserved thinking）、2段階分類器によるリアルタイムのアカウント停止（誤検知率0.1%未満）、および遮断されたリクエストへの課金から構成される。すでに数万件の抽出アカウントが停止されており、推論トークンの漏洩量は防御前と比べて10〜100分の1に低下した。これらの措置は、産業規模の蒸留攻撃が推論トレースに依存している点を直接標的としている。

産業への影響

防御強化により、Anthropicは蒸留者からの相当な収益と数兆トークン分の有料トラフィックを拒絶することになり、また正規ユーザーに対しては統合方式の更新を求めることになった。Zhipuなどの研究機関はかつてClaude Fable 5のネットワーク能力の蒸留を試みたが、防護の強化後は他のモデルへ移行した。蒸留されたモデルであるGLM-5.3は、ネットワーク能力において最も優れたオープンウェイトモデルの一つと評価されており、その防護は回避されやすい状態にあった。

戦略的考察（分析であり事実ではない）

利用規約遵守の観点からは、今回の措置は利用規約による制約を技術的な強制的封じ込めへと格上げするものであり、AI境界遵守をめぐる議論とも共鳴する。大手研究機関が工学的対抗措置の効果を初めて公式に定量化したことで、他の開発者も同様のトレードオフ——短期的な収益損失と長期的な能力保護のバランス——を検討するよう促される可能性がある。過去の事例が示すように、コンプライアンス上の議論だけでは大規模な抽出を阻止することは難しく、工学的手段こそがデータ取得の段階に直接作用する。