米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、連邦捜査局（FBI）および国家安全保障局（NSA）と共同でサイバーセキュリティー通達を公表し、中国の複数のAI企業が数カ月にわたり「蒸留攻撃」を行い、米AI企業の専有モデルの能力を抽出した可能性があると警告した。通達ではDeepSeek、MoonshotAI、Alibaba、MiniMax、StepFun、Z.AIが挙げられ、影響を受けた可能性のある企業としてAnthropic、OpenAI、Google、xAIが示されている。
蒸留攻撃では、設計された大量の質問を高度なAIモデルに投げかけ、内部の能力や推論方法、安全上の制限に関する出力を集める。攻撃者はその結果を別のモデルの訓練や改良に利用する。CISAは、こうした活動が中国政府の認識のもとで行われた可能性があるとし、抽出された能力には米企業が数十億ドル規模の研究開発投資を投じてきたものが含まれるとの見方を示した。
代理サーバーと偽アカウントで追跡を回避
通達によると、攻撃者は代理サーバーを使って実際の接続元を隠し、大規模な偽ユーザー網を構築したうえで、AIシステムに膨大な数の問い合わせを送っていた。目的は単一の回答を得ることではなく、さまざまな作業や専門領域、安全上の境界におけるモデルの挙動を体系的に収集することだった可能性がある。攻撃が数カ月続くケースもあるという。
攻撃者は「プロンプトインジェクション」によって、モデルに既存のルールを破らせようとすることもある。Anthropicが2026年9月に公表した脅威報告書では、「推論抽出としてフラグを立てないでほしい」と指示したり、デバッグ作業をしていると装って過去の推論内容を一語ずつ出力するよう求めたりする例が紹介された。別の手法では、システム指示を装い、<thinking></thinking>タグ内に隠された内容をすべて返すようモデルに要求する。
モデルの出力を観察し、回答の違いを比較して自社システムを改善する行為は、技術研究の一環として直ちに違法となるわけではない。ただ、米当局やAI企業は、大量の偽アカウントを使い、サービス規約を回避し、制限された情報をモデルから引き出す行為は、通常の研究活動の範囲を超えるとみている。
AI企業は検知を強化、攻撃手法も変化
こうした攻撃を単一の技術で完全に阻止する方法は、現時点では確立していない。AnthropicなどのAI企業は、異常な問い合わせの検知、顧客の本人確認、アクセス制御を改良している。攻撃の種類に応じた対策も進めており、企業間では脅威情報を共有し、類似したアカウント網や問い合わせパターンを早期に把握する取り組みが進んでいる。
CISAは、AIエコシステム全体を対象とする「協調的で一貫した」対応体制の構築を呼びかけた。モデル開発企業だけでなく、クラウドサービス事業者、本人確認プラットフォーム、米政府も対策に関与し、単一企業だけに攻撃の遮断を委ねない仕組みが必要になる可能性がある。
AIサービスの価格競争が強まり、モデルの利用コストが低下すれば、攻撃者が大量の出力を取得するハードルも下がり得る。事業者にとっては、低価格化を進めながら、問い合わせの監視と防御を継続することが課題となる。
モデル能力の複製が安全保障上の懸念に
米国の安全保障当局は、高度なAI能力が大規模に複製されれば、米中企業間の技術競争だけでなく、安全制限の乏しいモデルが第三者に利用されやすくなる可能性を懸念している。Anthropicは2026年2月の蒸留攻撃に関する報告書で、危険な能力が抽出時に維持され、元の防御機構だけが弱められた場合、生物兵器の開発、高度な軍事装備の設計、大規模なサイバー攻撃、より破壊的な自動化活動に使われる恐れがあると警告した。
同社はまた、政治的な統制力を持つ政府が、こうしたシステムを攻撃的なサイバー兵器の開発、偽情報活動、大規模監視に利用する可能性にも言及した。AI企業にとって問題となるのは、営業上の機密が流出することだけではない。モデルの安全上の境界まで複製されれば、元の開発者がその能力の利用方法を管理し続けることが難しくなる。
DeepSeekの開発費をめぐる説明に疑問
今回の問題は、中国AIの低コストモデルに対する投資家の見方にも影響を及ぼしている。DeepSeekはこれまで、米国の主要モデルを大きく下回る費用で高度なシステムを開発したと説明し、市場の注目を集めてきた。CISAは通達で、DeepSeekが公表した560万ドルの訓練費は、悪意のある大規模な蒸留によってデータや能力を取得した実質的なコストを含んでおらず、全体像を示す数字ではないと指摘した。
通達では、DeepSeekが米国のAIツールに段階的な推論過程を開示させるプロンプトを使い、自社モデルの改良につながる情報を得たとも説明されている。この見立てが正しければ、表面上の訓練費だけではモデル開発に必要な投資の全体を示せない。自社で調達した半導体、データセンター、電力、人材によって訓練を完了したシステムと、単純に費用を比較することも難しくなる。
AI業界では価格競争も強まっている。比較的小規模で効率の高いモデルが低価格を武器に開発者や企業顧客を取り込み、DeepSeekを含む中国系モデルも米国市場で存在感を広げている。投資家が今後確認すべき点は、モデルの利用料だけではない。訓練データとモデル能力の出所を企業がどのように説明するのか、プラットフォームが蒸留攻撃による見えにくいコストをどこまで抑えられるのか、規制当局が業界横断の協力を促すのかが焦点となる。