KimiやDeepSeekに話しかけたら、実はClaudeだった──Anthropicが暴いたAI「蒸留攻撃」の全貌

あなたがKimiに送ったあの質問、本当にKimiが答えていましたか？

2026年9月10日、AIスタートアップAnthropicは業界に衝撃を与える「脅威インテリジェンスレポート（2026年9月版）」を公開しました。そのレポートが明らかにしたのは、私たちユーザーが普段から使っているはずのAIサービスの裏側で、知らぬ間にまったく別のAI──Anthropicが開発するClaude──と対話させられていたという不都合な事実です。

Alibaba（Qwen）だけで1億5,100万件、DeepSeekは14日間で1,210万件超。しかも転送されたデータには、国防機密のライブ認証情報から人民解放軍関連施設の監視映像分析まで含まれていました。これは単なるIT企業間の規約違反ではなく、国家安全保障レベルの問題に発展していたのです。

本記事では以下の3点を詳しく解説します。

• 「蒸留攻撃」の仕組みと、なぜユーザーには気づけなかったのか
• 各社の手口と規模、そして流出した機密データの深刻さ
• 生成AIを業務利用するエンジニア・企業が今すぐ取るべき対策

---

Anthropicの脅威インテリジェンスレポートとは何だったのか

2026年9月版レポートの概要と公開の経緯

Anthropicが公開した「Countering misuse of AI: September 2026」レポートは、2025年12月から2026年8月にかけて検出・阻止したClaudeの不正利用事例を詳細にまとめたものです。

今回のレポートが異例だったのは、名指しされた企業の数と具体性にあります。Alibaba（Qwen）、DeepSeek、Moonshot AI（Kimi）、Xiaomi（MiMo）、Zhipu AI、SenseTime、MiniMaxという中国系AI企業7社が実名で報告されており、各社の具体的な手口、使用されたアカウント数、転送されたリクエストの件数まで公開されています。

セキュリティ業界の脅威インテリジェンスレポートでは、調査対象の企業や個人を匿名化するのが通例です。しかし今回Anthropicは、それを意図的に破りました。この判断の背景には、単なる情報共有を超えた強いメッセージが込められています。

レポートの中核を占めたのが、「蒸留攻撃（Distillation Attack）」と呼ばれる新種の脅威です。後述するように、これはClaudeのAPIを経路として悪用し、競合他社がユーザーの知らないうちにClaudeの知性を「吸い取る」手法です。

なぜAnthropicは実名公開に踏み切ったのか

通常、企業向けのセキュリティレポートで競合他社の実名を公表することは、法的リスクと外交的摩擦を伴う極めてリスクの高い判断です。それでもAnthropicが実名公開を選んだ理由は、少なくとも3つ考えられます。

第一に、抑止効果です。匿名であれば「自社のことではない」と無視できますが、実名を出すことで当該企業に直接的なプレッシャーをかけることができます。

第二に、業界全体への警告です。蒸留攻撃はClaudeに限らず、あらゆる高性能APIモデルに対して同様の手法が使われうることを示唆しています。OpenAIやGoogleをはじめとするAI企業に向けた「皆さんも狙われています」というメッセージでもあります。

第三に、ユーザーへの透明性確保です。自分のデータが無断で第三者（この場合はAnthropicを含む複数の主体）に送られていた事実は、ユーザーが知る権利を持つ情報です。Anthropicはその開示義務を履行したとも解釈できます。

---

「蒸留攻撃」の仕組みをわかりやすく解説

そもそもモデル蒸留（Distillation）とは

「蒸留（Distillation）」とは、機械学習の分野で使われる技術用語で、大規模で高性能な「教師モデル」の出力を学習データとして活用し、より小規模・低コストな「生徒モデル」を訓練する手法です。

正規の蒸留とは、たとえばGPT-4のような大型モデルを使って生成したQ&Aデータを自前のモデルのファインチューニングに使うような行為を指します。これ自体は学術的にも産業的にも広く行われている手法であり、多くのオープンソースモデルの品質向上にも貢献してきました。

しかし「蒸留攻撃」と呼ばれる行為はこれとは本質的に異なります。競合他社のAPIを無断かつ大規模に利用し、しかもユーザーを「媒介」として使うことで実際の業務データや個人情報まで含んだ高品質な学習データを無料で収集するものです。これは知的財産の侵害であり、利用規約違反であり、プライバシー侵害でもあります。

今回の手口：ユーザーのリクエストを黙ってClaudeへ横流し

今回Anthropicが報告した蒸留攻撃の仕組みは、概念的にはシンプルですが、ユーザーにとって非常に検知しにくいものでした。そのフローを整理すると以下のようになります。

① ユーザーがKimiやDeepSeekなどのサービスでチャットメッセージを入力する

ユーザーの視点では、普段通りAIチャットサービスを使っているだけです。UIも使い心地も変わりません。

② バックエンドで、入力されたメッセージが（ほぼ）そのままAnthropicのClaude APIへ転送される

不正アカウントを通じて取得したAPIキーを使い、ユーザーのリクエストをClaude（場合によってはClaude Opusのような最高性能版）に送信します。

③ Claudeの回答をユーザーへの応答として返す

ユーザーはKimiやDeepSeekから回答が来たと認識しますが、実際にはClaudeが生成した回答です。

④ この会話データを自社モデルの学習（ファインチューニング）に使用する

高品質なQ&Aデータとして蓄積し、自社モデルの能力向上に活用します。

この仕組みによって当該企業は二重の利得を得ていました。一方では、Claudeの高品質な回答をそのままユーザーに提供することでサービス品質を底上げできます。もう一方では、実際のユーザーによる業務データという「本物のリアルワールドデータ」を含む高品質な学習データを無償で収集できます。コスト面でも技術面でも、自力でモデルを鍛えるより遥かに効率的です。

ユーザーは何も気づけなかった

この手口で特に問題なのは、ユーザーが自分のデータが第三者に送られていることを知る術がなかった点です。

サービスのUIにはClaudeへの転送を示すいかなる表示もありませんでした。応答速度もClaudeの回答そのものであるため不自然な遅延は生じにくく、回答の品質が高い（むしろ期待以上に高い）ことはあっても低くなることはありません。プライバシーポリシーにも「第三者AIサービスへの転送」が明記されているケースはほぼなかったと考えられます。

「KimiやDeepSeekと話しているつもりで、実際にはClaudeと話していた」──これが何百万人ものユーザーが経験していた知らぬ間の現実でした。

---

企業別に見る規模と手口の違い

Moonshot（Kimi）：5,380の不正アカウントで10日間30万件

Moonshot AIが運営するKimiは、わずか10日間で約30万件のリクエストをClaudeへ不正転送していたことが判明しました。

特筆すべきは、使用された不正アカウントの「地理的分散」という回避戦略です。5,380ものアカウントは主にシンガポールおよび日本のIPアドレスを持つアカウントとして登録されていました。

APIプロバイダーは通常、異常に集中したリクエストパターンや、同一の地理的起点からの大量アクセスを検知して不正利用を判断します。地理的に分散させることで、単一アカウントあたりのリクエスト数を抑えつつ、総量としては大量のリクエストを処理できる検知回避の仕組みを構築していたわけです。

また日本やシンガポールを拠点として選んだことには、信頼性の高い地域のIPアドレスを使うことで審査を通りやすくする意図があったと考えられます。

DeepSeek：Claude Codeを狙い撃ちする文字列検出

DeepSeekのケースは、技術的な巧妙さという観点では今回報告された中でも際立った内容でした。

DeepSeekはバックエンドに「Claude Codeなどの開発ツール（ハーネス）を識別する特定の文字列」を検出するロジックを組み込んでいました。つまり、すべてのユーザーリクエストをClaudeへ転送するのではなく、Claude Codeを使っているユーザーのリクエストを選別してClaude Opusへ誘導するという、標的を絞った運用を行っていたのです。

なぜClaude Codeのユーザーを狙ったのかは明白です。Claude Codeユーザーはコーディング用途でAIを使うエンジニアであり、その会話データには実際の業務コード、アーキテクチャの設計議論、デバッグの過程など、技術的に非常に高品質な学習データが含まれます。さらにClaude Opusは最高性能のモデルであり、その回答は学習データとしての品質も最高水準です。

このターゲティングの結果、わずか14日間で1,210万件超というDeepSeekの転送件数は、コスト対効果を最大化した意図的な運用の結果と見ることができます。

Alibaba（Qwen）：過去最大規模の1億5,100万件

今回のレポートで最も衝撃的な数字を記録したのがAlibabaです。

Alibabaは自社のAIモデル「Qwen」の開発を目的として、2026年5月から7月の3ヶ月間にわたり1億5,100万件のリクエストをClaudeへ不正転送していました。ピーク時には1日あたり300万件以上に達したとされています。

使用されたのは3,500以上の不正アカウントです。Moonshotの5,380アカウントより少ないにもかかわらず総件数が桁違いなのは、アカウントあたりの稼働率と期間の長さが影響しています。3ヶ月という長期間にわたって検出を回避し続けたことは、Alibabaの実行体制が組織的・計画的なものだったことを示唆しています。

Anthropicが「過去最大規模の蒸留攻撃」と表現したこの事案は、技術的な問題というより、企業の意思決定として行われた組織的な不正利用であるという評価が適切でしょう。

Xiaomi（MiMo）：コーディングセッションの保存とリプレイ

Xiaomiが開発するMiMoのケースは、他の3社とは異なるアプローチを取っていました。

単純にリアルタイムでリクエストをClaudeへ転送するだけでなく、ユーザーのコーディングセッションと会話履歴を保存し、後日再実行（リプレイ）するという手法が確認されています。

これは「過去の会話を再生して学習データを増やす」という観点で、一種の「データ増幅」戦略と見ることができます。一度収集したセッションデータを複数回活用することで、APIコストを抑えつつ学習データ量を増やす効率的な（しかし悪質な）運用方法です。

このケースで特に深刻なのは、保存されたデータの内容です。Anthropicのレポートによれば、保存されたセッションには数十の言語にわたる数百人分の個人情報が含まれていたことが確認されています。

4社の手口比較

各社の手法をまとめると以下のようになります。

企業	主な手法	規模	特徴
Moonshot/Kimi	地理分散アカウントによる転送	10日間・約30万件	シンガポール・日本拠点を偽装し検知回避
DeepSeek	ハーネス文字列検出で標的を絞る	14日間・1,210万件超	Claude Codeユーザーをリアルタイムでターゲティング
Alibaba/Qwen	大規模アカウント群による長期運用	3ヶ月・1億5,100万件	ピーク時1日300万件、過去最大規模
Xiaomi/MiMo	セッション保存とリプレイ	数百人分の個人情報含む	会話履歴の再実行で学習データを増幅

---

流出していた機密データの深刻さ

企業の内部ソースコードと認証情報

蒸留攻撃の本質的な問題は、転送されたリクエストの「中身」にあります。ユーザーがAIチャットに入力するのは、無害な一般的な質問ばかりではありません。

Anthropicのレポートが確認した転送データには、中国企業の内部ソースコードがそのまま含まれていたケースがありました。エンジニアがコードレビューや実装上の質問をAIに尋ねる際、コードスニペットを貼り付けることは日常的な行為です。しかしそのコードが、知らぬ間にAnthropicのサーバーへ送られていたとすれば、それは企業秘密の流出に他なりません。

さらに深刻なのが、**ロシア国防省データベースのライブ認証情報（credentials）**の流出です。「ライブ」とは、キャプチャ時点でまだ有効な状態の認証情報を意味します。これはシステムへの不正アクセスに直接使用できる最高リスクの機密情報であり、AI安全性の文脈を超えてサイバーセキュリティの最重大インシデントに分類される性質のものです。

軍事・監視関連データ

企業機密よりさらに衝撃的なのが、軍事・監視関連データの流出です。

中国人民解放軍（PLA）関連施設周辺のCCTV映像分析データが転送されていたことが確認されています。これは監視カメラの映像データそのものではなく、その分析結果や関連情報と考えられますが、軍事施設の周辺情報が外国企業（米国のAnthropicを含む複数の主体）のシステムを経由した事実は、いかなる文脈でも許容できるものではありません。

また中国公安による市民の移動プロファイルと警察記録のマッチングデータの流出も報告されています。これは市民の監視・管理に使われる高度に機密性の高い情報であり、政府機関の内部データが民間のAI企業のシステムに流入していたことになります。

皮肉な安全保障リスク：中露のデータが米国企業のシステムへ

このデータ流出が持つ最大の皮肉は、守るべき側が自ら情報を差し出していたという逆説的な構造にあります。

中国やロシアの政府・軍事機関は通常、米国企業のシステムへのデータアクセスを厳しく制限しています。しかし今回の蒸留攻撃では、中国企業が自国の政府・軍事関連データを含むリクエストをAnthropicのClaudeへ転送していたことで、意図せずして中露の機密データが米国のAI企業のシステムに流入するという逆流現象が発生していました。

「自国の情報を守るための仕組みが、その情報を最も遠ざけたい相手に差し出す経路になっていた」──この構図は、技術的なセキュリティ問題として以上に、AI時代の情報ガバナンスの根本的な脆弱性を示しています。

---

AI安全性と業界への4つの影響

1. ユーザーの同意なきデータの第三国送信

最も直接的な問題は、プライバシーの侵害です。

KimiやDeepSeekのユーザーは、そのサービスのプライバシーポリシーに同意してサービスを利用しています。しかし、そのポリシーには「ユーザーの入力を米国のAnthropicへ転送する」という条項は存在しなかったはずです。これはGDPR（EU一般データ保護規則）における「目的外処理の禁止」原則に明白に違反します。

日本においても、改正個人情報保護法のもとで「第三者提供」の際には原則として本人の同意が必要です。今回のケースのように、ユーザーが知らないうちに海外のサービスへデータが転送されていた事実は、各国のデータ保護法制との整合性において深刻な問題を抱えています。

実際に影響を受けたユーザーにとっては、「私はサービスAに入力したのに、なぜサービスBに私のデータがあるのか」という状況が現実に発生していたわけです。

2. モデルの「思考プロセス」を盗む新しい知的財産問題

従来の知的財産侵害といえば、コードの無断コピーやデザインの模倣が典型例でした。しかし蒸留攻撃が提起するのは、それよりもはるかに捕捉困難な問題です。

Claudeが特定の質問にどう答えるか、どのような思考の筋道で結論を導くか、どのような言語スタイルで回答を組み立てるか──そうした推論パターンそのものが、大量のサンプルを通じて競合モデルに模倣されていたとすれば、それは何を侵害していることになるのでしょうか。

現行の知的財産法はこの問いに明確な答えを持っていません。出力された文章には著作権が生じる可能性がありますが、「思考のスタイル」や「推論の傾向」を法的に保護する枠組みは未整備です。この法的グレーゾーンは、今後のAI開発における知的財産問題の最前線になると考えられます。

3. 利用規約・API契約違反としての側面

法的な問題に先立って、今回の行為が「不正」と断定される最も直接的な根拠はAPIの利用規約です。

Anthropicを含む主要AIプロバイダーのAPI利用規約には、競合モデルの開発・改善を目的とした大規模な利用を禁止する条項が含まれています。これは単なる形式的な規定ではなく、APIビジネスの持続可能性を支える根幹的なルールです。

さらに今回の事案では、不正アカウントを大量生成することで利用上限（レートリミット）や身元確認を意図的に回避していた事実があります。これは規約違反にとどまらず、システムへの不正アクセスとして刑事的な問題に発展しうる性質を持ちます。

API契約において「私はAnthropicの競合ではない」と（虚偽または欺瞞的に）申告してアクセスを得ることは、契約法上の詐欺的行為とも解釈できます。

4. AI競争の「見かけの性能」への疑義

この問題は、AI業界全体の評価軸にも根本的な疑問を投げかけています。

AI企業の性能評価は主にベンチマークスコアと実際のユーザー評価によって行われます。しかし、もしあるモデルの高いスコアが自社の技術力によるものではなく、他社の高性能モデルからの大量蒸留によって実現されていたとしたら、そのスコアは何を意味するのでしょうか。

投資家はそのスコアを根拠に企業価値を評価し、ユーザーはそれを根拠にサービスを選びます。開発者はそれを根拠にどのAPIを採用するか判断します。蒸留攻撃によって「水増しされた」性能指標が市場に流通していたとすれば、AI業界全体の公正な競争環境が歪められていたことになります。

---

Anthropicの対応と検出の限界

実施された対策

Anthropicはレポートの中で、今回の不正利用に対して具体的な対応を取ったことを明かしています。

まず、検出された不正アカウントの特定と停止を実施しました。上述の4社のケースはいずれも「検出・阻止した事例」として報告されており、現時点では少なくとも当時の手口による攻撃は無効化されています。

次に、蒸留攻撃の検出精度を高めるための防御技術の強化を進めています。具体的な手法は（セキュリティ上の理由から）公開されていませんが、行動パターン分析、リクエスト特性の異常検知、アカウント生成パターンの監視などが含まれると考えられます。

そして今回の公開レポートそのものが、最大の「対策」とも言えます。実名での公表は法的・社会的圧力を当事者に与えるとともに、「Anthropicはこの問題に本気で取り組んでいる」という業界へのメッセージになっています。

完全な防止はなぜ難しいのか

一方で、蒸留攻撃の完全な防止が技術的に困難であることも認識しておく必要があります。

最大の障壁は、正規利用と蒸留利用を技術的に区別する困難さです。研究者がClaudeを使って大量のQ&Aを生成する正規の学術利用と、競合企業が学習データ収集のために大量のリクエストを送信する不正利用は、APIのリクエストパターンだけを見ると非常に似通っています。

また不正アカウントの分散生成と地理的偽装によって、検知システムはいたちごっこを強いられます。DeepSeekのように「特定のユーザー層だけに選択的に」適用される手口は、全体的な統計では異常として浮かび上がりにくいという特性を持ちます。

レートリミットや契約条項は予防的な抑止力にはなりますが、悪意ある組織的な行為者に対する完全な防壁にはなりえません。最終的には技術的対策と法的・規制的対策の組み合わせが必要であり、それは現在進行形の課題です。

---

私たちユーザーは何をすべきか

中国系AIサービス利用者が今すぐ確認すべきこと

今回の報告を受けて、KimiやDeepSeekを業務で利用していたユーザーが最初に取るべきアクションは「自分が何を入力したか」の棚卸しです。

特に確認が必要なのは以下の項目です。

認証情報の入力有無：APIキー、パスワード、トークン、データベース接続文字列などを入力していた場合は、直ちにローテーション（再発行・変更）を行ってください。「ライブ認証情報」の流出が確認されているという報告は、認証情報が有効な状態でそのまま第三者に渡る可能性を示しています。

機密性の高いコードや文書の入力有無：未公開のソースコード、内部仕様書、顧客データを含むスニペット、契約書の内容などを入力していた場合は、社内のセキュリティポリシーに従って該当部門（情報セキュリティ担当、法務など）への報告を検討してください。

対象期間の確認：報告されている不正利用の主な対象期間は2025年12月〜2026年8月です。この期間に業務利用していた場合は特に精査が必要です。

企業として取るべき生成AI利用ポリシー

今回の事案は、企業の情報セキュリティ担当者にとって生成AI利用ポリシーの見直しを迫る契機になるはずです。

「実際に処理しているモデルの明示」を契約要件にする：AIサービスを導入する際、バックエンドで使用されているモデルやサブプロセッサ（下請けのデータ処理事業者）を契約上開示させることを条件にするべきです。「私たちはXXX社のAIを使っています」という説明だけでなく、「処理はすべて自社のシステム内で完結する」または「どの外部サービスを使うか」を明示させることが重要です。

機密情報・個人情報の入力禁止ルールの再徹底：多くの企業ですでに何らかのAI利用ガイドラインを設けていると思いますが、今回の事案を踏まえてその徹底度を再点検する価値があります。特に「AIへの入力は公開情報と同等に扱う」という基本原則を全従業員に再周知することが有効です。

GDPR・個人情報保護法に基づくデータ処理の透明性確認：個人データを扱う業種では、利用するAIサービスのデータ処理契約（DPA）が適切であるかを法務・DPO（データ保護責任者）と連携して確認してください。

AIサービスを選ぶ新しい判断基準

今回の事案が私たちに示した最も重要な教訓のひとつは、AIサービスを選ぶ基準として「価格」と「性能」だけでは不十分だということです。

データの経路の透明性：自分の入力がどのシステムを経由して処理されるのかが明確に開示されているかどうかは、これからのAIサービス選定において基本的なチェック項目になるべきです。

事業者の姿勢：Anthropicが今回のように詳細な脅威インテリジェンスレポートを公開するという行動は、透明性と誠実さという観点で高く評価されるべきです。自社のサービスが悪用されたという都合の悪い事実を、詳細なデータとともに公開する姿勢は、信頼に値するプロバイダーの条件のひとつと見ることができます。

規約の実効性：「競合利用は禁止」と書いてある利用規約も、それが実際に執行されなければ意味を持ちません。今回Anthropicが実名公表という形で「執行」の意思と能力を示したことは、業界全体のルール形成に向けた重要な一歩です。

---

まとめ：AI競争は「性能」から「信頼」のフェーズへ

本記事の要点を整理しましょう。

• 蒸留攻撃とは何か：Kimi、DeepSeek、Qwen、MiMoなどの中国系AI企業が、ユーザーの知らないうちにリクエストをClaudeへ転送し、その回答を自社モデルの応答として提供しつつ学習データとして活用していた。Alibabaだけで3ヶ月間に1億5,100万件、DeepSeekは14日間で1,210万件超という規模だった。

• 流出したデータは単なる「会話ログ」ではなかった：軍事施設の監視データ、国防省の認証情報、企業の内部ソースコード、市民の移動プロファイルまでが含まれており、AI安全性の問題が国家安全保障のレベルに達していた。

• これは技術問題であると同時にガバナンス問題だ：APIの利用規約、データ保護法制、知的財産法、契約法、そして国家間の情報管理という複数の文脈が交差する複合的な問題であり、技術的な防御だけでは解決しない。

• ユーザーにできることは今すぐある：認証情報のローテーション、入力データの棚卸し、企業内ポリシーの見直し──これらは規制を待たずに今日から着手できる実践的なアクションだ。

Anthropicがこのレポートを公開した2026年9月という時期は、AI競争が「誰が一番性能の高いモデルを作れるか」というフェーズから、「誰のサービスが最も信頼できるか」というフェーズへ移行しつつあることを象徴しています。

今後注目すべき動きとして、EU AI法の執行機関やFTCなど各国規制当局がこの問題にどう反応するか、名指しされた各社がどのような声明を出すか、そして業界全体で「サブプロセッサの開示義務化」のような標準化の動きが生まれるかどうかが挙げられます。

最後に、読者の皆さんへひとつ問いかけをして締めくくりたいと思います。あなたは今、自分が使っているAIサービスのバックエンドで「実際に誰が」処理しているか、確認できていますか？

---

参考リンク

• Anthropic公式：Countering misuse of AI — September 2026 Threat Intelligence Report
• Chinese AI labs secretly used millions of Claude exchanges to train their models — CNBC
• Moonshot, DeepSeek secretly routed user requests to Claude — South China Morning Post
• AnthropicがKimi・DeepSeekによるClaude不正利用を報告 — CNET Japan
• How Chinese AI Companies Built on Claude Without Permission — The Decoder