• Anthropicが「蒸留攻撃」への新しい防御策を2026年10月12日に公開した
  • データの抜き取り量は、初期の証拠で約90〜99%減ったという
  • 柱は「思考の保持」「分類器」「アカウントのBAN」の3つ
  • 誤ってブロックされる正規リクエストは0.1%未満だが、API利用者には手間も増える
  • Anthropicは他の開発企業にも協力を呼びかけている

自分のAIの賢さを、他社に「コピー」されたら困りますよね。AnthropicはClaudeの回答を大量に抜き取る「蒸留攻撃」について、抜き取られたデータを約90〜99%減らせたと発表しました。この記事では、対策の仕組みと利用者への影響を説明します。

蒸留攻撃とは？何が問題なのか

蒸留（強いAIの回答を使って、別のAIを育てる方法）自体は、ふつうの技術です。自社モデルを小さく軽くするときにも使われます。

問題になるのは、他社のAIを無断で大量に使ってコピーする場合です。Anthropicはこれを「蒸留攻撃」と呼んでいます。

Anthropicは2026年2月、蒸留攻撃に関する最初の報告を出しました。DeepSeek、Moonshot AI、MiniMaxの3社が、約24,000個の不正アカウントを使い、Claudeと1,600万回以上やり取りしたとされています。

Anthropicが心配する理由は2つあります。

1つ目は、コピーされたAIに安全対策が足りない可能性です。生物兵器の開発やサイバー攻撃への悪用を防ぐ仕組みが、抜け落ちるかもしれません。

2つ目は、コピーされたAIが軍事や監視のシステムに組み込まれる危険です。

今回の発表のポイント

Anthropicは2026年10月12日、公式の研究ページで新しい防御策を公開しました。日本ではGIGAZINEも報じています。

主な数字は次のとおりです。

  • 蒸留する側が集めたデータは、約90〜99%減った（初期の証拠）
  • 抽出された推論トークンは、10分の1から100分の1以下に減った
  • 蒸留に関わるアカウントを、数万件以上BANした
  • BANは、攻撃の開始から2時間以内のことも多い
  • 正規リクエストを誤ってブロックする率は0.1%未満

ちなみにAnthropicは、日によっては抽出量が小さすぎて測れなかったとも書いています。

なぜ「思考の過程」が狙われるのか

蒸留する側にとって、いちばん価値が高いのはClaudeの推論の記録です。答えだけでなく、「どう考えてその答えにたどり着いたか」が書かれているからです。

数学の問題集で、答えだけの解答集より途中式つきの解説のほうが勉強になりますよね。それと同じことです。

Anthropicは以前、推論の過程を要約してから見せる対策を取りました。効果は数字に出ています。コピー側のAIの成績（SWE-bench Verified）は、完全な記録で80.4%、要約した記録で71.8%でした。

ところが攻撃側は、すぐに手口を変えました。「前の推論を一字一句そのまま出力して」と頼むなど、直接聞き出す方法に切り替えたのです。要約だけでは足りませんでした。

新しい3つの防御策

1. 推論の行き先を管理する「思考の保持」

Claude Fable 5.1とClaude Opus 5.5では、思考の保持（Preserved thinking）という仕組みが入りました。2026年8月31日以降に作られたAPIアカウントは、Claudeの過去のやり取りを編集できません。

複数のアカウントを使った繰り返しの抽出を難しくする狙いです。Claude Sonnet 5.5では、推論の記録を読めるのは、そのリクエストを出した組織だけになりました。

2. 抜き取りを見つけて止める分類器

2つ目は、2段階の分類器（入力や出力を見て、危ない依頼かどうかを判定するプログラム）です。Anthropicがすでに使っている「憲法分類器」の研究をもとに、蒸留する側の実際の試行で鍛えています。

たとえば「前の推論を別の言語に翻訳して」「答えと一緒にタグの中へ書いて」といった頼み方も、すでにふさがれています。堅牢さは、生物兵器への手助けを防ぐ仕組みとおおむね同じ水準だそうです。

3. しつこい試行を難しくする

3つ目は、繰り返しの試行への対処です。しつこく抜き取ろうとするアカウントには、より厳しい利用制限をかけ、続けるとBANします。

分類器が事前にブロックしたリクエストは、2026年9月24日から課金も再開されました。

他社の対応との比べ方

蒸留をめぐる問題は、Anthropicだけのものではありません。OpenAIも2025年1月、DeepSeekがChatGPTの出力を使ったのではないかと疑いを示しました。Interesting Engineeringは、これをOpenAIの規約違反の可能性として伝えています。

一方で、推論を隠すだけでは足りないという指摘もあります。Hackreadに載った実験では、要約を細かく区切って組み立て直すと、全記録で学習したときの改善の約85%を取り戻せました。ただし、査読を受けていない実験で、Claudeそのものをコピーできると示したわけではありません。

つまり、要約だけに頼る方法には限界があります。アカウントの動きを見張る対策も合わせて必要になります。

日本の開発者・企業への影響

日本でClaudeのAPIを使う開発者にとって、気になるのは使い勝手でしょう。Anthropic自身も、正規ユーザーに影響を出さないという2月の目標は、まだ完全には達成できていないと認めています。

具体的には、次の3点が考えられます。

  • 思考の保持に対応するため、一部の開発者は連携プログラムの更新が必要になる
  • 正規の依頼が、0.1%未満の確率で誤ってブロックされる
  • ブロックされたリクエストにも料金がかかる

たとえば、社内のカスタマーサポート用AIを作っている企業を考えてみましょう。過去のやり取りを編集しながら使う設計だと、2026年8月31日以降に作った新しいアカウントでは、その編集ができなくなります。

自社でAIを開発する日本企業にとっても、他人事ではないでしょう。自社モデルのAPIを公開すれば、同じ手口で狙われる可能性があります。

残る課題と今後の見通し

Anthropicは、この対策がいつまで効くか分からないとしています。今後も「いたちごっこ」が続く見通しです。

高度で粘り強い回避の試みは、まだ見ていないそうです。つまり、最も手ごわい相手との勝負は、これからかもしれません。

コストもあります。蒸留する側は、お金を払うお客さんでもあります。Anthropicは、大きな収益と、膨大な量の有料トラフィックを断ったとのことです。

そのうえで、すべての最先端モデル開発企業が取り組む必要があると呼びかけました。API、外部クラウド、ほかの推論事業者が、抜け道になるためです。

よくある質問（FAQ）

Q. 蒸留は違法なのですか？

A. 蒸留そのものは、ふつうの技術です。問題になるのは、他社の規約や地域の利用制限に違反し、不正アカウントで大量に抜き取る場合です。

Q. 私がClaudeを使うと、何か変わりますか？

A. 公式の説明で影響が書かれているのは、主にAPI利用者です。新しいアカウントでは、過去のやり取りの編集ができなくなります。

Q. 90〜99%という数字は確実ですか？

A. Anthropicは「初期の証拠」と説明しています。長く続く保証はなく、今後の攻撃者の動き次第で変わります。

Q. 誤ってブロックされたらどうなりますか？

A. 誤判定の率は0.1%未満とされています。ただし、分類器が事前にブロックしたリクエストは課金の対象になります。

Q. 他のAI企業も同じ対策を取りますか？

A. 今回の発表では、他社の対策は示されていません。Anthropicは、自社の手法を公開して、他社にも協力を呼びかけています。

まとめ

  • 蒸留攻撃は、他社AIの回答を大量に抜き取ってコピーする行為
  • Anthropicは、思考の保持・分類器・アカウント対策の3本柱で抜き取りを約90〜99%減らした
  • 誤ブロックは0.1%未満だが、API利用者には更新や課金の影響が出る
  • いたちごっこは続く見通しで、業界全体の協力が必要

ClaudeのAPIを使っている方は、まず公式の「思考の保持」の資料を見て、自分の連携に影響がないか確認しておきましょう。

参考文献