Anthropicは10月12日、公式ブログで、Claudeを狙った「蒸留攻撃」への防御を強化したと発表した。初期の結果では、攻撃者が集めるデータの量をおよそ90〜99%減らせたという。

蒸留攻撃とは

「蒸留」は、性能の高いAIの答えを大量に集め、それを手本に小さなAIを学習させる手法だ。開発元の許可なく、偽のアカウントを大量に使って組織的に行うものを、同社は「蒸留攻撃」と呼んでいる。攻撃する側は、開発にかかる時間と費用を大きく省いて、最先端に近い性能を手に入れられる。

Anthropicが問題視する理由は2つある。1つは、こうして作られたモデルが十分な安全対策なしに公開されがちなこと。同社は例として、中国のZhipuがGLM-5.3の開発で米国の主要モデルのサイバー能力を蒸留したと指摘する。もう1つは安全保障上のリスクで、蒸留で得た能力が海外の軍事・監視システムに組み込まれているという。

狙われるのは「考える過程」

攻撃者にとって最も価値があるのは、Claudeが答える前に書き出す推論（AIが答えを導き出す過程）の記録だ。そこで同社の対策は、推論を簡単に取り出せないようにすることに集中している。

初期の対策では、推論をそのまま見せずに要約して表示した。同社の検証では、Claude Opus 4.8の完全な記録で学習させたモデルはコーディングの評価テスト「SWE-bench Verified」で80.4%を記録したが、要約だけで学習させると71.8%にとどまった。ただ攻撃者は手口を変え続けており、同社はさらに強い対策を重ねてきたという。

正規の利用者にも影響

Anthropicは、対策には代償があったことも認めている。蒸留を狙う利用者からの売上や、数兆トークン（AIが処理する文字の単位）分の有料の通信を断り、一部の正規の利用者にも連携方法の変更をお願いしたという。それでも、AI開発会社が共通して向き合うべき問題だとして、ほかの開発者や配信事業者に対策の参考にしてほしいとしている。最新モデルについてはAnthropic、最上位モデル「Claude Fable 5.2」と「Mythos 5.2」を発表　最大30%高速化し値下げもも参照。