Anthropic は2026年10月12日(現地時間)、自社モデル「Claude」に対する蒸留攻撃への防御を大幅に強化したと発表した。蒸留攻撃は、モデルの能力を開発者の許可なく抽出し、別のモデルで複製する産業規模の不正行為を指す。アンソロピックは、新たな対策により蒸留者によるデータ収集量が約90%から99%減少した初期のエビデンスを示している。これには、不正アカウントを利用した反復的な推論抽出を制限または停止する運用上の防御も含まれる。
アンソロピックは、過去数ヶ月間でClaudeに対する蒸留攻撃の有効性を低減させる上で実質的な進歩を遂げたとしている。これらの攻撃は、開発時間とコストを大幅に削減し、最先端のモデル能力を模倣するために行われ、多くの場合、不正アカウントのネットワークを通じて実施される。
同社は、不正な蒸留行為が二つの主要な懸念をもたらすと指摘している。第一に、蒸留されたモデルは、適切なセーフガードなしに最先端の能力に接近することが可能となり、生物学やサイバーセキュリティといった分野で重大な危害を引き起こす可能性がある。例として、ジー・プー (Zhipu) が「GLM-5.3」開発時に米国の主要モデルのサイバー能力を蒸留したケースが挙げられている。アンソロピックの調査では、GLM-5.3のセーフガードは容易に迂回可能であり、エンドツーエンドのセキュリティエクスプロイトを開発する傾向が見られた。第二に、不正に蒸留されたモデルは国家安全保障上のリスクを提示する。蒸留を通じて得られた能力が、外国の軍事、情報、監視システムに統合される事例も報告されている。
これらの攻撃の高度化と規模拡大に対応するため、アンソロピックは防御策を拡大し、大幅に強化した。これにより、蒸留者からの収益および数兆トークン相当の有料トラフィックを拒否し、研究および製品チームが多大な時間と労力を投資した。一部の変更は、正規ユーザーにも統合の更新を求めることになった。
蒸留者らは、大規模モデルであるClaudeから数百万の応答を生成し、それを利用して小規模モデルがClaudeの振る舞いを模倣するように学習させることを目指す。この目的で最も価値のあるデータは、Claudeが最終的な回答に至るまでの思考プロセスを示す「推論 (reasoning)」の記録である。初期の防御策として、アンソロピックはClaudeが推論をユーザーに表示する前に要約する措置を導入した。これにより、要約されていない推論で学習したモデルがSWE-bench Verifiedコーディングベンチマークで80.4%のスコアを達成したのに対し、要約された推論で学習したモデルは71.8%に低下し、蒸留者にとっての有用性が低下した。
しかし、蒸留者らはこの変更後も受動的抽出から能動的抽出へと切り替え、Claudeに完全な推論を開示させるための様々な手法を開発した。これには、出力される以前の推論を逐語的に、文字通り出力せよといった単純な指示から、12,000件のリクエストでClaudeを欺くより洗練された技術までが含まれる。蒸留者たちは、初期のセーフガードを迂回し、数十万もの不正アカウントを制御するプロキシネットワークを構築し、未提供地域でのClaudeアクセスを再販したり、偽のIDや盗まれた支払い情報でアカウントを作成したりした。
アンソロピックの新しい防御策は、正規ユーザーへの影響を最小限に抑えつつ、3つの方法で攻撃を阻止する。第一に「推論の転送制御」として、Claude Fable 5.1およびClaude Opus 5.5ではpreserved thinkingを導入し、2026年8月31日以降に作成された新規APIアカウントがClaudeの以前のコンテキストを編集することを防止する。また、より弱い蒸留対策の旧モデルがこれらのモデルの推論を読み取ることを防ぎ、Claude Sonnet 5.5では、推論記録をリクエストを行った組織のみがアクセスできるようにした。第二に「抽出試行のブロックとパッチ」として、Claudeモデルを蒸留に利用することをサイバーセキュリティや生物学分野での有害なタスクに利用するのと同程度に困難にすることを目指す。
参考: anthropic.com (アーカイブ) — 2026年10月12日 18:30 (JST)
原文ハイライト"Distillation attacks are covert, industrial-scale campaigns to extract the capabilities of one model"