CSETは2026年10月26日(現地時間)、ブラックボックス蒸留の仕組みに関する記事を公開した。この技術が提案されている法案や、対抗的蒸留を巡る政策論争に情報を提供することを目的に、米国の専有モデルからの対抗的蒸留がプロセスごとにどのように発生しうるかを考察。中国の研究所が用いる手法や、中国のAI開発に与える潜在的な影響に関する不確実な点を指摘した。
ブラックボックス蒸留は、強力な「教師」モデルの出力を訓練データとして利用し、より弱い「生徒」モデルの能力を向上させる技術である。「ブラックボックス」とは、教師モデルがクローズドソースであり、ウェブまたはソフトウェアインターフェースを通じてのみプロンプトを送信できることを意味する。これはAI開発者や研究者にとって一般的な手法であり、従来は知識や機能をより小型の生徒モデルに圧縮し、計算およびメモリのオーバーヘッドを削減するために用いられてきた。しかし現在では、生徒モデルの規模に関わらず、合成データの抽出や教師モデルから生徒モデルへの機能転送のためにも利用が拡大している。
蒸留プロセスは五つの段階で構成される。(1)蒸留の目的を定め、生徒モデルおよび教師モデルを選定する、(2)教師モデルに入力するシードデータを収集する、(3)教師モデルを望ましい出力へと誘導する、(4)シードデータを用いて誘導された教師モデルから合成データを抽出する、(5)さまざまな技術を用いてその合成データで生徒モデルを訓練する、である。
中国の研究所による対抗的蒸留の目的は、米国企業の専有モデルから知識や能力を転送し、その起源を不明瞭にすることにある。これらの研究所は、第三者を介して米国モデルにアクセスしているとされる。彼らの目的はモデルの圧縮ではなく、数千億から数兆のパラメータを持つ大規模な中国の生徒モデル（例えば、ディープシーク (DeepSeek) のR1モデルは6700億以上のパラメータを持つ）を、後訓練段階でさらに改善することにある。2025年初頭にはOpenAIがディープシークに対し、ChatGPTからの蒸留によってサービス規約に違反したと最初に告発した。これ以降、複数の中国のAI研究所が米国モデルの機能を「対抗的」に蒸留しているとの告発が続いている。
米国政府の共同サイバーセキュリティ勧告は、2026年9月にこれらの告発を繰り返し、中国の研究所が産業規模の知識蒸留キャンペーンを通じて、米国AI企業のモデルの専有機能と能力の体系的な抽出を行っていると述べた。他方で、スペースエックスエーアイ (SpaceXAI) のような米国企業も他の閉鎖的な米国モデルから蒸留しており、この手法の一般的な性質と法的な曖昧さが示されている。これらの告発は、対抗的蒸留の脅威、中国の研究所への利益、違法性の判断、AI競争、セキュリティ、知的財産保護への影響を巡る多数の法案提案と議論を引き起こしている。
対抗的蒸留に用いられたモデル入力（シードおよび操舵戦略）に関する公開情報の不足は、検出技術の有効性を判断することを困難にしている。また、中国の研究所が米国モデルを用いて生成する合成データの量は相当な部分を占めるが、その量は不明瞭であり、防御策の開発と評価を困難にしている。Anthropic、OpenAI、Googleは蒸留キャンペーン中にモデルが生成したトークン数を明記すべきと指摘されている。中国の研究所がAIモデル改善のためにどの程度対抗的蒸留に依存しているか判断することも困難であり、米国側研究所による蒸留が学生モデルに与える影響に関する内部研究の透明性向上が求められている。
参考: CSET (Georgetown) (アーカイブ) — 2026年10月26日 22:41 (JST)