米政府勧告、AI各社に「蒸留の疑いがある通信には劣化した回答を」

9月8日に公表された連邦政府の勧告には、1年前なら妨害行為と受け取られたであろう提言が含まれています。顧客が自社モデルから学習データを掘り出していると疑われる場合、そっと質の低い回答を返せというものです。米当局はいま、国内のAI各社に対し、自社のAPI応答を守るべき資産として扱うよう求めています。ただし、そこで推奨される戦術は、料金を支払う顧客にとっても居心地の悪い副作用を伴います。

要点

• 勧告AA26-251Aは、蒸留の疑いがある通信に対して微妙な応答の改変を施すよう求めています。出力を劣化させ、相手が構築中の学習データセットそのものを汚染する狙いです。
• 推奨される検知シグナルは技術的なものではなく商業的なものです。登録直後から利用上限に張り付くアカウントや、人間の行動では説明できない購読数と利用量の比率に注目せよ、という内容です。
• 記述された手口は侵入ではなく調達側の不正です。プレミアム購読の大量購入、グレーマーケットのプロキシ、メタデータを消去するAPI集約サービスが使われました。

防御の的が通信ではなく課金データである理由

NSA・CISA・FBIの共同勧告が並べる対策は、当局がどこに梃子があると見ているかを物語ります。リクエスト単位の検査はほとんど登場しません。代わりに指針が示すのは各社自身の課金システムです。購入された購読数と消費された利用量の比率を監視し、開設直後から上限まで使う新規アカウントに印を付けよ、というわけです。

手口を見れば筋は通っています。当局が描くのは侵害ではありません。リクエストはメタデータを隠して不正に作られた多数のアカウントに分散され、地理的制限を回避するグレーマーケットの「中継所」を経由し、識別情報を自動で除去する第三者のAPI集約サービスに流し込まれていました。処理量はプレミアム購読の大量購入で確保され、ドメインごとのリクエスト量は数千件から数百万件に及びました。

その一件一件はどれも正当な要求です。パターンが浮かび上がるのはアカウントと決済の層だけであり、勧告が防御側を送り込むのはまさにそこです。

応答汚染が払う代償

応答改変の提言は、この文書で本当に目新しい項目です。蒸留の疑いがあるアカウントに意図的に劣化させた回答を返せば、相手が組み上げている合成コーパスは汚染されます。しかも相手は自分が検知されたことに気づきません。即座の遮断では手放してしまう利点です。

代償を負うのは誤検知です。評価をまとめて回す研究所、夜間バッチを動かす企業、そして実際の蒸留作戦は、利用比率だけを見れば互いによく似ています。料金を支払う顧客の出力を黙って落とすのは、きれいな事後救済の道がない製品判断です。主要各社の誰も、これを実施していると公言していない理由もおそらくそこにあります。

当局は思考の連鎖の痕跡を引き出そうとするプロンプトインジェクションにも注意を促しました。推論の痕跡は最終回答よりはるかに価値の高い学習素材です。結論ではなく、そこへ至る道筋を露わにするからです。複数の研究所が近ごろこれを要約したり既定で伏せたりしている背景でもあります。

指針の背後にある告発

勧告は中国拠点の6社を名指ししています。DeepSeek、Moonshot AI、Alibaba、MiniMax、StepFun、Z.AIです。当局は、遅くとも2024年後半以降、Anthropic、OpenAI、Google、xAIのモデルとの数百万回のやり取りを通じて数十億トークンが抜き取られたと推定しています。蒸留はこれら企業の開発における補助ではなく決定的な中核だ、というのが文書の表現です。

Anthropicも先に約2億回のやり取りを記録した報告で同様の結論に達していました。事業者からの申し立ては割り引いて受け取られがちですが、情報機関による勧告は重みが違います。しかも運用チェックリストが添えられています。

今後の見通し

開発者にとっての実際的な問いは、その摩擦が自分に降りかかるかどうかです。クエリ量の割り当て、敵対的入力の検知、組織間での指標共有は、いずれも正当な大量API利用のコストを押し上げます。名指しされた企業のうち、公表時点で疑惑を公に否定したところはありませんでした。各社がチェックリストを丸ごと採用するなら、目に見える変化は発表ではないでしょう。通信が少しでも異例に映る利用者に向けた、より厳しいレート制限と遅い審査です。

よくある質問

AIにおける知識蒸留とは何ですか

蒸留は、より大きく高性能なモデルの出力を使って小さいモデルや新しいモデルを学習させ、元の重みにアクセスせずに振る舞いだけを移す手法です。自社が保有するモデルに適用する限り、標準的で正当な方法です。競合の商用APIの出力を利用規約に反して使う場合に問題となります。

AI各社は蒸留を実際に止められるのですか

完全には止められません。勧告の対策は抽出を防ぐというより、コストと発覚確率を引き上げるものです。利用パターンの監視、クエリ量の上限、差分プライバシー、研究所間でのインフラ指標の共有が挙げられています。公開APIで提供されるモデルは、設計上どうしても能力の一部が漏れます。

この勧告はAI企業に法的義務を課しますか

課しません。AA26-251Aは規制ではなく勧告であり、対策の実施は任意です。実質的な重みは、NSA・CISA・FBIの共同文書であるという点から生じます。事業者やその法人顧客が、この脅威評価を単なる競合叩きとして扱いにくくなるからです。