「蒸留」は、かつて機械学習では穏やかな言葉でした。大きなモデルを模倣するように小さなモデルを訓練すること、つまり標準的で有用な手法を指していたのです。2026年9月から10月にかけて、それはセキュリティと貿易の話題になりました。マーケティング用のAIを購入または構築するなら、両方の意味を理解しておくべきです。
何が起きたのか
9月上旬、CISA、NSA、FBI は、中国を拠点とするAI企業による産業規模の知識蒸留とされるものについて、共同勧告を公表しました。Help Net Security による勧告の報道によると、各機関は DeepSeek、Moonshot AI、Alibaba Group、MiniMax、StepFun、Z.AI を名指しし、これらの企業が少なくとも2024年後半以降、米国のフロンティアモデルへの数百万件のリクエストを通じて数十億トークンを抽出したと述べました。勧告は、人間の休止時間がない24時間体制の利用や、連携して動くアカウント群などの検知シグナルを挙げ、より強力な本人確認、監視、AIプロバイダー間の情報共有を推奨しています。報道では、名指しされた企業からの声明は含まれていなかったとしています。
10月12日、Anthropic は自社の対応を説明しました。Strengthening our defenses against distillation attacks で、同社は初期の証拠から、自社の手法により蒸留者が収集するデータが約90〜99%減少したことが示唆されると述べました。対策には、新しいAPIアカウントによる Claude の過去の推論の編集を防ぐこと、抽出の試みで訓練された誤検知率0.1%未満の2段階分類器、繰り返しの試みに対するより厳しい制限と利用停止、安全対策によってブロックされたリクエストへの課金が含まれます。Anthropic は、蒸留に関連する数万件のアカウントを利用停止にしたと述べ、「いたちごっこ」が続くと予想しています。
なぜ重要なのか
AI研究所同士の争いをマーケターが気にかけるべき理由は2つあります。
1つ目はサプライチェーンのリスクです。あるモデルが別のモデルの挙動を無断でコピーして作られたものなら、どの安全対策が備わっているのかはわかりません。Anthropic の投稿は、蒸留されたモデルはフロンティア級の能力に近づきながら、より弱い保護のまま提供されうると論じています。カスタマーサービスの運用や広告の生成に使うモデルを選ぶとき、出自は品質の一部です。
2つ目は、正当な利用者にとっての摩擦です。防御にはコストが伴います。Anthropic は、一部の開発者が連携を更新する必要があったこと、無害なリクエストのごく一部がブロックされうること、ブロックされたリクエストにも課金されうるようになったことを認めています。あなたのマーケティングスタックがフロンティアAPIを自動で大量に呼び出しているなら、そのトラフィックの一部は抽出キャンペーンのように見えるかもしれません。パイプラインが止まってからではなく、今のうちにプロバイダーのポリシーを読んでおきましょう。
私の研究が示すこと
ここでの悪役は蒸留そのものではありません。正当に行われれば、蒸留はAIを手頃な価格にする方法です。大きなモデルが小さなモデルに教え、小さなモデルが大規模に安く動きます。私は Forbes で、マーケティングではモデルの大きさよりも手法が重要だと論じてきましたが、蒸留はそうした手法の一つです。
状況を変えるのは、同意と透明性です。説明可能なAIに関する私の研究は、シンプルな原則から始まります。マーケターは、システムがなぜそれを推奨するのかを見られるべきだということです。Against Opacity（ACM Multimedia 2023）では、クリック率の予測に、その要因を説明するLLMアシスタントを組み合わせました。SOMONITOR（2024年のプレプリント）では、説明可能なパフォーマンスモデルとLLMを組み合わせた競合分析について述べました。説明に意味があるのは、そのモデルが何であり、どこから来たのかがわかっている場合だけです。
注目すべき皮肉もあります。Anthropic が説明する防御策、つまりモデルの完全な推論を要約したりアクセスを制限したりすることは、システムを誰にとっても少し不透明にします。推論こそがコピーする側の欲しいものだからです。このトレードオフは、AIベンダーがどこまで説明を開示するかを左右するでしょう。購入者は、生の推論の痕跡ではなく、自社のデータと自社の意思決定について、自分たちのために設計された説明を求めるべきです。
マーケティングAIの購入者が今すべきこと
- すべてのベンダーに、製品の基盤にどのモデルがあり、そのモデルがどこから来たのかを尋ねましょう。
- 呼び出しているAPIの利用規約を確認しましょう。自動化された大量の利用はマーケティングでは普通のことです。自社の利用が明らかに正当で、識別可能で、制限内にあることを確認してください。
- モデルの切り替えに備えましょう。ポリシー、価格、アクセスはすぐに変わりえます。プロンプト、手順、評価セットは持ち運び可能にしておきましょう。
- 自社のモデルは正当に蒸留しましょう。限定的なタスク向けに安価なモデルが必要なら、自社のデータか、使用許諾を得た出力で訓練してください。
- 内部の開示よりも、意思決定の説明を優先しましょう。監査すべきは、自社のキャンペーンについて、なぜその推奨がなされたのかです。
蒸留をめぐる争いは、誰が誰をコピーしてよいのかという問題です。マーケターにとっては、「どのモデルか」がもはや技術的な問題だけでなく、ガバナンスの問題であることを思い出させるものです。
よくある質問
AIの蒸留攻撃とは何ですか？
モデルに大量の問い合わせを行い、多くの場合は不正なアカウントのネットワークを通じてその能力を密かに大規模に抽出し、その出力を使って、元の開発者の許可なく別のモデルを訓練するキャンペーンです。
米国の勧告はどの企業を名指ししましたか？
Help Net Security の報道によると、CISA、NSA、FBI の勧告は DeepSeek、Moonshot AI、Alibaba Group、MiniMax、StepFun、Z.AI を名指ししました。報道には各社からの回答は含まれていませんでした。
モデルの蒸留は常に悪いことですか？
いいえ。蒸留は、大きなモデルからより小さく安価なモデルを訓練するための標準的な手法です。問題は他者のモデルからの無許可の抽出であり、それは同意、安全対策、出自に関する問題を提起します。
出典
- Chinese AI firms are siphoning capabilities from American models, CISA warns — Help Net Security, 9 September 2026
- Strengthening our defenses against distillation attacks — Anthropic, 12 October 2026