Anthropic、Claudeへの蒸留攻撃に対する防御強化の手法と成果を公表

蒸留攻撃とは、他社モデルの能力を無許可で別のモデルに複製する組織的な行為で、偽アカウントのネットワークが使われることが多い。Anthropicは、蒸留で作られたモデルが十分な安全策なしに公開され、生物やサイバーセキュリティ分野で被害につながりうること、さらに軍事や監視システムに組み込まれる国家安全保障上のリスクがあることを懸念として挙げている。例としてZhipuのGLM-5.3や、Moonshotのkimiモデルへのリクエストが密かにClaudeへ転送されていた事例を挙げている。

蒸留者にとって最も価値が高いのは、Claudeが回答前に書き出す推論過程のトランスクリプトである。初期対策として推論を要約して表示したところ、Claude Opus 4.8のトランスクリプトで学習させたモデルのSWE-bench Verifiedスコアは、完全版で80.4%、要約版で71.8%だった。その後、攻撃者は推論をそのまま出力させる能動的な抽出に移り、ある研究所は12,000件のリクエストを試した。数十万の偽アカウントを制御するプロキシネットワークも使われ、1つのネットワークで20,000以上のアカウントが同時に運用されていた例もある。

新たな防御は3つある。1つ目は推論の流出経路の制御で、Claude Fable 5.1とClaude Opus 5.5ではpreserved thinkingにより、2026年8月31日以降に作成された新規APIアカウントは過去のコンテキストを編集できない。Claude Sonnet 5.5では推論トランスクリプトをリクエスト元の組織のみが参照できる。2つ目は構成的分類器の研究に基づく2段階の分類器で、内外のレッドチーミングで脆弱性を修正した結果、生物兵器支援を防ぐ安全策とほぼ同等の堅牢性と、0.1%未満の誤検知率を達成したという。3つ目は繰り返し試行の抑止で、抽出を試み続けるユーザーには利用制限を厳しくし、執拗な場合はアカウントを停止する。

分類器導入後、蒸留者が抽出できた推論トークン数は導入前より10〜100倍少なくなり、日によっては測定できないほど小さかった。数万のアカウントを停止し、開始から2時間以内のケースも多いという。一方で、効果がいつまで続くかは分からず、高度で執拗な回避の試みはまだ確認されていないとしている。preserved thinkingで一部の開発者は連携の更新が必要となり、誤判定でブロックされた正規リクエストにも課金される。Anthropicは、プラットフォームや他のモデル開発者にも不正アカウントの検知と排除を求め、手法を公開することで現実的な代替策を示すとしている。