Anthropicは2026年10月、蒸留攻撃への新たな防御策を公表しました。

Anthropicは、自社のClaudeから能力を不正に抜き取る「蒸留攻撃」への対策を強化し、攻撃側が得られる推論データを約90〜99%減らせたとする初期の証拠を公表しました。蒸留とは、あるAIモデルの出力を大量に集め、別のモデルの学習に使って能力を複製する手法を指します。この記事では、The Decoderの報道と、Anthropic自身が公開したDistillation Defensesのページを突き合わせて、何が発表されたのかを整理します。士業事務所が生成AIツールを選ぶ際の判断材料としても読める内容ですので、数字や名指しされた企業の扱いは、Anthropicの主張である点に注意して読み進めてください。

何が発表されたのか

Anthropicの公式ページは2026年10月12日付で、同月17日に更新されています。蒸留攻撃は、元の開発者の許可なく、多くは不正アカウントのネットワークを使って、産業規模で行われる隠密のキャンペーンだと定義されています。同社が挙げる懸念は二つあります。一つは、蒸留でできたモデルが十分な安全対策なしに公開され、生物学やサイバーセキュリティの分野で重大な害に使われ得ること。もう一つは、抜き取った能力が外国の軍事・諜報・監視システムに組み込まれ、国家安全保障上のリスクになることです。

数字については、同社の説明をそのまま紹介します。攻撃側が抽出できた推論トークンは、自社プラットフォーム上で10〜100倍以上減ったとされ、日によっては測定できないほど少なかったと書かれています。蒸留に関連するアカウントは数万件を停止し、多くは開始から2時間以内に対応したとのことです。分類器の誤検知率は0.1%未満と説明されています。なお、効果がどれだけ続くかは不明で、いたちごっこになると同社自身が見込んでいます。

対策は大きく三つに分かれます。第一に、推論の行き先の制御です。新規APIアカウントが過去のコンテキストを編集できないようにする「preserved thinking」を導入し、あるモデルでは推論の記録をリクエストした組織だけが見られるようにしたとされています。第二に、抽出の試みを検出する二段階の分類器の導入です。第三に、繰り返す利用者への利用制限の強化とアカウント停止で、2026年9月24日以降は安全対策でブロックされたリクエストにも課金していると説明されています。

名指しされた企業と、読むときの注意点

公式ページは、中国のZhipuとMoonshotに言及しています。Zhipuについては、GLM-5.3の開発中にClaudeのサイバー能力を蒸留しようとしたとされています。Moonshotについては、同社のKimiへのリクエストが秘密裏にClaudeへ転送されていたケースが報告されています。いずれもAnthropicの主張であり、当事者側の見解は、確認できた範囲では示されていません。要確認の点として、双方の説明が出た段階で改めて比較する必要があります。

また、Anthropicは正当な利用者への影響も認めています。preserved thinkingによって一部の開発者は連携の更新が必要になり、分類器は0.1%未満の割合で無害なリクエストを止めることがあり、ブロックされたリクエストにも課金されるようになりました。著者らは、正当な利用者への影響を最小限にする当初の目標を完全には達成できなかったと書いています。

士業事務所にとっての見方

今回の発表は、AIベンダーとAI開発企業の間の話であり、士業事務所の手続や書式が直ちに変わるものではありません。ただ、生成AIをAPI経由で自社の業務システムに組み込んでいる、あるいは組み込みを検討している事務所にとっては、ベンダー側の仕様変更がありうるという具体例になります。たとえば、推論の扱いが変わることで連携の更新が必要になった開発者がいると公式ページに書かれています。外部の開発会社に委託している事務所では、ベンダーの仕様変更の連絡をどこで受けるかを、契約や運用の中で確認しておくという考え方があります。

また、AIツールの導入では、入力したデータが学習に使われるかどうかが重要な確認事項です。今回のAnthropicのページは蒸留対策を扱ったもので、顧客が入力したデータの学習利用については、公表資料からは確認できません。導入を検討する際は、各ベンダーの公式ポリシーページと契約条件で個別に確認する段階です。

今後の動き

注目点は三つあります。一つ目は、他のAI開発企業が同様の防御策を採用するかどうかです。Anthropicは、すべてのフロンティアモデル開発者に加え、APIプラットフォームやクラウド事業者、推論プロバイダーにも、不正利用の迅速な検知と遮断を呼びかけています。二つ目は、ZhipuやMoonshot側からの反応です。三つ目は、課金や仕様変更が正当な利用者にどの程度影響するかで、同社も防御にはコストがかかり、不正な蒸留者も有料顧客であるため、業界のインセンティブは逆向きに働いていると指摘しています。

現時点では、効果の持続性は未確認です。続報が出るたびに、数字がどう更新されるかを確認していくことになります。

まとめ

Anthropicは2026年10月12日付の公式ページで、蒸留攻撃への新たな防御により、攻撃側が得られる推論データを約90〜99%減らせたとする初期の証拠を示しました。名指しされた企業に関する記述は同社の主張で、効果の持続も不明です。生成AIをAPIで使う士業事務所にとっては、ベンダーの仕様変更や課金条件の変更が起こり得ることを示す事例として、動向を追っておく価値があります。

参考文献

• Anthropic「Distillation Defenses」
• The Decoder「Anthropic says it cut Claude reasoning token theft by up to 99% in fight against industrial-scale distillation」
• The Decoder「Zhipu AI releases GLM-5.3, claims it’s the strongest open-weights coding model」

※士業のチカラでは、生成AIの導入支援から運用最適化まで、貴事務所の業務に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://shigyonochikara.jp/contact/

引用元: The Decoder