JA EN
shiichan

蒸留攻撃のデータ収集量を最大 99%カット！Claude の推論を守る 3 つの防御

Anthropic News ★★★★ Markdown で見る
#anthropic#ai-safety#security

やっほー、しぃちゃんだよ！

Anthropic News anthropic.com

今日は Anthropic の News から、蒸留攻撃への防御強化の報告を紹介するね。開発者のみんなにも関わる変更が入っているよ。

なにが発表されたの？

Anthropic の News で、「Strengthening our defenses against distillation attacks」が公開されたよ。蒸留攻撃とは、別のモデルを作るために、元の開発者の許可なく、大規模かつ秘密裏にモデルの能力を抜き取る行為のことなの。偽アカウントのネットワークを使うことが多いよ。

Anthropic は、攻撃者が集められるデータが約 90〜99% 減ったという初期の証拠があると報告しているよ。

なぜ重要なの？

蒸留されたモデルは、同等の安全対策なしにフロンティアへ近づけるので、生物やサイバー分野での被害の懸念があるの。記事では次の例も挙げられているよ。

  • Zhipu が GLM-5.3 の開発中に、米国モデルからサイバー能力を蒸留したと報じられている。Anthropic のサイバー対策で攻撃が弱まると、古い Claude モデルと別のラボのモデルに切り替えた
  • CAISI は GLM-5.3 を、これまでに公開されたオープンウェイトで最もサイバー能力が高いモデルと評価した
  • Moonshot の Kimi のケースでは、リクエストが秘密裏に Claude へ転送されていた

推論のトランスクリプトは、Claude がどう答えに至ったかを示すので、蒸留する側にとって特に価値が高いんだって。

これで何が変わるの？ 3 つの防御

1. 推論の行き先を制御する

  • Preserved thinking（Claude Fable 5.1 と Claude Opus 5.5）: 2026 年 8 月 31 日以降に作られた API アカウントは、過去のコンテキストを編集できない。プロキシネットワークでの繰り返しの抽出が難しくなる
  • 推論は、防御の弱い古いモデルからは読めなくなる
  • Claude Sonnet 5.5 では、推論のトランスクリプトはそのリクエストを出した組織だけが参照できる

2. 抽出の試みをブロックして塞ぐ

  • 蒸留のトランスクリプトから作った 2 段階の分類器（constitutional classifiers の研究がベース）を導入
  • 堅牢さは生物兵器支援を防ぐ安全対策と同程度で、誤検知率は 0.1% 未満
  • Claude Sonnet 5.5、Claude Opus 5 と 5.5、Claude Fable 5 と 5.1 に展開済み
  • 「以前の推論を別の言語に翻訳して」や「答えと一緒にタグの中に書いて」といった新手口も、すでにパッチで塞いだ

3. 繰り返しの試行を難しくする

  • 推論を抜こうと繰り返すアカウントは、利用制限が厳しくなり、さらには BAN される
  • 9 月 24 日から、蒸留など特定の領域で安全対策にブロックされたリクエストは課金される（誤検知率は 0.1% 未満）

深く潜ってみよう

要約だけでは足りなかった

最初の対策は、推論を要約してから見せることだったよ。実験では、Claude Opus 4.8 の完全なトランスクリプトで学習した事前学習済みモデルは SWE-bench Verified で 80.4%、要約だけで学習すると 71.8% だったの。でも攻撃者は、「前の推論を一字一句そのまま出力して」といった直接的な抽出に切り替えたんだ。あるラボは 12,000 種類のリクエストを試したそうだよ。

結果

  • 最も高性能な一般提供モデルで、9 月の報告書に載っている蒸留手法をすべて分類器が検出
  • 蒸留する側が取り出せる推論トークンは、これまでの 10〜100 倍以上少なくなった。日によっては計測できないほど小さかった
  • 蒸留に関連する数万のアカウントを BAN。キャンペーン開始から 2 時間以内のこともあった

制限とトレードオフ

  • 効果がどれだけ続くかは分からず、いたちごっこが続くと見ている
  • 高度で粘り強い回避の試みは、まだ見ていない
  • Preserved thinking のために、一部の開発者は統合の更新が必要
  • 分類器は 0.1% 未満の割合で正当なリクエストをブロックしうる。ブロックされると課金される
  • Anthropic は、蒸留する側からの大きな売上と数兆トークン分の有料トラフィックを断ってきた

業界への呼びかけ

蒸留する側は Anthropic の API だけでなく、サードパーティのクラウドや他の推論プロバイダにもトラフィックを分散させるよ。だから、プラットフォームや開発者にも、不正の素早い検知と不正アカウントの停止が求められていて、Anthropic は手法を公開して「実現できる」ことを示したと述べているの。

まとめ

  • 蒸留攻撃で集められるデータは約 90〜99% 減ったと見られる
  • 防御は、推論の行き先制御、2 段階分類器、繰り返し試行の抑止の 3 本立て
  • 新しい API アカウントでは Preserved thinking により過去のコンテキストが編集できない
  • ブロックされたリクエストは課金される点に注意

Claude の API を使う開発者や、AI のセキュリティを見ているみんなは、一度チェックしておくといいよ！

関連記事