知識蒸留そのものは、機械学習では古典的かつ正当な効率化技術である。問題になっているのは、それを相手の許可なく大規模・不正なアクセスで実行し、商用 frontier model の能力を安価に複製しようとする「蒸留攻撃」のほうだ。この違いを混同すると、技術論と安全保障論の両方を読み違える。
Anthropic や OpenAI が 2026 年に問題化したのは、蒸留という研究手法そのものではなく、利用規約違反のアカウント量産や匿名化経路を通じて、教師モデルの出力・推論痕跡・ツール利用能力を大規模に吸い上げる行為だった。特に米中AI競争の文脈では、これは単なるモデル圧縮ではなく、能力移転・IP 侵害・安全ガードレールの希薄化を伴う経路として扱われている。
正規の蒸留
強い教師モデルの出力から、小さな生徒モデルへ知識を移す標準技術。
蒸留攻撃
無断・大規模・不正アクセスで商用モデルの能力を複製しようとする行為。
標的能力
エージェント推論、ツール使用、コーディング、長文推論など差別化された実務能力。
争点
研究の自由ではなく、能力抽出の規模・手段・権利侵害・安全保障への波及。
1. まず、知識蒸留は何か
知識蒸留（knowledge distillation）は、Hinton らの古典的研究で広く知られるようになった、モデル圧縮と性能移転の手法だ。基本形はシンプルで、まず高性能な教師モデル（teacher）に大量の入力を与え、その出力を使って、より軽量な生徒モデル（student）を訓練する。これにより、生徒は教師の判断傾向や分布のクセを学び、少ない計算資源で相応の性能を再現しやすくなる。
ここで重要なのは、学ぶ対象が最終回答だけではない点である。論文や実務では、ハードラベルだけでなく、より滑らかな出力分布、ソフトターゲット、場合によっては中間表現や推論痕跡まで参考にされる。つまり蒸留は、単なる丸写しではなく「より強いモデルの知識の形」を圧縮して移す発想だ。自社モデル間や公開データで行う限り、これは広く正当な最適化手段である。
2. 何が「蒸留攻撃」になるのか
問題化している distillation attack は、この蒸留を相手の許可なく、利用規約違反の手段で、大規模に実行するケースを指す。Anthropic は 2026 年 2 月、DeepSeek、Moonshot、MiniMax による industrial-scale campaign を公表し、約 2万4,000 件の不正アカウント経由で、Claude との 1,600 万超のやり取りが行われたと説明した。ここで争点なのは「蒸留という学術手法」ではなく、能力抽出のアクセス経路と運用規模である。
OpenAI 側も、中国系アクターが自社モデルを distillation-related purposes に利用しようとする試みを検知したと説明している。したがって、正規の研究用途と攻撃的利用の境界は、主として権限の有無、アクセス方法、回避行為の存在、そして抽出の規模にあると整理できる。
3. 攻撃的利用で見られる典型的な技術要素
公開された企業報告から見える範囲では、蒸留攻撃の中核は、教師モデルへの大量クエリから合成データセットを作ることにある。標的になるのは、単純な QA よりも、エージェント的推論、ツール使用、コーディング、データ分析、長文処理など、商用モデルが差別化しやすい能力だ。得られた応答は、そのまま教師データに使われる場合もあれば、選別・クリーニング・優先度最適化を経て生徒モデルの学習に回される場合もある。
アクセス経路も高度化している。Anthropic は、プロキシや再販サービスを通じた hydra 型の不正アクセス、教育・研究・スタートアップ向け経路の悪用、大量アカウントの同期運用を挙げた。さらに、新モデル公開後に短時間でトラフィック配分を切り替え、最新能力を取り込むような高速ピボットも観測されたという。ここで重要なのは、こうした構造が確認されていても、本稿は実装手順や回避ノウハウを扱わない点である。論点は防御理解と政策整理にある。
4. なぜ完全複製ではなくても問題になるのか
蒸留で教師モデルを完全再現するのは簡単ではない。それでも十分に問題になるのは、実務上価値の高い能力だけを選択的に抽出できるからだ。たとえば frontier model が持つコーディング補助、ツール呼び出し、報告書整理、段階的推論の癖だけでも移転できれば、新興モデルは短期間で「かなり使える」水準へ近づける。しかも元モデルの安全アライメントや利用制御が薄れた形で能力だけが転写される可能性がある。
Reuters が報じた中国軍事研究者による米モデル出力の防衛研究利用は、この問題の先を示す。分類済みの外部モデルをそのまま軍用システムに入れなくても、民生モデルの出力や推論能力を要約・転移し、国内モデル訓練に使うことはできる。つまり蒸留攻撃は、商用競争だけでなく、防衛・諜報・監視用途への能力再配置という安全保障上の懸念にも接続される。
5. 防御側は何をしているのか
公開情報ベースでは、防御は主に四層ある。第一に、レート制限、挙動分析、アカウント相関、行動フィンガープリントなどによる異常検知。第二に、出力がそのまま蒸留しにくくなるような API・製品・モデル側の設計。第三に、利用規約違反の遮断と、他社・クラウド・当局とのインテリジェンス共有。第四に、先端チップやアクセス経路を抑える輸出管理・政策対応である。
ただし、この防御は技術だけで完結しない。蒸留は本来、研究・圧縮・評価において正当な技術でもあるため、全面禁止は現実的でも望ましくもない。焦点になるのは、どこまでが正当な学習で、どこからが不正な能力抽出なのかを、アクセス制御・契約・監査・政策でどう線引きするかだ。
6. 本当の論点は「蒸留の是非」ではなく「能力移転の統治」だ
蒸留は学術的には古く、実務的にも不可欠な技術である。したがって「蒸留=悪」と単純化すると現実を見誤る。一方で、無断・大規模・不正アクセスによる能力抽出は、IP 侵害、利用規約違反、安全ガードレールの消失、そして軍事的再利用へとつながり得る。そのため、2026 年時点で米中AI競争の焦点は、単なる性能比較よりも、どの能力が、どの経路で、誰の手に移るのかという統治の問題へ移っている。
この特集の文脈では、DoorDash の Kimi 採用、DeepSeek の低価格エージェント性能、Kimi K3 の公開戦略、そして蒸留攻撃の論争は、それぞれ別ニュースではない。すべてが、中国モデルが価格・配布・能力移転の三方向から米国の優位を崩しにくる構図の一部である。
要点
- 知識蒸留そのものは、教師モデルから生徒モデルへ知識を移す標準技術
- 蒸留攻撃は、無断・大規模・不正アクセスで商用モデル能力を複製しようとする行為
- Anthropic は DeepSeek・Moonshot・MiniMax による 1,600 万超の抽出を主張した
- 争点は技術の善悪ではなく、能力移転の権利・規模・安全保障上の管理にある