詳細を読む
ドイツのチュービンゲン大学やマックス・プランク研究所などの研究チームが、OpenAI、Anthropic、Googleの最先端モデルが外部に隠している推論過程を取り出す手法を公表しました。APIで返される暗号化された推論を、同じ系列の小型モデルに投げ込むだけで、内部の思考が復元できるといいます。研究チームは3社に事前通知しており、各社はすでにAPIを修正しました。
攻撃が成立する理由は、各社が同じ復号鍵を共有する大小のモデルを併売している点にあります。小型モデルはアライメント訓練が浅いため、大型版なら拒否するはずの「内部の思考を見せて」という要求に応じてしまうのです。チューリッヒ工科大学のフロリアン・トラメル氏は、同じ鍵を持ちながら整合性の弱い変種に差し替える発想は非常に巧妙だと評しています。
研究チームが90問を各モデルに与えて比較したところ、Moonshot AIのオープンウェイトモデル「Kimi K3」が、Claude Opus 4.8とGPT 5.6 Solの隠れた推論と酷似した出力を返す場面が目立ちました。一方、DeepSeekや米Thinking MachinesのInklingでは、同様の類似は確認されていません。ただし論文は蒸留を因果的に立証するものではないと明記しており、断定は避けています。
同じ手口は、利用者の端末から取得した推論に埋め込まれたAPIキーやパスワードの復元にも使えました。この個人情報漏洩の経路は各社の修正で塞がれた一方、推論そのものは今も一部を取り出せると研究者のアレクサンダー・パンフィロフ氏は指摘します。完全に封じるにはAPIの設計を根本から作り直す必要があるといいます。
蒸留をめぐる論争は米中の主導権争いと直結しています。OpenAIは2月にDeepSeekが自社モデルを模倣したと米議会に伝え、Anthropicも6月にアリババがQwen開発で組織的に蒸留したと訴えました。他方でMetaのマーク・ザッカーバーグ氏は蒸留をオープンソース経済圏の重要な原則だと擁護し、規制は米国の不利になると警告しています。
政策シンクタンクCSETのカイル・ミラー氏は、蒸留を禁じても競争環境は大きく変わらないと冷静な見方を示します。中国勢はゼロから最先端モデルを開発する技術力を備えており、蒸留の寄与度は不透明だからです。囲い込みを強めるほど進歩の速度が鈍る懸念もあり、企業と政策当局は難しい均衡を迫られます。