公開：2026年10月3日, 最終更新：2026年10月3日
モデル蒸留攻撃（Model Distillation Attack）とは、攻撃者が高性能なAIモデルのAPIに大量のクエリを送信し、その出力を収集して自社の小型モデルを不正に訓練・強化する手法だ。モデル抽出攻撃（Model Extraction Attack）の一種に位置づけられ、AI企業にとって知的財産を直接狙う新種の脅威として注目が高まっている。
概要
もともと「知識蒸留（Knowledge Distillation）」は、Geoffrey Hintonらが2015年の論文「Distilling the Knowledge in a Neural Network」で定式化した、大規模モデルの知識を小型モデルへ合法的に移転するための技術だ。しかし、この仕組みを悪用し、第三者のAPIを無断で大量利用して能力を抽出する行為が「モデル蒸留攻撃」と呼ばれる。NIST（アメリカ国立標準技術研究所）は2026年7月27日公開の初期パブリックドラフト「NIST SP 800-239（AI Data Center Security Analysis: A High-Performance Computing (HPC) Driven Approach）」において、AIインプットプロンプトを悪用するセキュリティ脅威のひとつとして本攻撃を明示的に定義している。
仕組み・ポイント
攻撃の流れは大きく三段階に整理できる。
1. 検知回避のためのインフラ構築：攻撃者は自動化されたアカウント作成や住宅用プロキシプールを活用し、大量の不正アカウント（ハイドラクラスターなど）を運用してAPIのアクセス制限をかわす。
2. 組織的なクエリ送信：数学・法律・詩など広範なドメインにまたがる多様かつ構造化されたプロンプトを大量送信し、詳細な思考プロセス（Chain-of-Thought）を含む応答を生成させる。
3. 生徒モデルへの蒸留：収集した入出力ペアや推論データを教師データとして、自社の小型モデルにファインチューニングや蒸留を施す。
不正検知（Abuse Detection）のシグナルとしては、以下のパターンが挙げられる。
- プロンプトの異常な多様性：短期間に極めて広いドメインへのクエリが集中する。
- 構造の繰り返し：詳細な推論を強制する類似構造 of プロンプトが大量に観察される。
- 複数アカウントの協調行動：IPアドレス・リクエストのメタデータ・決済手段などのインジケーターで異なるアカウント間の関連性が認められる。
- アカウントの急速な入れ替え：規制回避のためにアカウントを使い捨てる挙動。
通常のソフトウェア脆弱性を突く攻撃と異なり、APIは正常に動作したままであるため、振る舞いベースの分析が検知の核心となる。防御策としては、電子透かし（Watermarking）によって蒸留後のモデルから不正利用を事後的に証明する技術や、レート制限・KYC（本人確認）といったAPIセキュリティ施策が組み合わせて用いられる。
なぜ今注目されているのか
2026年に入り、主要なAIプロバイダーが相次いで具体的な被害を公表したことで、業界の認識が一変した。Anthropicは2026年2月23日、公式ブログ「Detecting and preventing distillation attacks」にて、中国のAIラボ（DeepSeek、Moonshot AI、MiniMax）が約2万4,000の不正アカウントを使い、Claudeとの1,600万件以上のやり取りを通じて能力を不正抽出したと発表した。OpenAIも2026年9月30日、公式発表「Disrupting a coordinated model-distillation campaign」において、保護された推論プロセス（protected reasoning）を組織的に抽出する「敵対的蒸留（adversarial distillation）」キャンペーンを検知・阻止したと公表している。米国政府やAI企業はこれらの攻撃を知的財産の侵害であり、国家安全保障上の脅威としても問題視しており、米中AI競争における新たな摩擦点となっている。
日本企業への示唆
自社でAIモデルを開発・提供している日本企業はもちろん、海外の大規模APIをプロダクトや社内システムに組み込んでいる企業も、利用規約上の義務としてこうした不正利用の監視・防止に関与する立場に置かれる可能性がある。一方、自社が開発したファインチューニング済みモデルや独自データセットが攻撃対象になるリスクも念頭に置き、APIのアクセスログ分析やアカウント挙動の監視体制を整えることが求められる。電子透かし技術やKYCを含むAPIセキュリティの設計は、モデル開発の早期段階から組み込むべき検討事項といえる。
※ 本ページはAI News JAPAN編集部が最新の動向を踏まえて解説したものです。内容は随時見直します。
