Anthropicは、蒸留（ディスティレーション）を通じて攻撃者が同社のClaudeモデルから抽出できる学習データ量を90～99%削減する新しい防御策を導入したと発表した。同社は、モデルの完全性と独自技術を保護するための広範な取り組みの一環としてこの措置を公表した。
蒸留攻撃とは、モデルに繰り返しクエリを送って出力を収集し、そのデータを使って競合システムを訓練する手法である。これにより、他社の研究にただ乗りして対価を支払わずに済む。Anthropicの新しい防御策は、このプロセスをはるかに非効率にすることを目的としている。
攻撃の仕組み
蒸留攻撃では、攻撃者はモデルの基盤コードや重みにアクセスする必要がない。必要なのは、クエリを送信して応答を記録できる能力だけである。数百万のプロンプトをモデルに通すことで、その振る舞いの多くを捉えたデータセットを構築できる。そのデータセットは競合モデルの学習素材となり、開発コストのほんの一部で元のモデルの能力を模倣できる。
AI企業にとって、これはセキュリティ上の問題であると同時にビジネス上の問題でもある。出力は数か月の研究と多大な計算資源の投資を表している。競合他社がその出力を安価に収穫できるなら、フロンティアモデルへの投資意欲は薄れる。Anthropicの防御策は、収穫されたデータを有用性の低いものにしたり、大規模な収集を困難にしたりすることで、この連鎖を断ち切ることを目指している。
Anthropicが変更した点
同社は正確な技術的メカニズムを明らかにしていないが、防御策は蒸留の試みをリアルタイムで検出し妨害するように設計されていると述べた。それは、疑わしいクエリパターンのレート制限、出力へのノイズ付加、追跡可能なように応答へのウォーターマーク埋め込みなどを意味する可能性がある。Anthropicは、その結果として攻撃者が収穫できるデータが90～99%削減されると主張している。
幅があるのは、有効性が攻撃手法によって異なるためである。粗雑で大量のスクレイピング操作はほぼ完全に阻止される可能性がある一方、より慎重で低頻度・低速なアプローチは依然として通過できるかもしれない。Anthropicは、敵対者が適応するにつれてシステムを調整し続けると述べている。
AI企業が蒸留について言及するのは初めてではない。OpenAIとGoogleはどちらも、競合他社が自社モデルの出力を競合システムの訓練に使用していると非難している。しかし、公表された定量化された結果はまれである。Anthropicの数値は、少なくとも同社自身の測定によれば、一連の防御策がどれほどうまく機能するかについて具体的なベンチマークを示している。
モデル窃取は、セキュリティ、知的財産、国家競争力の交差点に位置する。政府は先端AIモデルを戦略的資産として扱い始めている。蒸留を抑制できれば、自社の成果が一夜にしてコピーされることを恐れずに、より大きく高価なモデルへの投資を続ける企業の根拠が強まる。
安全性の側面もある。悪意のある行為者がモデルを蒸留し、安全性のファインチューニングを剥ぎ取れば、監視が困難な非整合バージョンを作り出せる。Anthropicの防御策はそのシナリオに直接対処するものではないが、蒸留を難しくすることで、試みる者のコストを引き上げる。
この発表は、Anthropicが自由に使用・改変できるオープンウェイトモデルとの競争激化に直面する中で行われた。それらのモデルはAPIクエリなしで蒸留できるため、新しい防御策は適用されない。同社のアプローチは、独自のAPIベースモデルが顧客が対価を支払うだけの価値を保ち続け、それらを保護することがエンジニアリングの労力に見合うという賭けである。
Anthropicは、技術論文を公開するか防御ツールをオープンソース化するかについては明言していない。現時点では、90～99%という数値は外部の研究者が簡単に検証できない主張である。同社は、攻撃者の行動についてより多くを学ぶにつれてシステムを更新し続けると述べている。
競合他社は注視している可能性が高い。防御策が持ちこたえれば、商用AI APIの標準機能になるかもしれない。そうでなければ、モデル提供者とデータ収穫者の間のいたちごっこは続き、双方が相手の最新の動きに適応していくことになる。
