アンソロピック（Anthropic）は、自社の対話型AI「クロード（Claude）」の思考過程を盗んで、別のモデルに写す攻撃を抑える方法を発表しました。思考過程とは、答えを出す前にモデルが書き出す途中の考えです。同社はこれを推論の書き起こしと呼びます。同社の初期の計測では、攻撃側が取れた推論データの量は約90〜99%減ったとしています。
この記事は、同社が2026年10月12日に研究ブログに書いたものにもとづきます。数字や説明はすべて同社の発表で、外の人による確かめはありません。
蒸留攻撃とは、許可なく、あるモデルの能力を大量の答えから抜き取り、別のモデルに教えることです。攻撃側は偽のアカウントの網を使い、普通の利用者のように見せます。抜き取りにいちばん役立つのは、最終の答えより、途中の思考の書き起こしだと同社は見ています。
同社は以前、思考を要約してから利用者に見せる対策を入れました。同社の試しでは、上位モデルの全文の書き起こしで教えたモデルは、プログラムの課題集「SWE-bench Verified」で80.4%でした。要約した書き起こしで教えた場合は71.8%でした。ただ、攻撃側は「前の思考を一字一句そのまま出せ」などと頼み、要約をすり抜けようとしました。ある研究所は、すり抜け方を1万2000通り試しています。
同社は、次の三つの層で攻撃を止めようとしています。
新しい分類器を入れたあと、同社の仕組みの上で攻撃側が取れた推論トークン（思考の文章を細かく区切った単位で、量の目安）は、導入前の10分の1から100分の1以下になりました。少なすぎて測れない日もあったとしています。蒸留に関係するアカウントは数万件止め、始めてから2時間以内に止めた例もあります。9月の報告で挙げた抜き取りの手法は、いまいちばん強い一般向けモデルでは、分類器がすべて捉えます。
一方で、正規の利用者にも影響があります。保存された思考のため、開発者は連携の直しが要ることがあります。分類器が誤って止めることもあり、その割合は0.1%未満です。止めた要求への課金も再開しました。攻撃とのいたちごっこは続く見込みで、高度で粘り強いすり抜けはまだ十分には見ていない、と同社は認めています。
| 📢 公表されている説明 | ⚠️ こちらで確認できていないこと |
|---|---|
| 取れたデータは約90〜99%減。推論トークンは10分の1から100分の1以下初期の計測 | ⚠️ 他社のクラウド経由で取られた量（数えたのは自社の仕組みの上だけ） ⚠️ 基準にした日や数え方 ⚠️ 外の人による再計測 |
| 要約した思考で教えると、SWE-bench Verified が80.4%から71.8% | ⚠️ 試しの回数や、使うデータの範囲 |
| 分類器の誤検知は0.1%未満。9月報告の手法はすべて捉える | ⚠️ 評価用の問い合わせの中身と件数 |
| 数万アカウントを停止。2時間以内の例もある | ⚠️ 停止の内訳と、止め漏れの量 |
| 正規利用者に連携直し・誤検知・ブロック課金がある | ⚠️ 影響を受けた正規利用者の人数や割合 |
凡例：📢＝同社が公表している説明 ⚠️＝出典に書かれておらず、こちらで確認できていない点
数字と説明は、すべて同社の研究ブログ（2026年10月12日）による。
APIや社内向けのチャットで、途中の手順まで外に出しうる仕組みを運用している会社に関係します。
たとえば、従業員100〜200人規模の金型メーカーが、取引先向けに加工条件を答えるAIを出しているとします。返すのは「この材料ならこの条件」という答えだけにし、社内の条件表をどう引き、どう決めたかの途中の考えは外に出しません。途中の考えをそのまま出させようとする問い合わせは見つけて止め、繰り返す相手は使える量を絞ります。
アンソロピックは、クロードの思考過程を盗んで別モデルに写す攻撃に対し、行き先の制限・検知と停止・繰り返しの阻止の三層を入れました。同社の初期の計測では、攻撃側が取れた推論データは約90〜99%減ったとしています。数えたのは自社の仕組みの上だけで、正規利用者への影響やいたちごっこが続く見込みも残ります。
