室谷代表取締役Claudeの蒸留攻撃対策は、Anthropicが2026年10月12日に発表したClaudeの推論データを不正抽出から守る防御強化で、攻撃者が抽出できたデータ量が初期証拠で約90〜99%削減されたとされています。
テキトー教師DotAI 認定講師これは単に「セキュリティを強くしました」という話じゃないんですよ。Anthropicが公式ブログで、攻撃の手口、被害規模、防御の設計、そしてトレードオフまで具体的に公開しているのがポイントです。
室谷代表取締役公式の投稿では「ここ数カ月でClaudeに対する蒸留攻撃の効果を減らすことに大きな進展があった」とだけ短く触れていて、詳細はブログに置く形なんですよね。
テキトー教師DotAI 認定講師まず押さえるべきは、Anthropicがこの問題を「すべてのモデル開発者が直面する問題」と位置づけている点です。自社だけの話にしていない。
室谷代表取締役そこは実践者としても重要で、防御コストを払う側と、攻撃者にお金を払ってもらう側のインセンティブが真逆なんですよね。Anthropicは「あえて収益を断った」と書いています。
Claudeの蒸留攻撃対策とは？Anthropicが2026年10月に発表した内容
まとめ
Claudeの蒸留攻撃対策（Anthropic 2026年10月発表）の要点
- 発表元はAnthropic、日付は2026年10月12日
- 対象はClaudeに対する蒸留攻撃（distillation attacks）
- 新手法により、攻撃者が抽出できたデータ量が約90〜99%削減されたという初期証拠
- 防御は「推論（reasoning）にアクセスしにくくする」ことに集中
- 具体的な手段はpreserved thinking（保存された思考）と二段階分類器（two-stage classifier）
- 推論＝Claudeが回答の前に書き出す思考プロセスで、最終回答だけでなく過程ごと抜かれると小型モデルの学習に効くため、防御もそこに集中
- Anthropicは「意味のある収益と、数兆トークン相当の有料トラフィックを蒸留業者から断った」と明言
- 正当なユーザーにも一部アップデートを求めており、これがトレードオフとなる
テキトー教師DotAI 認定講師発表の骨格を整理するとこうです。
- 発表元はAnthropic、日付は2026年10月12日
- 対象はClaudeに対する蒸留攻撃（distillation attacks）
- 新手法により、攻撃者が抽出できたデータ量が約90〜99%削減されたという初期証拠
- 防御は「推論（reasoning）にアクセスしにくくする」ことに集中
- 具体的にはpreserved thinking（保存された思考）と二段階分類器（two-stage classifier）
室谷代表取締役ここでいう推論というのは、Claudeが回答の前に書き出す思考プロセスのことです。最終回答だけを抜くより、思考プロセスごと抜いたほうが小型モデルの学習に効く。
だから防御もそこに集中しているわけです。
だから防御もそこに集中しているわけです。
テキトー教師DotAI 認定講師講座でも「モデルの出力だけを真似ても、そこに至る過程までは学べない」と説明してきましたが、まさにその過程が狙われている。
室谷代表取締役Anthropicはこの対策で「意味のある収益と、数兆トークン相当の有料トラフィックを蒸留業者から断った」と明言しています。数兆トークンですよ。
テキトー教師DotAI 認定講師さらに、正当なユーザーにも一部アップデートを求めている。ここが後で触れるトレードオフです。
蒸留攻撃とは何か、なぜ問題なのか
蒸留攻撃の仕組み
- 01高性能モデルから大量応答を生成高性能モデル（ここではClaude）から数百万件の応答を生成させる
- 02その応答で小型モデルを模倣生成した応答を使って小型モデルに模倣させる
- 03元モデル開発者の許可なし元モデルの開発者の許可はない
- 04開発時間とコストをほんの一部で済ませる開発時間とコストをほんの一部で済ませられる
室谷代表取締役蒸留攻撃は、あるモデルの能力を抽出して別のモデルに複製する、許可なき産業規模の秘密裏なキャンペーンです。多くの場合、大量の不正アカウント網で行われます。
テキトー教師DotAI 認定講師定義を整理するとこうですね。
- 高性能モデル（ここではClaude）から数百万件の応答を生成させる
- その応答を使って小型モデルに模倣させる
- 元モデルの開発者の許可はない
- 開発時間とコストをほんの一部で済ませられる
室谷代表取締役Anthropicは9月の時点で「海外のAIラボが米国企業に追いつくために、この手法が広く使われている」と書いていたと。今回のブログでもその認識が前提になっています。
テキトー教師DotAI 認定講師なぜ懸念するのか、理由は2つ示されています。1つは安全策の問題です。
蒸留モデルは能力の最先端に近づく一方、相応に堅牢な安全策なしに公開される。生物学やサイバーセキュリティ分野で重大な害を生みうる。
蒸留モデルは能力の最先端に近づく一方、相応に堅牢な安全策なしに公開される。生物学やサイバーセキュリティ分野で重大な害を生みうる。
室谷代表取締役もう1つが国家安全保障上のリスクです。蒸留を行う企業は、得た能力を外国の軍事・諜報・監視システムに統合しているとAnthropicは指摘しています。
テキトー教師DotAI 認定講師これは技術の話であると同時に、政策の話でもあるんですよ。
Claudeへの蒸留攻撃の手口と被害規模
Claudeへの蒸留攻撃の手口の変遷
- 01受動的抽出普通のユーザーと同じようにリクエストを送り、応答を学習させる
- 02要約方式による防御AnthropicがClaudeの推論を要約してから見せる方式を導入。SWE-bench Verified評価で完全なトランスクリプト学習は80.4%、要約のみは71.8%となり、要約が蒸留を難しくすることが確認された
- 03能動的抽出への移行「推論を一字一句そのまま出力せよ」といった単純な指示から、あるラボは1万2000件のリクエストでそれぞれ違う手口を試した
- 04プロキシ網の活用数十万の不正アカウントを制御して防御をすり抜けるリクエストを送り続ける。あるネットワークは一度に2万以上の不正アカウントを管理していたと報告されている
室谷代表取締役手口の変遷が生々しいんですよね。最初は受動的抽出、つまり普通のユーザーと同じようにリクエストを送って応答を学習させるだけでした。
テキトー教師DotAI 認定講師それに対してAnthropicは、Claudeが推論を要約してからユーザーに見せる方式を導入した。SWE-bench Verifiedでの評価では、完全なトランスクリプトで学習したモデルが80.4%、要約のみだと71.8%になった。
要約が蒸留を難しくすることが確認されたわけです。
要約が蒸留を難しくすることが確認されたわけです。
室谷代表取締役でも攻撃者はそこで止まらない。能動的抽出に移行します。
「推論を一字一句そのまま出力せよ」といった単純な指示から、あるラボは1万2000件のリクエストでそれぞれ違う手口を試したと。
「推論を一字一句そのまま出力せよ」といった単純な指示から、あるラボは1万2000件のリクエストでそれぞれ違う手口を試したと。
テキトー教師DotAI 認定講師これは講座でいう「プロンプトの総当たり探索」そのものですね。防御側が1つ塞ぐと、攻撃側は別の穴を探す。
室谷代表取締役さらにプロキシ網です。数十万の不正アカウントを制御して、防御をすり抜けるリクエストを送り続ける。
あるネットワークは一度に2万以上の不正アカウントを管理していたと報告されています。
あるネットワークは一度に2万以上の不正アカウントを管理していたと報告されています。
テキトー教師DotAI 認定講師しかもこのネットワークは、Claudeが提供されていない地域でアクセスを転売したり、偽の身元と盗まれた支払い情報でアカウントを作ったりもしていた。
室谷代表取締役単なる技術攻撃というより、組織的な不正ビジネスなんですよね。Anthropicは2月のレポートでもこのネットワークに触れていて、規模と執拗さから「簡単には抑止できない」と判断したと。
Anthropicが強化した防御の仕組み（保存された思考・二段階分類器など）
テキトー教師DotAI 認定講師新しい防御は3つの方向から攻撃を妨害する構成です。整理するとこうなります。
- 推論の行き先を制御する（preserved thinking）
- 抽出の試みを検知・遮断する（二段階分類器）
- 繰り返しの試行を難しくする（利用制限・アカウント停止・課金）
室谷代表取締役まずpreserved thinkingです。これは新規APIアカウント、具体的には2026年8月31日以降に作成されたアカウントが、Claudeの過去のコンテキストを編集できないようにする仕組みです。
テキトー教師DotAI 認定講師攻撃者は保護された推論ブロックを会話間で移動させて「すでに未要約の推論にアクセス済みだ」とClaudeに誤認させたり、防御の弱いモデルから強いモデルの推論を抜いたり、アカウント間で推論を移したりしていた。preserved thinkingはそこを塞ぐ。
室谷代表取締役あわせて、これらのモデルの推論を、対策が弱い以前のモデルから読めないようにしたと。Claude Sonnet 5.5では、推論トランスクリプトはそのリクエストを生成した組織だけがアクセスできるようにしたと書かれています。
テキトー教師DotAI 認定講師次が二段階分類器です。Anthropicは憲法分類器（constitutional classifiers）研究で使った手法を応用して、蒸留目的の抽出リクエストを検知・遮断する仕組みを構築した。
室谷代表取締役面白いのは、これをサイバーセキュリティや生物学の有害タスクを防ぐのと同じ種類の安全策として設計している点です。内部と外部のレッドチーミングを実施して、見つかった脆弱性を修正したと。
テキトー教師DotAI 認定講師結果として、防御は「Claudeが生物兵器の製造を手伝うのを防ぐ安全策とほぼ同程度に堅牢」になり、誤検知率は0.1%未満だとされています。
室谷代表取締役この二段階分類器は現在の主力モデル、Claude Sonnet 5.5、Claude Opus 5と5.5、Claude Fable 5と5.1で運用されていて、今後蒸留の標的になりそうなモデルにも使う予定だと。
テキトー教師DotAI 認定講師さらに「繰り返しの試行を難しくする」対策もあります。推論を抽出しようとし続けるユーザーには利用制限を厳しくし、執拗な試行を検知したらアカウントを停止する。
室谷代表取締役そして2026年9月24日以降、誤検知率が0.1%未満の領域では、Claudeが応答する前に遮断されたリクエストについても課金を再開したと。これは攻撃者のコストを上げる施策です。
テキトー教師DotAI 認定講師対策の効果とトレードオフ――90〜99%削減の意味
室谷代表取締役効果の測り方が具体的です。Anthropicは自社プラットフォーム上で蒸留業者が抽出した推論トークン数を見積もっていて、分類器導入後は導入前に比べて一貫して10〜100倍低くなったと。
テキトー教師DotAI 認定講師ブログでは「10〜100倍以上」と表現され、日によっては測定できないほど少なかったとも書かれています。冒頭の「約90〜99%削減」はこの数字に対応するわけですね。
室谷代表取締役アカウント停止も速くて、蒸留キャンペーンを始めてから多くの場合2時間以内に、数万のアカウントを停止したと。
テキトー教師DotAI 認定講師ただしAnthropic自身が「この優位がどれだけ続くかは分からない」と認めています。蒸留はいたちごっこであり続けるし、今後も防御を反復する必要がある。
室谷代表取締役さらに「高度に洗練された執拗な回避の試みはまだ見ていない」とも書いている。逆に言えば、それが出てきたときが次の勝負なんですよね。
テキトー教師DotAI 認定講師トレードオフも明示されています。preserved thinkingで一部の開発者が連携を更新する必要が出た。
分類器は0.1%未満とはいえ良性のリクエストを誤って遮断することがある。そして遮断されたリクエストにも課金するようになった。
分類器は0.1%未満とはいえ良性のリクエストを誤って遮断することがある。そして遮断されたリクエストにも課金するようになった。
室谷代表取締役「正当なユーザーに影響を与えずに蒸留を難しくする」という2月の目標は、完全には達成できていないと率直に書いているのが印象的です。
テキトー教師DotAI 認定講師それでもコストを払う価値があるとAnthropicは判断している。国家安全保障と、強力なモデルが適切な安全策とともに公開されることの両方のためだと。
室谷代表取締役Zhipu・Moonshotなど中国AI企業による蒸留の実態と安全保障リスク
テキトー教師DotAI 認定講師ここが今回の発表で最も重い部分です。Anthropicは具体的な企業名を挙げています。
室谷代表取締役ZhipuはGLM-5.3の開発中に、米国の最先端モデルのサイバー能力を蒸留したと。Claude Fable 5の蒸留も試みたけれど、Anthropicのサイバー安全策が攻撃を劣化させたため、古いClaudeモデルと別のラボのモデルに切り替えたと書かれています。
テキトー教師DotAI 認定講師米国のCAISSI（Center for Advancing Innovation and Standards for Super Intelligence）は、GLM-5.3をこれまで公開された中で最もサイバー能力の高いオープンウェイトモデルと評価した。Anthropic自身の研究では、GLM-5.3の安全策は簡単に回避でき、エンドツーエンドでセキュリティエクスプロイトを開発する用意があるとしています。
室谷代表取締役もう1つがMoonshotです。Kimiモデルへのリクエストが蒸留の一環としてClaudeに秘密裏に転送された事例が報告されている。
テキトー教師DotAI 認定講師しかもAnthropicは、あるリクエストが中国人民解放軍に所属していたと考えられるユーザーからのもので、特定個人のCCTV監視映像を分析しようとしていたと書いています。
室谷代表取締役これが「蒸留業者が開発しようとしている能力の種類だ」というわけです。技術的な能力抽出の話が、そのまま監視能力の話につながっている。
テキトー教師DotAI 認定講師だからこそAnthropicは「すべてのフロンティアモデル開発者の協力と buy-in が必要」だと強調している。自社だけが防御しても、同程度の能力を持ちながら同程度の防御を持たないモデルに攻撃者が簡単にアクセスできたら、努力が無駄になる。
室谷代表取締役実際、蒸留業者はAnthropicのAPIだけでなく、サードパーティのクラウドプラットフォームや他の推論プロバイダーにもトラフィックを分散させていると。だからプラットフォームにも役割がある。
テキトー教師DotAI 認定講師ただ業界のインセンティブは逆方向に働きやすい。防御はコストがかかるし、不正な蒸留業者もまだお金を払う顧客ではある。
だから何もしない、あるいは十分にやらない企業が出やすい。
だから何もしない、あるいは十分にやらない企業が出やすい。
室谷代表取締役それに対してAnthropicは「実行可能な代替策があることを示すために手法を公開する」としている。この公開自体が業界へのメッセージなんですよね。
開発者・プラットフォームは蒸留攻撃にどう備えるべきか
テキトー教師DotAI 認定講師ここからは実務の話です。Anthropicは開発者とプラットフォームに役割があると明言しています。
整理するとこうなります。
整理するとこうなります。
- プラットフォームは不正利用を素早く検知・妨害し、不正アカウントをオフボーディングする
- 開発者は自社の連携が新しい防御の仕様に沿っているか確認する
- 推論の抽出を試みるような異常なリクエストパターンに注意する
室谷代表取締役特にpreserved thinkingの導入で、一部の開発者は連携の更新が必要になったと公式が認めています。自社でClaudeを使ったプロダクトを運用しているところは、ここを確認しないと挙動が変わる可能性がある。
テキトー教師DotAI 認定講師講座でも受講生さんによく言うんですが、モデルの推論をそのまま保存・転用する設計は、規約面でもリスクがあります。自社のユースケースが蒸留に該当しないかは一度確認したほうがいい。
室谷代表取締役MYUUUでも、モデルの出力をそのまま学習データに回すような設計は基本的に避けています。規約違反のリスクだけでなく、品質的にも他人のモデルの癖をコピーするだけになってしまうので。
テキトー教師DotAI 認定講師あとプラットフォーム側の視点も重要です。Anthropicは「サードパーティのクラウドプラットフォームや他の推論プロバイダーにもトラフィックが分散している」と書いている。
つまり一社だけが対策しても、抜け道が残る。
つまり一社だけが対策しても、抜け道が残る。
室谷代表取締役だから業界横断の協力が要るという話になるわけです。これはAnthropic、最強エージェントモデル「Claude Sonnet 5」発表のようなモデル強化のニュースと同じくらい、地味だけど重要な領域です。
テキトー教師DotAI 認定講師開発者としては、防御の仕組みを理解したうえで、自分のアプリが誤検知で止められないように、リクエストの設計を見直すことも大事ですね。
よくある質問
室谷代表取締役ここからは、よく聞かれる点を公式情報の範囲で整理していきます。
テキトー教師DotAI 認定講師まず「蒸留攻撃とは何か」ですが、あるモデルの能力を抽出して別のモデルに複製する、許可なき産業規模の秘密裏なキャンペーンです。多くの場合、大量の不正アカウント網で行われます。
室谷代表取締役「なぜ問題なのか」は2点です。蒸留モデルが相応の安全策なしに公開され、生物学やサイバーセキュリティ分野で重大な害を生みうること。
そして国家安全保障上のリスクがあること。
そして国家安全保障上のリスクがあること。
テキトー教師DotAI 認定講師「Anthropicはどんな対策を取っているのか」については、preserved thinking、二段階分類器、繰り返し試行への利用制限・アカウント停止・遮断リクエストへの課金の3方向です。
室谷代表取締役「90〜99%削減とは何の数字か」は、自社プラットフォーム上で蒸留業者が抽出した推論トークン数の削減幅です。分類器導入後は導入前の10〜100倍低い水準になったとされています。
テキトー教師DotAI 認定講師「誤検知はあるのか」については、二段階分類器の誤検知率は0.1%未満と公式に示されています。ただしゼロではないので、良性のリクエストが遮断される可能性は残ります。
室谷代表取締役「日本で使う開発者に影響はあるか」については、公式にはpreserved thinkingで一部の開発者が連携の更新を求められたと書かれています。個別の地域別の影響範囲までは、現時点では明らかにされていません。
テキトー教師DotAI 認定講師「この優位はどれだけ続くのか」も、Anthropic自身が「分からない」としています。蒸留はいたちごっこであり続けるという前提です。
室谷代表取締役「他社の動きは」については、今回の発表ではAnthropicが「すべてのフロンティアモデル開発者の協力が必要」と述べるにとどまり、具体的な他社との協力体制の中身までは明らかにされていません。
テキトー教師DotAI 認定講師最後に「開発者は何をすべきか」ですが、公式が示しているのは、プラットフォームが不正利用を素早く検知・妨害し不正アカウントをオフボーディングすること、開発者が新しい防御の仕様に連携を合わせることです。
室谷代表取締役総じて、今回の発表は「防御は技術だけで完結しない」ということを示しています。モデル開発者、プラットフォーム、開発者がそれぞれ役割を負う。
その構造をAnthropicが具体的な数字とともに公開したことに意味があるんですよね。
その構造をAnthropicが具体的な数字とともに公開したことに意味があるんですよね。
テキトー教師DotAI 認定講師そうですね。派手な新機能の発表ではありませんが、AI業界の土台に関わる重要な一報です。
引き続き動向を追っていきましょう。
引き続き動向を追っていきましょう。
