Anthropicによると、新たな防御策により、蒸留攻撃によってClaudeから抽出されるデータの量が90〜99%削減されたという。これは同社の2026年9月脅威インテリジェンスレポートによるものだ。レポートは、Claudeの能力を抽出しようとする違法な試みをAnthropicがどのように追跡、帰属特定、阻止してきたかを詳述しており、主な焦点は推論、コーディング、ツール利用に置かれている。

この文脈での蒸留とは、競合他社がより高性能なモデルの応答を大量に収集し、そのトランスクリプトを自社システムの学習データとして利用する手法のことだ。このように捉えると、争点となる資産はモデルそのものではなく、その応答の記録であり、それゆえAnthropicの対策は、モデルが出力する内容の制御と、抽出者にとっての出力の価値を下げることに集中している。

約2億件のやり取り、そして非常に大規模なキャンペーン

Anthropicは最新レポートで、5つの別々のキャンペーンにわたる約200万件の蒸留関連のやり取りを特定したと述べた。5つの中で最大のものが際立っている。AnthropicはこれをアリババのQwenに結び付け、2026年5月から7月の間に1億5,100万件を超えるやり取りが行われたとしている。

Anthropicがこの問題を公にしたのは今回が初めてではない。2026年2月、同社は1,600万件を超えるやり取りを伴う初期のキャンペーンを開示し、約24,000の不正アカウントが使用されていたと説明した。2月の開示がキャンペーン自体に数字与えたのに対し、9月のレポートはさらに一歩進んで、測定可能な成果——実際にどれほど少ないデータしか流出していないか——を示している。

防御策の実際の仕組み

Anthropicは、単一の特効薬ではなく、多層的なアプローチを説明している。ある層にはアカウント禁止があり、別の層にはメタデータ分析と行動分類器がある。さらにその上で、同社は組織的帰属手法を用い、活動を背後のグループに結び付けている。

防御策のいくつかはプロダクトのアップデートとともに導入された。Fable 5アップデートは強化された抽出分類器をもたらした。これは体系的な収集と思われる利用パターンを検出するように設計されている。また、Claudeに要約機能も導入された。要約機能は、抽出された素材の有用性を制限する。モデルから出てくるのが、段階的な推論の完全な痕跡ではなく要約版であれば、トランスクリプトは学習素材としての価値が大幅に下がる。

さらにFable 5.1では、Anthropicが「preserved thinking」と呼ぶ機能が追加された。これは新しいAPIアカウントが暗号化された推論コンテキストを編集することを防ぐ。推論の痕跡は蒸留者が入手できる最も価値ある素材の一つであり、新しいアカウントが暗号化された推論コンテキストを改ざんできなければ、モデルを操作してその推論を暴露・再形成する一つの経路が遮断される。

これらの施策を総合すると、二つの前面で機能している。体系的な収集を気付かれにくく実行することを難しくすることと、収集されたとしてもトランスクリプトの学習価値を下げることだ。

Anthropicだけの戦いではない

OpenAIも同じ問題に取り組んでいる。同社は2026年9月に独自のレポートを発表し、暗号化推論リプレイと呼ばれる手法を含む、同様の蒸留の試みを阻止するための技術を概説した。競合する二つの研究所が同じ月に同じ問題に関する脅威レポートを発表したことは、蒸留対策が内部のセキュリティ問題にとどまらず、業界全体の関心事として公の領域に移ったことを物語っている。

このすべてには安全性の論点も組み込まれている。違法な蒸留は、元のモデルに組み込まれた安全策が蒸留されたコピーに引き継がれるかどうかという疑問を投げかける。研究所は危険な要求を拒否するようモデルを訓練する膨大な労力を費やすことができるが、抽出された出力で訓練されたコピーはその安全策を引き継がない可能性がある。

Anthropicは、この種の活動と正当な研究利用の間に一線を引いている。この区別が重要なのは、蒸留という手法自体は本質的に問題だからではない。は、不正なアカウントを通じて、プロバイダーの規約に反して大規模に行うことにある。

Anthropic自身、違法な蒸留の試みは続いており、防御策の進化が必要であることを認めている。この留保により、見出しの数字は結論ではなくベンチマークとなる。同社は90〜99%の削減を、続く競争の現在の状況として提示しており、レポートの帰属特定の数字は、その取り組みがどう推移するかを判断する基準となる。