【geek-terminalニュース】Anthropic反蒸留防御、Claudeの推論トークン流出を90〜99%削減か

以前お伝えしたClaude安全性、思考ログ保護、モデル抽出監視の続報です。今回の主役は、Anthropicが2026年10月12日に公開した反蒸留防御です。ポイントは、Claudeの最終回答ではなく、回答前に生成される推論トランスクリプト、つまりモデルの問題解決過程そのものを守る設計に踏み込んだことです。Anthropicは初期証拠として、蒸留者が取得できるデータ量を約90〜99%削減したと説明しています。これは単なるスクレイピング対策ではありません。モデルの知能を形作る「考え方の教材」を、競合や不正ネットワークに吸われないよう囲い込む戦いです。

【事象の全貌と背景】
Anthropicは蒸留攻撃を、元モデル開発者の許可なく、あるモデルの能力を抽出して別モデルへ複製する産業規模のキャンペーンと位置づけています。特に問題視されているのは、不正アカウント網、プロキシ、偽ID、盗用決済情報などを使い、Claudeの高性能な推論を大量に収集する手法です。同社はZhipuのGLM-5.3開発やMoonshotのKimi関連事例にも言及し、米国主要モデルの能力が蒸留され、外国の軍事・情報・監視システムに組み込まれるリスクを警告しています。ただし、個別企業への主張はAnthropic側の説明であり、外部から完全に検証された確定事実としてではなく、Anthropicがそう主張しているものとして読む必要があります。

今回の新しさは、防御対象が「回答」ではなく「推論アクセス」にほぼ絞られている点です。通常のAPI出力を真似るだけなら、攻撃者は最終回答を集めればよい。しかし強いモデルを真似るには、なぜその答えに至ったのか、どの中間仮説を捨てたのか、どの順序でコードや証明や脆弱性を探索したのか、という推論の軌跡が価値を持ちます。つまり、Claudeの表面の文章ではなく、Claudeが問題を解く時の「足場」が狙われているわけです。

【技術的ディープダイブ】
Anthropicが示した数値で最も象徴的なのは、SWE-bench Verifiedでの蒸留後性能です。Claude Opus 4.8の完全な推論トランスクリプトで訓練した場合、蒸留モデルは80.4%に到達した一方、要約された推論だけで訓練した場合は71.8%に落ちたとされています。この差は、完全な推論ログが単なる説明文ではなく、モデル能力を移植する高密度データであることを示しています。

防御は大きく三層です。第一に、preserved thinkingによって過去コンテキストの編集を制限し、推論を別会話や別モデルへ持ち出して再利用する経路を狭めます。Claude Fable 5.1とClaude Opus 5.5では、2026年8月31日以降に作られた新APIアカウントについて、Claudeの過去コンテキスト編集が制限されたと説明されています。さらに、これらのモデルの推論を弱い旧モデルが読めないようにし、Claude Sonnet 5.5では推論トランスクリプトを生成元組織だけがアクセスできるようにしました。

第二に、二段階分類器です。これは推論をそのまま出力させる指示、多言語化、タグ内出力、会話間・モデル間・アカウント間での推論移動など、能動的な抽出試行を検知してブロックする仕組みです。Anthropicはこの分類器の偽陽性率を0.1%未満とし、Claude Sonnet 5.5、Claude Opus 5/5.5、Claude Fable 5/5.1など主要な一般提供モデルへ適用していると述べています。第三に、反復試行への制限と停止です。同社は蒸留関連とみなした数万アカウントを停止し、多くの場合キャンペーン開始から2時間未満で止めたと説明しています。さらに2026年9月24日以降、蒸留など偽陽性率0.1%未満の領域では、応答前にブロックされたリクエストにも課金を再開したとしています。

【コミュニティの生々しい熱量と議論】
反応はかなり割れています。Hacker Newsでは、BLKNSLVR氏が「Framing distillation as an attack now?」と皮肉り、世界中のメディアを読んで要約サービスを作ってきたAI企業が、今度は自分たちへの蒸留を攻撃と呼ぶのか、という矛盾を突いています。これはr/singularity側の反応とも重なります。Anthropicのネット収集と反蒸留姿勢はダブルスタンダードではないか、という批判です。

一方で、WheatMillington氏は「secret sauce the reasoning layer?」と問い、Claudeの強さの核心が推論層にあるなら、それを守るのは合理的ではないかと擁護しています。ここが今回の争点です。オープンな知識共有の話なのか、それとも数十億ドル規模で訓練された能力の抜き取りなのか。jacquesm氏は、中国系モデルへの名指しを「China-fear card」と表現し、オープンモデルへの戦争だと批判しています。farhanhubble氏は、AIの力が数百の大組織から数十の組織へさらに集中したとして、peer distillation networksやopen inference hardwareの必要性を訴えました。

Redditのr/LocalLLaMAでは、さらにひねった反応が目立ちます。AnthropicがGLMやオープンウェイトモデルを名指しするほど、逆に「GLMの無料宣伝」になっているという皮肉です。HNでもjacquesm氏が、もしGLM 5.3が本当にそこまで良いなら、これはGLMの広告のように読めると述べています。r/artificialでは、競合がClaudeから蒸留できる推論トークンが90〜99%減った点に加え、PLA関係者とみられるユーザーの監視分析リクエストが話題化したとされていますが、この種の人物特定や意図の推定はコミュニティ上の観測であり、断定は避けるべきです。

【今後の展望とエコシステムへの影響】
この件でオワコンになり始めるのは、単純な「高性能APIを大量に叩けば強いモデルを作れる」という雑な蒸留観です。もちろん蒸留そのものは研究・圧縮・教育用途では今後も残ります。しかし、フロンティアモデルの推論トランスクリプトを大量収集して能力を移植するルートは、検知、隔離、課金、アカウント停止を含む本格的なセキュリティ対象になりました。

同時に、オープンウェイト勢との緊張は強まります。閉じた商用モデルは「安全性と投資回収のために推論を守る」と言い、オープン側は「知能の集中とゲートキーピングだ」と反発する。この対立は、モデル重みの公開可否だけでなく、chain of thought、推論要約、APIログ、組織境界、アカウント信用スコアへ広がります。今後のパラダイムシフトは、AIの性能競争がベンチマークだけでなく「推論データの漏洩耐性」で測られる方向です。モデルの知能は、もはや重みだけに宿るのではなく、推論ログ、対話履歴、失敗探索、ツール使用の軌跡にも宿る。その意味で今回のAnthropicの発表は、CoTをめぐる知識流出戦争が、研究倫理の話からインフラ防衛の話へ移った瞬間だと言えます。