Anthropic、Claudeの「蒸留攻撃」対策を強化

Anthropicは2026年10月12日、Claudeの能力を無断で別のAIに移す「蒸留攻撃」への対策と、その成果を発表しました。同社によると、対策によって攻撃者が収集するデータ量は約90〜99％減少したといいます。

「蒸留」は、高性能なAIの回答を教材にして、別のAIを学習させる技術です。大きなモデルの能力を小さなモデルに移すなど、正当な開発でも使われています。

今回の問題は、開発元の許可なく大量のデータを集め、能力を複製する行為です。不正なアカウントを多数使い、利用制限を避けながら収集するケースもあります。

狙われるのは最終的な答えだけではありません。問題を解く途中の「推論の記録」も、別のAIに解き方を学ばせる教材になるため、収集の対象になります。

Anthropicは9月の報告でも、複数の中国系AI研究機関による蒸留攻撃を検出したと説明していました。今回の発表は、それらに対する防御を強化した経過を示すものです。

対策の一つが「preserved thinking」です。Claudeが推論する前の会話や指示を後から書き換え、保護された推論の記録を引き出す手口を防ぎます。

Claude Fable 5.1とClaude Opus 5.5では、2026年8月31日以降に作成されたAPIアカウントが対象です。APIは、開発者が自分のアプリやサービスからClaudeを呼び出すための仕組みです。

この変更によって、一部の開発者はClaudeとの接続部分を更新する必要があります。一般ユーザーが購入して追加する機能ではなく、提供側が組み込む保護策です。

さらにAnthropicは、蒸留目的の要求を検出する二段階の判定システムと、繰り返し抽出を試みるアカウントへの利用制限・停止を組み合わせています。

成果の指標は、Anthropicの自社基盤上で攻撃者に取得された、Claudeの推論データ量です。同社によると、判定システム導入後は従来の10分の1〜100分の1に減りました。

これは「全攻撃の99％を防いだ」という意味ではありません。また、第三者による独立した検証結果ではなく、Anthropic自身の観測に基づく報告です。

防御には副作用もあります。同社によると、正常な要求を誤って判定・遮断する割合は0.1％未満ですが、ゼロではありません。

また、9月24日からは、蒸留対策など誤判定率が0.1％未満の特定分野で、回答前に遮断された要求への課金を再開しています。開発者にとっては、応答が得られない場合にも料金が発生し得る変更です。

Anthropicは、今回の効果がどれほど続くかは分からないとしています。高度で粘り強い回避攻撃に対する検証も残っており、今後も新しい手口に合わせて防御を更新する方針です。