先月、中国の新興企業ムーンショットAIは、オープンソースモデル「Kimi K3」を発表した。先月21日、ベッセント米財務長官は、中国の複数のAI研究機関が開発したAIモデルに、米国製AI大規模言語モデルの「ウォーターマーク（電子透かし）」が検出されたと指摘し、中国企業による米AI技術の窃取疑惑を挙げ、米政府が制裁を検討していることを明らかにした。

翌22日には、ホワイトハウス科学顧問のマイケル・クラツィオス氏も、ムーンショットAIが米アンソロピック社の「Fable」モデルの特許技術を不正に利用したと指摘した。

米国務省の元米中二国間関係担当顧問で、米シンクタンク「アメリカン・エンタープライズ研究所」で中国・技術問題を担当するライアン・フェダシュック研究員は、ウェブメディア「War on the Rocks」への寄稿で、中国AIモデルをめぐる問題について、米国内の議論は現在、大きく二派に分裂していると指摘した。

一方は、中国のAIモデルが米国の知的財産を大規模に窃取しており、その拡散は現実の安全保障上のリスクをもたらすとして、米政府は中国製AIモデルの米国内インフラでの使用を制限、あるいは全面的に禁止すべきだと主張する。もう一方は、中国製モデルに依存するソフトウェア技術者らを中心に、中国AIを規制すれば不必要なコストが生じると主張している。

同氏の寄稿は、米政府はこれまでオープンソースソフトウェアを支持する立場を取る一方で、米国の企業秘密を組織的かつ大規模に窃取する行為には罰則を科してきたと指摘する。米政府が真に制裁すべきは、大規模な詐欺行為に及ぶ中国のAI研究機関であって、AI業界全体で広く用いられている「蒸留」という手法そのものではないとの見解を示した。

フェダシュック氏は寄稿の中で、中国共産党による米AI技術窃取を防ぐための4つの方策を米政府に提言している。

蒸留は技術　蒸留攻撃は詐欺

寄稿はまず、米国の政策の方向性を論じる前提として、「蒸留」とは何か、蒸留が中国のAI研究機関の発展においてどのような役割を果たしてきたか、そして蒸留がいかにして詐欺や権利侵害に悪用されてきたかを理解する必要があると指摘する。

第一に、蒸留とは、より高性能な「教師」モデルの出力を用いて、より小規模な「生徒」言語モデルに継承させて学習させる手法であり、一部の米フロンティア研究機関が自社モデルを蒸留する例も含め、あらゆるAI研究機関が用いる業界標準の技術である。蒸留を技術的に全面禁止することは極めて困難である。

正規の顧客を含め、モデルの出力にアクセスできる者であれば誰でも、その出力を訓練データとして再構成できるためだ。仮に蒸留を完全に阻止できたとしても、蒸留不可能なモデルを生み出す米国のAIエコシステムは、他のすべてのAI開発者の利益を犠牲にし、わずか2、3のフロンティア研究機関を人為的に保護する結果を招くことになる。

第二に、中国当局が近年遂げたモデル性能の向上は、蒸留だけによるものではない。蒸留は、中国の研究機関が推論行動を導く一助となっているに過ぎない。ワシントンの政策は、米フロンティア研究機関を標的とした蒸留攻撃を依然として阻止しようとしているが、これは中共によるAI開発を減速させるにとどまり、完全に阻止することはできない点に留意すべきだと指摘する。

第三に、中国のAI研究機関が行っているのは単なる蒸留ではなく、米国の企業秘密窃取を目的とした組織的かつ大規模な詐欺行為である。両者の違いは、蒸留が正当なモデル訓練技術であるのに対し、蒸留攻撃は欺瞞的手段によって競合他社の製品を取得し、これを複製する行為である点にある。

利用規約違反は通常、民事上の紛争にとどまるが、虚偽の身分の使用、迂回のために専用に構築されたインフラ、安全管理の組織的な回避など、詐欺的手段によって未承認のアクセス権を取得・維持する行為は、米連邦法である「コンピュータ詐欺および濫用防止法」および電信詐欺関連法に抵触する。

今年2月時点で、アンソロピック社は、自社モデルとムーンショット社との間で340万件を超える取引を追跡しており、これらの取引は数百に及ぶ偽装アカウントを経由し、検知回避のために専用に構築された内部プラットフォームを通じて行われていたという。

同年6月、アンソロピック社は米上院銀行委員会に対し、アリババ傘下の研究機関「通義千問（Qwen）」が、これまでに確認された中で「最大規模の蒸留攻撃」を同社に対して仕掛けたと証言した。

国家安全保障への重大な脅威

寄稿は、技術的蒸留と攻撃的蒸留を区別するだけでは不十分であり、蒸留について法的にも厳密な定性が必要だと指摘する。米国法上、モデルの出力そのものは人間による創作性を要件とする著作権の保護対象とはならないため、単純に知的財産の窃取と位置付けることはできず、営業秘密法によって定性する方がより適切だとしている。

その理由として、フロンティアモデルへの専有的アクセスは完全に公開されたものではなく、本人確認、対価の支払い、利用速度の制限を要し、かつ利用規約による制約を受けている点が挙げられる。

さらに、問題となっている営業秘密は、クロードやチャットGPTが個々の問い合わせに対して返す応答そのものではなく、数百万件に及ぶ対話全体に符号化された基盤モデルの挙動そのものであり、こうした挙動は組織的かつ大規模な抽出によってのみ把握し得るものだと寄稿は述べる。

寄稿はまた、アンソロピック社は海賊版書籍を訓練データに用いたとして裁判所から15億ドルの和解金支払いを命じられた一方、ムーンショット社はアンソロピック社の営業秘密を大規模に窃取・複製しながら一切の対価を支払っていないと指摘し、この著しい非対称性こそ、米政府が重点的に是正すべき課題の一つだと論じている。

中国のAI研究機関が及ぼす脅威は、重大な詐欺行為にとどまらず、米国の国家安全保障そのものを深刻に脅かしていると寄稿は続ける。米企業が数十億ドルを投じて築いた計算資源と研究開発の成果を、中共は窃取した上で無償公開し、その後、著しい低価格で米企業を圧迫し、米AI産業の存立基盤を狭めている。

これはさらに、サプライチェーンをめぐるリスクや、利用者のトラフィックが中共の管理下にあるサーバーを経由することによる情報収集のリスクなど、他の国家安全保障上の懸念にもつながる。

現在、米国のソフトウェア技術者らが、中共の国家安全当局の監督下にある中国製モデルを用いて基盤ソフトウェアを書いているのが実情だという。

寄稿は、米国が数百億ドル規模の資金を投じて研究開発に取り組む一方、中共は大規模な詐欺、収奪、国家補助によって世界市場でのシェア拡大を図っており、これは自由市場論者が唱えるような自由で開かれた競争とは到底言えず、中共が国家の総力を挙げて後発の優位を得ようとする「ただ乗り」行為にほかならないと断じる。

中共は過去、鉄鋼、太陽光発電、造船といった複数の分野で同様の手法を用いてきており、いま再びAI分野で同じ手口を繰り返している。米国はこれをこれ以上容認してはならないと寄稿は主張する。

中共による蒸留攻撃を防ぐ4つの方策

寄稿は、トランプ政権が、正当なAI蒸留と、米国の専有技術窃取を目的とした蒸留攻撃とを区別する上で有用な、4つの提言を示している。

第一に、米国のAI基準・イノベーションセンター、あるいはこれに類する独立監督機関が、正常な蒸留行為と欺瞞的な蒸留攻撃とを区別する基準を策定し、いかなる行為が国家安全保障上のリスクに該当するかを明確化すべきである。

第二に、蒸留攻撃を行ったと認定された研究機関に対しては、商務省の「エンティティ・リスト」への追加、「国際緊急経済権限法」に基づく制裁、あるいは米国クラウド基盤上での展開制限といった措置を講じ、中共傘下の研究機関が米国のクラウド基盤、米国資本、西側企業顧客にアクセスする経路を断つべきである。

寄稿は、制裁や処罰によって中共による模倣や剽窃を完全に根絶することはできないものの、その代償を高め、規模を抑制する効果は期待できると述べる。

また商務省は、既存の迂回輸出仲介業者をエンティティ・リストに加える手法を参考に、蒸留の仲介業者についてもリストへの追加を検討することで、窃取の速度を鈍らせ、コストを引き上げ、剽窃の経路を狭めることができるとしている。

第三に、中共によるオープンソースモデルがもたらす国家安全保障上のリスクに対応するため、米政府はプラットフォームに対し、基盤モデルの出所およびユーザーデータの処理場所の開示を義務付けるべきである。

これは、AIサプライチェーンに事実上の「原材料表示」を求めることに等しく、米企業が自らの利用するプラットフォームの内容とそれに伴うリスクを把握できるようにするものである。

こうした情報開示が行われれば、米企業が顧客に知られぬまま中国製モデル上で専有コードを実行していた場合であっても、情報の透明性によって容易に是正できるようになり、企業顧客、保険会社、連邦調達機関の利益保護につながる。

また、政府機関や国防関連請負業者が意図せず中国製モデルを使用してしまう事態の防止にも資するとしている。

最後に、米政府とフロンティア研究機関は、メタ、エヌビディア、リフレクションAIといった米国発のオープンソースAIに対し、政策面・資金面での支援を行い、米国製AIが無償で、寛容なライセンスの下で、微調整が容易かつ低コストで維持できるものとなるよう後押しすべきである。

これにより、米AI製品を中共による窃取から守り、国家安全保障を確保すると同時に、健全な競争を促すことができるとしている。

米企業もまた責任を免れない

寄稿は、技術窃取を防ぐ第一義的な責任を、政府だけに委ねることはできず、最終的には米企業自身にもその責任があると指摘する。これまで中共による窃取が成功してきた背景には、モデルのアプリケーション・プログラミング・インターフェース（API）に依然として脆弱性が存在することがある。

例えば、アンソロピック社の中で最も利用制限の厳しいモデルが、一般公開前にディスコード（Discord）上の愛好者らによってアクセスされ、その間、数百に及ぶ偽装アカウントを通じて数百万件のクエリが実行された事例があったという。

米企業が、自社の研究開発の成果を政府に戦略的資産として扱ってもらいたいのであれば、企業自らも戦略的資産にふさわしい形でそれを保護する必要がある。

顧客の本人確認や不審な挙動の検知といった手段を通じて、中共による産業規模の技術窃取のコストを引き上げるべきだと寄稿は述べる。

寄稿はまた、政府による制裁は詐欺防止の最後の砦であって、第一の防波堤ではないとし、米AI研究機関は「蒸留攻撃」という言葉を、オープンなAIエコシステム全体を攻撃するためのレトリックとして用いるべきではないと釘を刺している。

寄稿は最後に、米政府が訴訟のみによって中共による米AIシステムの剽窃を止めることは不可能であり、政策、立法、資金支援、そして法執行にかける意志を通じて初めて、真に自由で開かれた知能経済市場を全面的に支えることができると結論付けている。