ライバル3社が情報共有で結束 — Frontier Model Forum が中国の AI 盗用対策の司令塔になった

競合3社が一つの脅威に向き合う

2026年4月6日、OpenAI・Anthropic・Google の3社が Adversarial Distillation（敵対的蒸留）攻撃への対抗策として情報共有を開始したと Bloomberg が報じた。

通常、この3社は AGI 覇権を争う競合だ。しかし中国系開発者による API 悪用の問題は、競合関係を一時的に棚上げにするほどの共通脅威として認識されている。

情報共有のプラットフォームは Frontier Model Forum。OpenAI・Anthropic・Google・Microsoft が 2023年に設立した業界団体だ。これまで AI 安全基準の策定に使われてきた組織が、今回初めてサイバーセキュリティ的な脅威インテリジェンス共有の場として機能し始めた。

Adversarial Distillation の手口

Adversarial Distillation（敵対的蒸留）とは何か。

モデルのソースコードや学習データを盗むのではない。ターゲットモデルに大量のプロンプトを送り、その出力を使って自社モデルを学習させる手法だ。モデルの「振る舞い」を模倣させることで、フルスクラッチでの開発コストを大幅に削減できる。

Stanford の Alpaca（2023年）がその実現可能性を示した。ChatGPT の出力 5万件を使って LLaMA をファインチューニングし、GPT-3.5 に近い性能を数百ドルで再現した実験だ。これが大規模・組織的に行われているのが現在の状況だ。

段階	内容
1. 大量クエリ	ターゲット API に自動生成プロンプトを数百万件送信
2. 出力収集	レスポンスをデータセットとして保存
3. 蒸留学習	収集データで自社モデルを SFT（Supervised Fine-Tuning）
4. 配布・収益化	安価なモデルとして提供、または API 無償公開

問題は「盗用」だけではない。学習の過程で元モデルの安全性ガードレールが取り除かれるケースが多い。Anthropic は Claude の蒸留版に「Claude のセーフガードが消えた状態のモデル」が作られていると指摘している。

3社それぞれの被害と対応

OpenAI の告発

2026年2月、OpenAI は米議会向けメモで DeepSeek を名指しした。DeepSeek の従業員がサードパーティのルーターを経由して API にアクセスし、出所を隠すために経路を難読化していたと主張。「米国フロンティアラボの成果にただ乗りしようとする継続的な試み」と断定している。

Anthropic の対応

Anthropic は DeepSeek・Moonshot・MiniMax の3社を具体的に名指しし、これらの企業が数千の偽アカウントを使って何百万件もの Claude との会話を生成していたと発表した。その後、中国系企業のアクセスを全面禁止した。

Google の立場

Google は現時点で具体的な被害企業名を公表していない。ただし Frontier Model Forum を通じた情報共有には積極的に参加しており、Gemini API でも同様の攻撃パターンを検知していると報じられている。

3社が取る対抗策

手段	内容
トラフィック異常検知	ボット的アクセスパターン（高頻度・組織的・アカウント横断）の検出
アカウント停止・IP バン	不審な行動を示すアカウントの即時停止と IP レンジのブロック
レート制限の動的調整	特定パターンへの出力速度・量の制限
出力フォーマットの変更	蒸留に使いにくい形式へのレスポンス変換
利用規約の強化	モデル蒸留をセキュリティ違反として明示
アクセス全面禁止	Anthropic は中国系企業を API から締め出し

この対策の構造はサイバーセキュリティ業界の 脅威インテリジェンス共有（ISAC）モデル に近い。金融 ISAC（FS-ISAC）や電力 ISAC（E-ISAC）が攻撃情報を業界横断で共有するように、AI ラボも競合を超えた防衛協調に動き始めた。

競合企業が協調できる理由

競合他社と情報共有するのは、ビジネス上のリスクもある。それでも3社が協調できるのは、脅威が対称的だからだ。

DeepSeek は3社全員をターゲットにしている。OpenAI だけが対策しても DeepSeek が Anthropic から蒸留できれば意味がない。防衛の有効性は「最も弱いリンク」に依存する。この構造が、通常なら共有しない脅威情報の共有を合理的にする。

観点	協調の理由
攻撃の対称性	同じ組織が全社を標的にする
連鎖リスク	1社の防衛が破れれば他社のモデルも脅かされる
規制上のプレッシャー	米政府・議会が「業界の自主的対応」を期待
法的根拠の共有	利用規約違反の事例を蓄積、法的対応の準備

日本への示唆

日本企業のAPI利用方針の再考

日本企業が Claude・ChatGPT・Gemini の API を使ってアプリケーションを構築している場合、知らずに蒸留攻撃の踏み台になっているケースがある。

Anthropic は「中国系企業によるアクセス」を全面禁止したが、日本法人を経由して取得した API キーが悪用されるケースも想定される。API キーの管理とアクセスログの監視は、コンプライアンスだけでなくセキュリティの文脈でも重要性が増している。

DeepSeek を使う日本企業のリスク

日本のスタートアップや研究機関の中には、コスト効率の良い DeepSeek を利用しているところがある。OpenAI が主張する通り、DeepSeek の能力の一部が米国モデルの蒸留で得られたものであれば、その成果物の利用に法的グレーゾーンが生じる。

米国の輸出規制が AI モデルの「知的財産」にまで拡張された場合、DeepSeek 利用が規制対象になるリスクは否定できない。

観点	影響
API コスト	高品質な米国製モデルは規制強化で価格上昇の可能性
DeepSeek 利用	法的グレーゾーンが明確化するリスク
自社モデル API	日本企業の API も同様の蒸留攻撃対象になりうる
規制準拠	米国法の域外適用が日本企業にも影響する可能性

エンジニアリング視点

LLM Observability（可観測性）の議論は、これまで主にハルシネーション検出やトークンコスト可視化に集中していた。しかし今回の事案は「自社 API の出力が盗用されていないか」という監視の重要性を示している。

高頻度・プログラマティックなアクセスパターンの検知、アカウント単位の利用統計の監視は、今後の API プロダクト設計で標準的な考慮事項になる。

まとめ

OpenAI・Anthropic・Google が Frontier Model Forum を通じて Adversarial Distillation 対策の情報共有を開始（2026年4月6日）
DeepSeek・Moonshot・MiniMax が具体的な行為者として名指しされた
攻撃手法は API への大量クエリ→出力収集→蒸留学習という3ステップ。ソースコード盗用ではなく「振る舞いの模倣」
Anthropic は中国系企業のアクセスを全面禁止、OpenAI は議会に正式な報告書を提出
競合が協調できる背景には「防衛は最弱リンクで決まる」という対称的脅威の構造がある
日本企業にとっては DeepSeek 利用の法的グレーゾーンと、自社 API のアクセス監視強化の2つが喫緊の論点だ