OpenAI が明らかにしたこと
2026年9月30日、OpenAI は自社モデルから 「保護された推論」を抽出しようとする組織的なキャンペーン を特定し、阻止したと発表しました。保護された推論とは、モデルがタスクを解く際の内部記録で、最終回答には表示されないものです。他のモデルの出力や推論を無断で使って別のモデルを訓練・改善する行為は 敵対的蒸留(adversarial distillation) と呼ばれます。
典型的な侵入ではない
OpenAI によると、攻撃者は 暗号を破ったり、データベースに侵入したり、ユーザーの会話にアクセスしたりはしていません。モデルとのやり取りを操作し、保護された推論を見える形で大規模に再現させ、利用規約に違反しました。
手口の一例は、ある会話の暗号化された推論をコピーし、別の会話でモデルに復号・書き起こしを依頼する というものです。独立研究者からも複数モデルや会話圧縮に関わる脆弱性の報告があり、OpenAI は実在を確認しました。
経緯と規模
- 7月1日: 低い頻度で活動開始
- 7月24〜25日: 4,000人超のユーザー から抽出パターンを使った 1万6,000件のリクエスト が急増
- さらなる調査で 1万5,000人超 のクラスターに関連を特定し、7月28日 までに完全に阻止
これらは 試行の数 であり、必ずしも抽出に成功したわけではないと OpenAI は強調しています。
攻撃者の特定
すべてが単一の主体かは不明としつつ、OpenAI は 中核部分を Kimi の開発元 Moonshot AI に関係する人物によるもの と判断しています。これは OpenAI の評価であり、本稿執筆時点で Moonshot の公式な反応は確認できていません。
OpenAI の対応
- 不正アカウントの停止・制限、登録とインフラの管理強化
- 他ユーザーの暗号化推論を再利用して中身を復元できる経路を封鎖
- 推論を露出させうるストリーミング出力を検知・保留するチェックを追加
- 活動が経由した外部プロバイダーと連携
- Frontier Model Forum や政府の情報共有チャネルで知見を共有
なぜ重要か
抽出された推論は、元のモデルの 安全対策なしに 別モデルの訓練に使われうると OpenAI は指摘します。Anthropic も Opus 5.5 に蒸留対策「preserved thinking」を搭載しており、業界共通の課題です。
企業にとっての意味
- AI API の利用では、推論や文脈に関する アカウント確認や制限の強化 を想定しておきましょう。
- アカウントやプロバイダー間で推論データを受け渡す連携は動かなくなる可能性があります。
- モデル選定では価格だけでなく 出自と安全対策 も考慮しましょう。
出典
- OpenAI(2026年9月30日):https://openai.com/index/disrupting-a-coordinated-model-distillation-campaign/
- Anthropic、Claude Opus 5.5:https://www.anthropic.com/claude-opus-5-5
AI を安全に、ガバナンスを効かせて使いたいですか?KGA IT は無料相談を受け付けています:kga-it.com