Detecting and preventing distillation attacks｜蒸留攻撃の検出と防止

検知と防止：蒸留攻撃 私たちは、DeepSeek、Moonshot、MiniMaxという3つのAI研究所による産業規模のキャンペーンを特定しました。これらは、自社モデルの性能向上のためにClaudeの能力を不正に抽出しようとするものです。これらの研究所は、約24,000の不正なアカウントを通じてClaudeと1,600万回以上の対話を生成し、当社の利用規約および地域アクセス制限に違反しました。 これらの研究所は「蒸留」と呼ばれる技術を使用しました。これは、より強力なモデルの出力を用いて、能力の低いモデルを訓練する手法です。蒸留は広く使用されている正当な訓練方法です。例えば、最先端のAI研究所は、顧客向けに小型で低コストのバージョンを作成するために、自社モデルの蒸留を日常的に行っています。しかし、蒸留は不正な目的にも使用され得ます。競合他社はこれを用いて、他研究所の強力な能力を、独自に開発する場合に比べてほんのわずかな時間とコストで獲得することができます。 これらのキャンペーンは、その規模と巧妙さを増しています。対応できる時間は限られており、脅威は単一の企業や地域を超えています。この問題に対処するには、業界関係者、政策立案者、そして世界のAIコミュニティによる迅速で協調した行動が必要です。 蒸留が重要な理由 不正に蒸留されたモデルには必要な安全対策が欠如しており、重大な国家安全保障上のリスクを生み出します。Anthropicや他の米国企業は、国家および非国家主体がAIを生物兵器の開発や悪意のあるサイバー活動の実行などに利用するのを防ぐシステムを構築しています。不正な蒸留によって構築されたモデルは、それらの安全対策を保持しない可能性が高く、危険な能力が多くの保護策を完全に取り除かれた状態で拡散することを意味します。 米国のモデルを蒸留する外国の研究所は、その後、これらの保護されていない能力を軍事、諜報、監視システムに組み込むことができます。これにより、権威主義的政府が最先端AIを攻撃的サイバー作戦、偽情報キャンペーン、大規模監視に配備することが可能になります。蒸留されたモデルがオープンソース化されれば、これらの能力が単一政府の統制を超えて自由に拡散するため、このリスクは何倍にもなります。 蒸留攻撃と輸出管理 Anthropicは、米国がAIでリードを維持するのを支援するため、一貫して輸出管理を支持してきました。蒸留攻撃は、中国共産党の支配下にあるものを含む外国の研究所が、輸出管理が他の手段を通じて維持するよう設計された競争優位を縮めることを可能にすることで、それらの管理を損ないます。 これらの攻撃の実態が見えなければ、これらの研究所による見かけ上急速な進歩は、輸出管理が無効であり、革新によって回避可能であるという誤った証拠として受け取られてしまいます。現実には、これらの進歩は米国モデルから抽出された能力に大きく依存しており、この抽出を大規模に実行するには高度なチップへのアクセスが必要です。したがって、蒸留攻撃は輸出管理の論拠を強化します。チップアクセスの制限は、直接的なモデル訓練と不正な蒸留の規模の両方を制限するからです。 以下に詳述する3つの蒸留キャンペーンは、類似した手口を用い、不正なアカウントとプロキシサービスを使用して検知を回避しながら大規模にClaudeにアクセスしました。プロンプトの量、構造、焦点は通常の使用パターンとは異なり、正当な使用ではなく意図的な能力抽出を反映していました。 私たちは、IPアドレスの相関関係、リクエストメタデータ、インフラ指標、そして場合によっては自社プラットフォームで同じ行為者と行動を観察した業界パートナーからの裏付けを通じて、各キャンペーンを特定の研究所に高い確信度で帰属させました。各キャンペーンは、Claudeの最も差別化された能力、すなわちエージェント的推論、ツール使用、コーディングを標的としていました。 規模：15万回以上の対話 この作戦が標的としたもの： 多様なタスクにわたる推論能力 Claudeを強化学習のための報酬モデルとして機能させる、ルーブリックに基づく採点タスク 政策的にセンシティブなクエリに対する検閲回避可能な代替案の作成 DeepSeekはアカウント間で同期したトラフィックを生成しました。同一のパターン、共有された支払い方法、調整されたタイミングは、スループット向上、信頼性向上、検知回避のための「負荷分散」を示唆していました。 注目すべき一つの技術として、彼らのプロンプトはClaudeに、完了した応答の背後にある内部推論を想像して明確に説明し、ステップバイステップで書き出すよう求めていました。これは事実上、大規模な連鎖的思考（chain-of-thought）訓練データを生成するものです。また、Claudeが、反体制派、党指導者、権威主義など政治的にセンシティブなクエリに対する検閲回避可能な代替案を生成するタスクも観察されました。これはおそらく、DeepSeek自社のモデルが検閲対象の話題から会話をそらすように訓練するためです。リクエストメタデータを調査することで、これらのアカウントを同研究所の特定の研究者にまで追跡することができました。 規模：340万回以上の対話 この作戦が標的としたもの： エージェント的推論とツール使用 コーディングとデータ分析 コンピューター使用エージェントの開発 コンピュータービジョン Moonshot（Kimiモデル）は、複数のアクセス経路にまたがる数百の不正アカウントを利用しました。多様なアカウントタイプにより、このキャンペーンは協調した作戦として検知されにくくなりました。私たちは、Moonshotの上級スタッフの公開プロフィールと一致するリクエストメタデータを通じて、このキャンペーンを帰属させました。後の段階では、Moonshotはより標的を絞ったアプローチを使用し、Claudeの推論トレースの抽出と再構築を試みました。 規模：1,300万回以上の対話 この作戦が標的としたもの： ツール使用とオーケストレーション 私たちは、リクエストメタデータとインフラ指標を通じてこのキャンペーンをMiniMaxに帰属させ、彼らの公開製品ロードマップに対してタイミングを確認しました。私たちはこのキャンペーンを、MiniMaxが訓練中のモデルをリリースする前、つまりまだ活動中に検知しました。これにより、データ生成からモデル公開に至る蒸留攻撃のライフサイクルを前例のない形で可視化することができました。MiniMaxのキャンペーンが活動中に私たちが新モデルをリリースしたとき、彼らは24時間以内に方向転換し、トラフィックのほぼ半分を私たちの最新システムから能力を獲得するために振り向けました。 蒸留実施者が最先端モデルにアクセスする方法 国家安全保障上の理由から、Anthropicは現在、中国国内、または国外に所在するその企業の子会社に対して、Claudeの商業的アクセスを提供していません。 これを回避するため、研究所は商業用プロキシサービスを利用します。これらのサービスは、Claudeや他の最先端AIモデルへのアクセスを大規模に再販売しています。これらのサービスは、私たちが「ハイドラ・クラスター」アーキテクチャと呼ぶものを運営しています。これは、私たちのAPIおよびサードパーティのクラウドプラットフォーム全体にトラフィックを分散させる、不正アカウントの広大なネットワークです。これらのネットワークの広がりは、単一障害点が存在しないことを意味します。1つのアカウントが禁止されると、新しいアカウントがその場所を取ります。ある事例では、単一のプロキシネットワークが同時に2万以上の不正アカウントを管理し、蒸留トラフィックと無関係な顧客リクエストを混ぜることで検知を困難にしていました。 アクセスが確保されると、研究所はモデルから特定の能力を抽出するように設計された、注意深く作成された大量のプロンプトを生成します。目的は、直接的なモデル訓練のための高品質な応答を収集するか、強化学習を実行するために必要な数万のユニークなタスクを生成することです。蒸留攻撃を通常の使用と区別するのはそのパターンです。以下のようなプロンプト（私たちが繰り返し大規模に使用されているのを目にした類似のプロンプトに近いもの）は、単体では無害に見えるかもしれません： あなたは、統計的厳密さと深い領域知識を組み合わせた専門のデータアナリストです。あなたの目標は、要約や視覚化ではなく、実データに基づき、完全で透明性のある推論によって裏付けられた、データ駆動型の洞察を提供することです。 しかし、そのプロンプトのバリエーションが、数百の協調したアカウントを通じて数万回も到着し、すべてが同じ狭い能力を標的としているとき、そのパターンは明らかになります。少数の領域に集中する膨大な量、高度に反復的な構造、そしてモデルの最も価値のある能力に直接対応する内容。

蒸留攻撃の検出と防止

背景や根拠まで確認しますか？

関連記事

調べる

選ぶ

サイト