AI の競争優位性を分析する記事

ウェブサーバーの本来の役割は、問い合わせに対して内部データの適切な部分を公開することでした。当然ながら、検索エンジンやインターネットアーカイブのクローラーなどからの繰り返しアクセスによって、サーバー内の全データが抽出されてしまう可能性があります。抽出されたデータはすでにウェブ上に公開されているため、営業秘密には該当しません。その保護は、出版者による著作権に委ねられていました。この状況が、インターネットアーカイブやグーグルなどに対する多数の訴訟を生む原因となりました。そのため現在、検索エンジンが収集したコンテンツを表示する際にも「スニペット（抜粋）」のみを提示するようになっています。

AI 企業の知的財産は、そのモデルです。これらの企業は、膨大な資金を投じて技術と人的資源を確保し、「訓練」を行っています。具体的にはデータセンター内の GPU ラックの設置や、画像のラベル付けを行う大規模な作業員、そして初期段階にあるモデルとの「本物の人間による会話」を実現するための人員配置などです。こうした支出が、生成された価値の周りに「堀（モート）」を形成すると考えられています。なぜなら、競合他社が同等のモデルを構築するには同様の巨額の費用が必要となるからです。この堀こそが、収益性の欠如にもかかわらず彼らの驚異的な企業評価を支えている要因です。

以下では、その堀がいかに浅いものなのかについて解説します。**

多くの Web サービスと同様に、LLM の機能はクエリに応答し、内部データ（つまりモデルの一部）を提示することです。したがって、原則として繰り返されるクエリによってモデルが複製され得ます。

これらのモデルは公開されておらず、著作権法による保護も[1]受けていません。また特許化することもできません。唯一の保護手段は営業秘密としての扱いだけです。繰り返しクエリを行うことはおそらく利用規約に違反しますが、これは強力な法的保護にはなりません。AI 企業側が「Web サーバーへのクロール」を違法だと主張するのは困難です。なぜなら、彼ら自身がモデルを作成する際に同様の手法を用いていると主張しており、それがフェアユース（公正利用）に該当すると考えているからです。

実は、繰り返しクエリによる他社モデルの複製は業界では標準的な技術であり、「蒸留 (distillation)」と呼ばれています。例えば、Tim Fernholz の報道によると Elon Musk は xAI が OpenAI モデルをベースに Grok を訓練したと証言 しています：

木曜日にカリフォルニア連邦裁判所での証人尋問において、Elon Musk は xAI が Grok の訓練に OpenAI モデルに対する蒸留技術を用いたかどうかを問われ、それが AI 企業間で一般的な慣行であると主張しました。その意味で「はい」と聞かれた際、彼は「部分的にはそうだ」と答えました。

レベッカ・ベラン氏による報道によると、米国のAIチップ輸出規制を巡る議論の最中、Anthropicは中国のAI企業に対し自社のClaudeから学習データを不正に収集（マイニング）している疑いを抱いています。

Anthropicは、3つの中国のAI企業がClaude AIモデルに対して24,000件以上の偽アカウントを開設し、自社モデルの性能向上を図ったと非難しています。

DeepSeek、Moonshot AI、MiniMax と呼ばれるこれらの研究機関は、"蒸留（ディスティレーション）"と呼ばれる手法を用いて、上記の偽アカウントを通じてClaudeとの間で1,600万件以上の対話を生成したとされています。Anthropicによると、攻撃対象となったのはClaudeが他社と差別化されている「エージェントとしての推論」「ツール利用」「コーディング」といった機能でした。

この蒸留手法が有効に functioning するのは、被害者が自社のサービス利用を事実上無償で提供しているからです。もし同サービスの利用が極めて収益性が高いものであれば、蒸行を行うコストは許容できなくなるはずです。

実務において、知識蒸留は対象モデルの機能の一部を複製するに過ぎません。企業はこの手法を活用し、特にオープンウェイトモデルを用いて、David Berreby氏が Small AI Models Gain Traction Around the World で紹介したような、小型で特化型のモデルを生成しています。

しかし、Anthropic 氏から 中国の AI ラボが Claude のデータを採取している疑い をかけられた中国の蒸留業者たちは、ゼロから作り上げているわけではありません。彼らにはすでにモデルが存在します。彼らが目指しているのは、自社のモデルが欠いている特定の機能の一部を複製することだけです。そのため、モデル全体を抽出する必要はなく、必要な部分だけを抽出すればよいのです。

私が過去 10 年以上にわたり書き続けてきた現代インターネットの特性の一つは、IoT（モノのインターネット） がもたらすセキュリティ上の大惨事です。インターネットに接続された「スマート」デバイスが数億台存在し、そのほとんどが既知の修正されていない脆弱性を抱えているため、無実で追跡不可能な IP アドレスからウェブサイトを攻撃する巨大なボットネットを構築するのは容易です。フリーソフトウェア財団（FSF）の Ian Kelling 氏は、Our small team vs millions of bots で最前線からの報告を行っています。

まず、FSF（フリーソフトウェア財団）の共同開発システムである GNU Savannah が、今年 1 月から約 500 万個の IP アドレスを制御する大規模なボットネットの攻撃を受けました。執筆時点でも攻撃は継続中ですが、現在のボットネットのバージョンについては対策が講じられています。この攻撃の目的は、おそらく LLM（大規模言語モデル）の学習データセットを構築することにあると考えられます。しかし、背後にいるのは誰なのか、あるいは何なのかはまだ分かっていません。

これは AI 企業がボットネットを利用して学習データを収集する事例の一つです。仮にこの 500 万 IP を持つボットネットが知識蒸留（ディストillation）に利用された場合を想定してみましょう。MiniMax の「1300 万件以上のやり取り」というデータは、IP アドレスあたり平均して 3 回未満のやり取りに相当します。

AI プラットフォームが競争優位性（モート）を維持するためには、以下のいずれかの対策が必要です。

• 知識蒸留を防ぐ防御策を実装する。
• 価格を引き上げ、蒸襲攻撃が経済的に成立しないようにする。

500 万ノードからなるボットネットに対して防御するのは極めて困難です。各 IP アドレスからのトラフィックだけでは特徴を特定できず、多くのアドレスは一般家庭の回線であり、場合によっては正当な顧客である可能性さえあります。この状況では、AI プラットフォームは蒸襲側との軍拡競争に巻き込まれることになります。Anthropic は 対策を試みています。

私たちは、API トラフィックにおける蒸留攻撃のパターンを特定するために設計された複数の分類器と行動指紋識別システムを構築しました。これには、推論用のトレーニングデータを構築するために使用される「思考の連鎖（chain-of-thought）」の引き出しを検知する機能も含まれています。また、多数のアカウントにわたる連携した活動を検出するためのツールも開発しています。

これらの防御策を一般的なトラフィックに適用するにはコストがかかります。Anthropic は このニュース で認めている通り、「単独でこれを解決できる企業はありません」と述べています。前述の通り、この規模の蒸留攻撃に対処するには、AI 業界全体、クラウドプロバイダー、そして政策決定者による協調した対応が必要です。

もしクローズドモデルにすべて、蒸留側が欲する能力があるとしたら、彼らは数百万もの IP アドレスや数万のアカウントだけでなく、必要な機能を持つすべてのクローズドモデルをまたいで蒸留を広げることになります。

「フロンティア」モデルはすでに技術進化の S 曲線において平坦化された領域にあります。オープンウェイトモデルがクローズドモデルに近づくほど、追いつくために必要な蒸留交換（データやり取り）の回数は少なくて済みます。MiniMax は「1,300 万以上」の交換が必要だったのに対し、DeepSeek はわずか「15 万超」で済みました。Moonshot が最近公開した Kimi K3 もベンチマークではほぼ同等の性能を示しており、これは Claude との間に「340 万回以上の交換」があったことと何らかの関係があるのかもしれません。@jordanschneider は この画像 をツイートしています。

AI セキュリティ研究所は、X（旧 Twitter）で以下の通り投稿しました。

「最先端のサイバーセキュリティ能力におけるオープンウェイトとクローズドウェイトのギャップについて、初めて公開した分析によると、GLM-5.2 と DeepSeek V4-Pro では 4〜7 ヶ月となっています。これは 2025 年の大半で 6〜10 ヶ月だったものが縮小していることを示しています。高度な機能は、以前よりも保護の薄いオープンモデルに早く到達しつつあります。」

詳細については、研究所のブログにある「最先端と比べて、主要なオープンウェイトモデルはサイバーセキュリティ分野でどれほど遅れているのか？」という記事をご覧ください。

重要なのは、Max Weinbach 氏が指摘した通り、クローズドモデルにはない能力をオープンウェイトモデルが持っている点です。

「この数ヶ月間にリリースされた Fable、GPT-5.6、そして最新の Kimi をすべて使用してわかったのは、先月の米政府とのトラブルによるセキュリティ制限が、これらのモデルの真価を著しく阻害しているということです。その結果、トップクラスのモデルは特定の分野で実質的に機能を削ぐことになり、セキュリティ対策が思考や問題解決能力全体に悪影響を及ぼし、期待通りの成果が出ない状況になっています。

面白いのは、この結末を 2〜3 年前に予測できたかもしれない点です。その頃にはすでに、中国製の EV やスマートフォンが欧米製と比べて台頭し始めていたのです。」

彼らはテスラの Model S や iPhone を可能な限り模倣しようと必死に試みました。しかし最終的には、その方向性が分岐し、現在では中国製の EV やスマートフォンが本質的に優れているという状況に至っています（だからこそ、米国内の自動車メーカーをゼロに追いやる恐れがあるため、輸出規制によって彼らの EV が禁止されているのです）。

AI セキュリティ研究所はこの状況を確認しています：

「オープンウェイトモデルの評価では、セキュリティ対策がほとんど機能しませんでした。テストした直近の 2 つのオープンモデルのうち、DeepSeek V4-Pro は限定的なサイバー攻撃タスクに対して拒否反応を示すこともありましたが、拒否されたタスクを数回繰り返して試行するだけで、簡単に回避できてしまいました。

これらの知見は、今日の最先端サイバー能力が、セキュリティ対策なしに広く利用可能になるまでの狭い時間的余裕があることを示しています。

クローズドモデルの防御策でできる最善のことは、ディストillation（知識蒸留）を遅らせて、プラットフォーム側のモデルがわずかに先行した状態を保つことくらいです。しかし、その程度の効果では、莫大なコスト差を正当化するほどではありません。

さらに深刻なのは、価格引き上げも選択肢にならない可能性があることです。企業が抱える巨額の債務を返済するために必要なエンタープライズ顧客の多くを失うことになるため、単に AI の価格破壊危機が起きているからという理由だけではありません。それよりも重要なのは、限られた数の「取引」に対して無料枠が存在することが、不可欠なマーケティングツールとなっている点です。ボットネットの各アドレスはすべてこの無料枠に収まるため、ディストラー（抽出者）側には価格の上昇、あるいは価格そのものの変化が一切反映されません。

AI プラットフォームが価格設定によって抽出を防げず、高価な軍拡競争を通じてわずかに先行し続けることしかできないなら、その参入障壁は極めて浅いものです。これは兆ドル規模の IPO を正当化するどころか、国内にデータセンターを林立させることや、宇宙への進出 を実現する根拠にも到底なり得ません。

脚注

• 「著作権における人間の著作者性は基盤的な要件です。トレーニングセットのコンテンツ選定に人間の関与があるとする議論も成り立ちますが、それは著作権をトレーニングセット自体に適用するだけであり、機械的なプロセスによって生成されるモデルには適用されません。ディストレーション（抽出）がコピーしているのはトレーニングセットではなく、モデルそのものです。

たとえモデルが著作権で保護されていたとしても、それが知識蒸留（ディストillation）に影響を与えるとは限りません。モデルは本質的に統計的な性質を持つため、仮に蒸留者が被害者モデルの全データを抽出することに成功したとしても、その結果は元のモデルとは異なるものになります。したがって、蒸留者は自らの行為が変換的利用（トランスフォーメティブ・ユース）であり、許容されるべきだと主張できる可能性があります。