Anthropicが公表した、Kimi運営元による転送と蒸留の手口

ChatGPTやClaudeは無料枠がすぐ上限に来る。中国製のAI「Kimi」なら同じような受け答えを、もっと気兼ねなく試せる——そう思って使い始めた人は少なくないはずだ。2026年9月10日、Anthropicは、Kimiの回答の一部を自社のClaudeが作っていたとする報告を公表した。報告書には、転送の規模に加えて、Claudeの思考過程を取り出す具体的な手口まで書かれている。報告書の原文から、その仕組みと広がりを見ていく。

Anthropicが報告した密かな転送

Anthropicは、Kimiを開発する中国企業Moonshot AIについて報告した。「利用者からのリクエストをKimiで処理する代わりに、密かにClaudeへ転送していた」という内容だ。転送先のClaudeが出した回答はそのまま利用者に表示され、利用者は自分がKimiのモデルと話していると思っていたという。転送の事実が利用者に伝えられていたかどうかは、Anthropic自身も「分からない」としている(Anthropic公式レポート)。

具体的な数字も示されている。ある10日間だけで、Moonshotは約30万件の顧客リクエストをAnthropicへ中継し、その大半はClaudeの上位モデルOpusが処理した。この転送には、シンガポールと日本を拠点とするとみられる5,380件の不正アカウントが使われていたという(同レポート)。

10日で30万件。この数字だけでも十分に大きいが、Anthropicはこれを「ある一つの窓」にあたるとも述べている。なぜそんな大量の転送が、外からは気づかれずに続けられたのか。

合言葉を保存して思考過程を復元した

優れた他社のAIモデルの回答をお手本にして、自社の安いモデルを鍛える手法がある。これを「蒸留」と呼ぶ。うまくいけば、開発コストをかけずに自社モデルの性能を引き上げられる。

Claudeは答えを出す前に、頭の中で長い下書きにあたる思考過程を作る。ただしAPIはその下書きをそのまま次のやり取りに渡さない。代わりに、あとで参照するための合言葉のような文字列——Anthropicが「thinking signature」と呼ぶもの——だけを返す仕組みになっている。無断の蒸留を防ぐための安全策だ(同レポート)。

Moonshotはこの合言葉を保存していた。それを使って新しいセッションを立ち上げ、Claudeに「この合言葉が指す下書きをもう一度教えてほしい」と尋ね直す。こうして、本来渡されないはずの思考過程を復元していた、とAnthropicは説明する(同レポート)。

Anthropicはこの手口を「セッションをまたいだ再生」と呼ぶ。Claudeの回答をそのまま利用者に見せながら、裏ではその中身を自社モデルの学習材料として抜き出す仕組みだったという。

つまりMoonshotがやっていたとされるのは、二段構えの仕組みだ。回答をClaudeにすり替える作業と、そのやり取りを学習データとして後から取り出す作業が、セットになっていた。

では、この転送はどれほどの規模で、Kimiだけの問題だったのか。

同種の蒸留は4社で確認された

Anthropicによれば、Moonshotに帰属する蒸留攻撃は2026年5月から7月の3カ月間で2,300万件を超えたという。先ほどの「10日で30万件」という一つの窓の数字より、桁が一つ以上大きい(同レポート)。

同じ報告書では、DeepSeekやAlibaba（Qwen）、Zhipu（Z.ai）でも同種の手口が確認されている。ただし対象期間や手口は社ごとに違うため、件数をそのまま長さの比較にはできない。

（出典: いずれもAnthropic公式レポート）

表からは、見出しで大きく扱われがちなMoonshot（Kimi）よりも、Alibabaの規模のほうがひと桁大きいことが分かる。自分はこの数字を見て、見方が変わった。「Kimiだけの特殊な話」ではなく、Claudeの出力を自社モデルの学習に使おうとする動きが、少なくとも4社で同時に起きていたのだと分かったからだ。

では、実際に転送された中身には何が含まれていて、Moonshot側はこの指摘にどう答えているのか。

転送には機密を含む対話もあった

転送の対象になったのは、Kimiの単純な雑談だけではなかった。Anthropicは、氏名・メールアドレス・企業データなど、数百人分の機密情報を含むやり取りが対象になっていた例を挙げている。一つは、東南アジアの拠点ごとに設備投資額を書き込んだ経費予測の相談だった。もう一つは、通知ボットのアクセストークンを貼り付けたトラブルシューティングの相談だった。どちらも、Kimiだけで完結すると思って書いた内容だ(同レポート)。

Anthropicは、こうした転送の多くが、複数のAIモデルをまとめて呼び出せる第三者のルーティングサービス経由だったとも説明している。米国や欧州の利用者がよく使うサービスだといい、Moonshot自身のアプリを使っていない人にも影響が及んでいたことになる。

この報告に対して、Moonshotからの公式な反応は、2026年9月11日時点で確認できていない(TechCrunchの報道)。なお、Moonshotは2026年7月にも別の蒸留疑惑を否定した経緯がある。こちらはホワイトハウスが、Kimi K3の学習手法について指摘したものだ。今回の「利用者の対話をリアルタイムで転送していた」という指摘とは、対象が異なる(Implicator.aiの報道)。2つの疑惑を混同しないようにしたい。

まとめ

• Anthropicの報告によれば、Kimiを運営するMoonshotは、2026年5月から7月にかけて一部の利用者の入力をClaudeへ転送し、Claudeの回答をそのままKimiの回答として表示していた。転送された対話には、氏名や企業の機密情報を含むものもあった。
• 手口の中心は、APIが返すthinking signatureを保存し、別のセッションでClaudeに思考過程を再生させて学習材料に取り出す「セッションをまたいだ再生」だった。
• 同じ報告書では、DeepSeek、Alibaba、Zhipuでも同種の手口が確認された。件数ではAlibabaが最も大きく、Claudeの出力を自社モデルの学習に使う動きが4社で同時に起きていたことが分かる。