「Kimiの回答」の中身は、実はClaudeだった。Anthropicが密かな転送を報告

ChatGPTやClaudeは無料枠がすぐ上限に来る。中国製のAI「Kimi」なら同じような受け答えを、もっと気兼ねなく試せる——そう思って使い始めた人は少なくないはずだ。だが2026年9月10日、Anthropicはこの前提を崩す報告を公表した。Kimiの回答の一部は、Kimiのモデルではなく自社のClaudeが作ったものだったというのだ。自分が話していた相手は本当にKimiだったのか。なぜそんなことができたのか。Anthropicが公表した報告書の原文から、規模と手口を確認する。

何が起きたと報告されているのか

Anthropicは、Kimiを開発する中国企業Moonshot AIについて報告した。「利用者からのリクエストをKimiで処理する代わりに、密かにClaudeへ転送していた」という内容だ。転送先のClaudeが出した回答はそのまま利用者に表示され、利用者は自分がKimiのモデルと話していると思っていたという。転送の事実が利用者に伝えられていたかどうかは、Anthropic自身も「分からない」としている(Anthropic公式レポート)。

具体的な数字も示されている。ある10日間だけで、Moonshotは約30万件の顧客リクエストをAnthropicへ中継し、その大半はClaudeの上位モデルOpusが処理した。この転送には、シンガポールと日本を拠点とするとみられる5,380件の不正アカウントが使われていたという(同レポート)。

10日で30万件。この数字だけでも十分に大きいが、Anthropicはこれを「ある一つの窓」でしかないとも述べている。なぜそんな大量の転送が、外からは気づかれずに続けられたのか。

なぜ隠したまま転送を続けられたのか

優れた他社のAIモデルの回答をお手本にして、自社の安いモデルを鍛える手法がある。これを「蒸留」と呼ぶ。うまくいけば、開発コストをかけずに自社モデルの性能を引き上げられる。

Claudeは答えを出す前に、頭の中で長い下書きにあたる思考過程を作る。ただしAPIはその下書きをそのまま次のやり取りに渡さない。代わりに、あとで参照するための合言葉のような文字列——Anthropicが「thinking signature」と呼ぶもの——だけを返す仕組みになっている。無断の蒸留を防ぐための安全策だ(同レポート)。

Moonshotはこの合言葉を保存していた。それを使って新しいセッションを立ち上げ、Claudeに「この合言葉が指す下書きをもう一度教えてほしい」と尋ね直す。こうして、本来渡されないはずの思考過程を復元していた、とAnthropicは説明する(同レポート)。

Anthropicはこの手口を「セッションをまたいだ再生」と呼ぶ。Claudeの回答をそのまま利用者に見せながら、裏ではその中身を自社モデルの学習材料として抜き出す仕組みだったという。

つまりMoonshotがやっていたとされるのは、二段構えの仕組みだ。回答をClaudeにすり替える作業と、そのやり取りを学習データとして後から取り出す作業が、セットになっていた。

では、この転送はどれほどの規模で、Kimiだけの問題だったのか。

規模はどれくらいで、Kimiだけの話か

Anthropicによれば、Moonshotに帰属する蒸留攻撃は2026年5月から7月の3カ月間で2,300万件を超えたという。先ほどの「10日で30万件」という一つの窓の数字より、桁が一つ以上大きい(同レポート)。

同じ報告書では、DeepSeekやAlibaba（Qwen）、Zhipu（Z.ai）でも同種の手口が確認されている。ただし対象期間や手口は社ごとに違うため、件数をそのまま長さの比較にはできない。

（出典: いずれもAnthropic公式レポート）

表からは、見出しで大きく扱われがちなMoonshot（Kimi）よりも、Alibabaの規模のほうがひと桁大きいことが分かる。自分はこの数字を見て、見方が変わった。「Kimiだけの特殊な話」ではなく、Claudeの出力を自社モデルの学習に使おうとする動きが、少なくとも4社で同時に起きていたのだと分かったからだ。

では、実際に転送された中身には何が含まれていて、Moonshot側はこの指摘にどう答えているのか。

転送された中身と、Moonshot側の反応

転送の対象になったのは、Kimiの単純な雑談だけではなかった。Anthropicは、氏名・メールアドレス・企業データなど、数百人分の機密情報を含むやり取りが対象になっていた例を挙げている。一つは、東南アジアの拠点ごとに設備投資額を書き込んだ経費予測の相談だった。もう一つは、通知ボットのアクセストークンを貼り付けたトラブルシューティングの相談だった。どちらも、Kimiだけで完結すると思って書いた内容だ(同レポート)。

Anthropicは、こうした転送の多くが、複数のAIモデルをまとめて呼び出せる第三者のルーティングサービス経由だったとも説明している。米国や欧州の利用者がよく使うサービスだといい、Moonshot自身のアプリを使っていない人にも影響が及んでいたことになる。

この報告に対して、Moonshotからの公式な反応は、2026年9月11日時点で確認できていない(TechCrunchの報道)。なお、Moonshotは2026年7月にも別の蒸留疑惑を否定した経緯がある。こちらはホワイトハウスが、Kimi K3の学習手法について指摘したものだ。今回の「利用者の対話をリアルタイムで転送していた」という指摘とは、対象が異なる(Implicator.aiの報道)。2つの疑惑を混同しないようにしたい。

まとめ

Anthropicの報告によれば、Kimiを運営するMoonshotは、2026年5月から7月にかけて一部の利用者の入力をClaudeへ転送していた。Claudeの回答を、そのままKimiの回答として表示していたという。転送された対話には、氏名や企業の機密情報を含むものもあったという。同じ報告書では、DeepSeekやAlibaba、Zhipuでも同種の手口が確認されており、件数だけで見ればMoonshotの規模はそのうちの中位にあたる。

この一連の内容はAnthropic側の調査に基づくもので、独立した第三者による確認ではない。無料や低価格をうたうAIサービスを試すとき、自分の入力がどこで処理されているかは、公表されているサービス名だけでは分からない。今回のケースは、その具体例として覚えておきたい。