「中国国産AI」の箱を開けたら、Claudeが入っていた件について

中国が管理している国内の倉庫を開けたら、実は米国の倉庫だった、ということなのだろうか。2026年9月10日、Anthropicは脅威インテリジェンス報告書を公表し、中国の複数のAIラボがClaudeの能力を無断で利用していたと主張した。

AI業界では、高性能な他社モデルに大量の質問を投げ、その回答を自社モデルの訓練に使う「蒸留」が以前から問題になっているので、その意味では、今回も米中AI競争の一幕に見えるのだが、この報告書を読むと、話はそこで終わらない。一部の中国製AIサービスが、利用者から受け取った実際の入力をClaudeへ送り、返ってきた答えを自社サービスの回答として返していたというのである。これが事実なら、問題の核心は「性能を盗んだ」ことではない。利用者が預けた情報の行き先が、本人の知らないところで反対方向へ向かっていたことだ。

蒸留より重い「中継」の問題

まず基本。モデルを学習させるための蒸留と、実際の利用者の入力を外部モデルへ中継することは、似ているようでまったく別の問題である。Anthropicによれば、AlibabaのQwen、Moonshot AIのKimi、DeepSeek、Xiaomi、ZhipuなどがClaudeへ大規模にアクセスし、その出力を自社モデルの能力向上に利用していた。

Alibaba関連だけでも、2026年5月から7月に約1億5100万回のやり取りがあったとされる。偽アカウントやプロキシを使い、中国からの直接利用を制限する仕組みを迂回したというのがAnthropic側の説明だ。これが事実なら利用規約や競争上の公正さをめぐる問題にはなるが、基本的にはAI企業同士の争いである。

ところが、KimiとDeepSeekについて報告されたもう一つの行為は、その枠をはみ出している。Anthropicは、両サービスが一部の顧客リクエストを自社モデルで処理せずClaudeへ送り、その回答を自社のものとして利用者へ返していたとする。

Moonshotでは、ある10日間だけで約30万件、5月から7月の期間全体では約2300万件、DeepSeekでは7月の14日間で約1210万件に達したという。利用者から見れば、中国企業が提供するAIに質問をしている。しかし裏側では、その質問が利用者の選んでいない米国企業のモデルへ渡っていたことになる。

Anthropicは、MoonshotやDeepSeekがこの仕組みを顧客に開示していたかどうかは確認できないとしているので、現時点では「秘密裏に転送していた」とまで断定するのは早いが、開示されていなかった場合の意味は重い。AIへの入力が単なる検索語ではないからである。企業が生成AIを業務に組み込めば、そこにはソースコード、社内文書、顧客情報、ログ、認証情報などが流れ込む。行政や軍、安全保障関連の組織が使えば、監視情報や捜査情報まで入り得る。つまり、どのモデルが答えを生成するかは単なる製品仕様ではなく、それは「誰に情報を預けているか」というデータガバナンスそのものなのである。

「中国国産だから安全」が逆転する

今回の報告で最も皮肉なのは、中国側が国産AIを必要としてきた理由そのものが、外部モデルへの中継によって崩れたことだ。AIの国産化には、外国技術への依存を減らすという産業政策上の意味がある。同時に、安全保障上は、機微情報を外国企業の管理下へ置かないという意味も持つ。だから政府機関や重要インフラ企業が「国内企業のAIだから使える」と判断することには、一定の合理性がある。

ところが、その国産AIの裏側でClaudeが動いていたとすれば、構図は反転する。米国企業のAIへ機密情報を直接入力することを避けるために国産AIを選び、その国産AIを通じて結局米国企業へ情報が送られる。入口だけを国内化し、出口は国外につながっていたことになる。外国製モデルから能力を取り込もうとした結果、自分たちのデータまで相手側へ運んでしまう。今回の報告が妙に寓話的なのは、このねじれにある。

実際、Anthropicが示した事例には、そのねじれが最も危険な形で現れている。同社によれば、Kimiの利用者の一人で、Anthropicが人民解放軍との関係がある可能性が高いと評価した人物が、成都にある数百台の監視カメラ映像を分析させようとしていた。特定人物の行動に異常がないかを判定するためで、映像には人民解放軍関連施設、中国電子科技集団系の研究所、大型国有企業周辺のカメラが含まれていたという。ほかにも、エンジニアが社内コードや有効な認証情報を入力した例や、DeepSeek経由のリクエストに公安向けシステム、ロシア国防関連データベースの認証情報が含まれていた例が報告されている。

重要なのは、こうした情報が「大量に」流れたかどうかではない。重要なのは、機密管理は、一件でも本来届くべきでない相手に届けば事故は成立するという点だ。100万件中の1件だから軽い、という種類の問題ではない。むしろ、利用者が転送先を知らない仕組みでは、どの入力が危険なのかを利用者自身が判断できないことの深刻さである。企業秘密も個人情報も監視データも、入力する時点では「この会社に預ける」と判断している。その判断の前提が、裏側で勝手に差し替えられていたかもしれないのである。

能力だけを抜けば、安全装置は残らない

もう一つ見落とせないのが、蒸留そのものが持つ安全上の非対称性である。高性能モデルの回答を大量に集めれば、その能力の一部を別のモデルへ移すことはできる。しかし、元のモデルが備えていた安全対策まで一緒に移るわけではない。Claudeが特定のサイバー攻撃や兵器関連の要求を拒否するよう調整されていても、その回答を教材にした別モデルが同じ判断基準を持つとは限らない。能力をコピーすることと、能力を制御する仕組みをコピーすることは別物だからだ。

この点、蒸留と利用者データの中継は別々の事件ではあるが、同じ問題の表裏でもある。一方では米国製モデルの能力をできるだけ取り込みたい。他方では、そのモデルを直接使っていることは利用者に見せたくない。さらに、能力を自社モデルへ移せば元のサービスが設けていた安全上の制約から離れることもできる。そうしてモデル間の境界を曖昧にしていくほど、「誰のモデルを使っているのか」「誰のルールが適用されるのか」「入力はどこへ行くのか」が利用者から見えなくなる。

これはAI市場の評価方法にも影響する。「安くて高性能な国産モデル」が、実際にはより高性能な外国製モデルへ一部の処理を外注していたとすれば、そのサービスの性能をどこまで自社モデルの能力として評価してよいのか分からなくなる。ベンチマークで高得点を出したモデルと、利用者が実際に使っているサービスの処理系が同じとも限らない。AIサービスを比較するとき、モデル名だけを見ることがますます危険になる理由である。

AI製品の本体は、もうモデル名ではない

この事件が残す最大の教訓は、AI製品の「本体」が変わったことだろう。これまではGPT、Claude、Gemini、Qwen、DeepSeekといったモデル名を見て、性能や価格を比べればよかった。しかし実際のAIサービスは、複数のモデルを状況に応じて呼び分けたり、検索エンジンや外部APIを組み合わせたりする複雑なシステムになっている。画面に表示されているブランド名と、裏側でデータを処理している主体が一致するとは限らない。

今後は、企業や政府がAIを調達するときに問うべきなのは、「どのモデルですか」だけではない。「入力はどの国へ送られるのか」「第三者のモデルへ転送されることがあるのか」「その場合、誰がログを保持するのか」「入力は学習に利用されるのか」。このあたりまで確認して、初めてAIサービスの実体が分かる。モデルカードだけでなく、データの流通経路そのものが製品仕様になる。