セキュリティ情報漏洩のニュースサイトセキュリティ対策Labの運営とBtoB マーケティングコンサル支援|合同会社ロケットボーイズ

Anthropicは2026年9月10日に公開したThreat Intelligence Report「Detecting and countering misuse of AI: September 2026」で、中国に拠点を置く複数のAIラボによるClaudeの大規模な「不正なモデル蒸留（illicit distillation）」と、Claudeを通常兵器の開発・調達・軍事情報収集に利用した事例を公表しました。 中国AIを巡る部分で特に大きいのは、単にClaudeの回答を大量収集して自社モデルの学習に使っていたという点だけではありません。 Anthropicによると、Moonshot AIは一部のKimi利用者のリクエストをKimiでは処理せずClaudeへ転送し、Claudeの回答をKimiの回答として利用者へ表示していました。DeepSeekでも、特定の利用者リクエストをClaude Opusへ転送する仕組みが確認されています。 Xiaomiでは、MiMo利用者との会話を保存し、その会話をClaudeへ再投入してモデル学習用データの生成や回答品質の評価に利用していました。 Anthropicは、Moonshot、DeepSeek、XiaomiからClaudeへ送られた会話の中に、氏名、メールアドレス、企業データ、内部コード、実際に利用可能な認証情報などの機微情報が含まれていたと報告しています。 Alibaba関連では、2026年5月から7月の間に1億5,100万回を超えるClaudeとのやり取りを観測しました。Anthropicは、Claude Opusの推論能力をQwen 3.5、3.6、3.7へ移すための学習データとして利用されたとしています。 さらに同レポートでは、Claudeが通常兵器分野でも利用されていたことが明らかになりました。Anthropicは、中国3件、ロシア2件、イエメン1件の計6件を公表し、誘導兵器、対魚雷システム、自律型ドローン群、電子戦・防空制圧システムのソフトウェア開発に加え、ロシア向け軍民両用品の調達や、中国側による指向性エネルギー兵器の情報収集にClaudeが利用されたと報告しています。 本稿では、Anthropicが同レポートで確認・帰属した内容に絞って整理します。 Anthropicレポートのサマリー Anthropicは2026年9月10日、2025年12月から2026年8月までに検知・阻止したClaude悪用事例を公表しました。 中国に拠点を置く7つのAIラボによる不正なモデル蒸留を検知したとしています。 対象としてAlibaba、Moonshot AI、DeepSeek、Zhipu/Z.ai、Xiaomi、SenseTime、MiniMaxの名前を挙げています。 Alibaba関連では2026年5～7月に1億5,100万回を超えるClaudeとのやり取りを観測しました。 Moonshot AI関連では2026年5～7月に2,300万回を超えるやり取りを観測しました。 Moonshotは一部Kimi利用者のリクエストをClaudeへ転送し、Claudeの回答をKimiの回答として表示していました。 ある10日間では約30万件のMoonshot利用者リクエストがAnthropicへ中継され、大半がClaude Opusへ送られました。 DeepSeek関連では2026年7月の14日間に1,210万回を超えるやり取りを観測しました。 DeepSeekも特定の利用者リクエストをClaude Opusへ転送していました。 Xiaomi関連では2026年3～4月の20日間に40万回を超えるClaudeへのリクエストを観測しました。 XiaomiはMiMo利用者との会話をClaudeへ再投入し、モデル学習用データの生成や回答評価に利用していました。 Anthropicは、Moonshot、DeepSeek、XiaomiからClaudeへ送られた会話に、企業データ、ソースコード、認証情報などが含まれていたと報告しています。 通常兵器分野では、中国3件、ロシア2件、イエメン1件の計6件を公表しました。 兵器関連の4件では、誘導兵器、対魚雷システム、自律型ドローン群、電子戦・防空制圧システムのソフトウェア開発にClaudeが使われました。 残る2件では、ロシア向け軍民両用品の調達と、中国側による指向性エネルギー兵器・供給網の情報収集にClaudeが利用されました。 Anthropicは関連アカウントを停止し、兵器開発や不正蒸留を検知する安全対策を追加しています。 中国AIラボによるClaude利用の規模 Anthropicが帰属した組織 観測規模 Anthropicが報告した主な用途 Alibaba / Qwen・Tongyi Lab 1億5,100万回超 Claude Opusの推論能力を抽出しQwenの学習へ利用 Moonshot AI / Kimi 2,300万回超 Kimi利用者の一部リクエストをClaudeへ転送、回答をKimiとして表示、会話をモデル学習へ利用 DeepSeek 1,210万回超 / 14日間 特定ユーザーのリクエストをClaude Opusへ転送、推論データをモデル学習へ利用 Zhipu / Z.ai 340万回超 Claudeの推論データを整形・評価しGLM学習へ利用 Xiaomi 40万回超 / 20日間 MiMo利用者の会話をClaudeへ再投入し学習データを生成 SenseTime 件数非公表 第三者から取得したClaude利用者の会話記録をモデル蒸留へ利用 MiniMax 件数非公表 関連を表に出さないプロキシサービスを通じて米国AIモデルとの会話を収集 Kimiの一部リクエストはClaudeが実際に回答していた Anthropicが「GTG-16002」として追跡したMoonshot AIの事例では、一部のKimi利用者のリクエストがKimiモデルではなくClaudeへ送られていました。 Anthropicのレポートは、この仕組みについて明確に「Moonshot serves Claude instead of Kimi」と表現しています。 MoonshotはKimi利用者から受け取った一部リクエストをClaudeへ中継し、Claudeが生成した回答をKimi利用者へ表示していました。 利用者の画面上ではKimiとやり取りしているように見える一方、実際の回答生成をClaudeが担当するケースが存在していたことになります。 ある10日間では約30万件の顧客リクエストがAnthropicへ転送され、その大半がClaude Opusへ送られました。 Moonshotは5,380の不正アカウントを使うプロキシネットワークを利用し、その多くはシンガポールや日本からの接続に見える状態だったとAnthropicは説明しています。 Kimiのユーザー会話を保存し、Claudeの推論をモデル学習へ利用 MoonshotはClaudeの回答をKimi利用者へ返すだけでなく、そのやり取りの少なくとも一部を保存していました。 Anthropicによると、Moonshotは保存した会話からClaudeの推論データを抽出し、自社モデルの訓練へ利用するパイプラインを構築していました。 つまり、 Kimi利用者からリクエストを受け取る 一部をClaudeへ転送する Claudeの回答をKimi利用者へ返す Claudeとのやり取りを保存する Claudeの推論能力を自社モデル学習へ利用する という一連の流れが確認されています。 これは一般的な「APIを別AIへフォールバックする」だけの構成ではありません。 Anthropicは、Claudeの能力を無許可で抽出して自社モデルへ移すための不正なモデル蒸留として扱っています。 KimiからClaudeへPLA関連の監視データも送信 MoonshotからClaudeへ転送されたユーザー入力には、安全保障上の機微情報も含まれていました。 Anthropicは、中国人民解放軍（PLA）と関係すると評価した利用者が、Kimiを使って特定人物の監視データを分析していた事例を報告しています。 対象となったデータは、成都に設置された数百台のCCTVカメラから得られた監視情報で、PLA関連施設、中国電子科技集団（CETC）関連研究所、大手国有企業周辺のカメラも含まれていました。 このKimiへの入力はMoonshotによってClaudeへ転送され、Claudeが分析処理に使われました。 中国国有企業の内部コードと有効な認証情報もClaudeへ 別のMoonshot利用者は、中国の大手国有企業向け内部システムの開発にKimiを利用していました。 Anthropicによると、この利用者はKimiへ内部コードと、複数の中国企業に関係する実際に利用可能な認証情報を入力していました。 このデータもMoonshotからClaudeへ転送されています。 生成AIへソースコードや認証情報を入力する企業では、「入力先のサービス名」だけで実際のデータ処理先を判断できないケースがあることを示しています。 DeepSeekも一部ユーザーの入力をClaude Opusへ転送 AnthropicはDeepSeekでもMoonshotと類似した仕組みを確認しました。 「GTG-16001」として追跡した活動では、DeepSeekが一部ユーザーのリクエストをClaude Opusへ中継していました。 対象にはClaude Code、Claude Agent SDK、OpenCodeなどのコーディング環境や互換インターフェースを通じてDeepSeekを利用していたユーザーが含まれていました。 DeepSeekは受信リクエスト内の特定文字列を確認し、対象ユーザーへタグを付け、選別したリクエストをClaude Opusへ送信していました。 2026年7月の14日間で、AnthropicはDeepSeek関連として1,210万回を超えるClaudeとのやり取りを観測しています。 DeepSeek経由で中国企業のAI戦略資料がClaudeへ AnthropicはDeepSeekからClaudeへ送信された企業データの具体例も公表しています。 中国のテクノロジー企業の従業員がDeepSeekを使って社内資料を分析した事例では、同社の主要AIプログラムに関する詳細仕様、組織構成、戦略目標がClaudeへ中継されました。 AIモデルの選定では「利用するAIの国籍」だけでなく、入力データが別のモデル事業者へ転送される構成になっていないかも確認対象になります。 ロシア政府データベースの認証情報もDeepSeekからClaudeへ 別のDeepSeek利用者は、ロシア国防省に関連する政府機関のデータを扱うIT担当者でした。 Anthropicによると、この利用者のリクエストもDeepSeekからClaudeへ転送され、その中にはロシア政府データベースの有効な認証情報が含まれていました。 さらに、中国の地方公安局向け事件管理システムを開発していた技術者のリクエストもClaudeへ送られています。 このシステムは国民ID番号を使い、人物の移動履歴と警察記録を照合する機能を持つものでした。 XiaomiはMiMo利用者の会話をClaudeへ再投入 Xiaomiの事例では、KimiやDeepSeekとは異なる方法でユーザーデータがClaudeへ送信されていました。 Anthropicによると、XiaomiはMiMo利用者との会話を保存し、そのセッションをClaudeへ再投入していました。 Claudeは、保存されたユーザー会話をモデル訓練向けに整形したり、回答を再生成したり、回答品質を評価したりするために使われました。 2026年3月から4月の20日間で、1,500以上のアカウントを通じて40万回を超えるClaudeへのリクエストが観測されています。 Anthropicは、Xiaomiから送信された会話の中に氏名、連絡先、企業データなどの機微情報が含まれていたと報告しています。 Moonshot、DeepSeek、Xiaomiの会話には数百人分の機微情報 Anthropicは、DeepSeek、Xiaomi、Moonshotがそれぞれ自社モデルと利用者の会話をClaudeへ送り、その応答を自社モデルの学習データとして利用したと報告しています。 送信された会話には、少なくとも12言語、数百人規模のエンドユーザーに関連する情報が含まれていました。 Anthropicが挙げているデータには、 氏名 メールアドレス 企業データ 社内資料 ソースコード 認証情報 設備投資計画 などがあります。 第三者のモデルルーティングサービスを通じた利用者の会話も含まれていました。 企業の生成AI管理では、入力内容のルールだけでなく、AIサービスから別のモデル事業者へデータが転送される経路も管理対象になります。 Alibabaは1億5,100万回超、Claude Opusの推論能力をQwenへ Anthropicが報告した中で最大規模だったのはAlibaba関連の活動です。 2026年5月から7月にかけて、Anthropicは1億5,100万回を超えるClaudeとのやり取りを観測しました。 ピーク時には1日約300万回に達し、3,500を超える不正アカウントが使われました。 Anthropicによると、Alibaba関連の活動はClaude Opus 4.6と4.7の推論能力を抽出し、教師ありファインチューニング用データへ変換していました。 これらのデータは、Qwen 3.5、3.6、3.7へClaudeの能力を移すために使われたとしています。 対象となった能力には、 AIエージェント ツール利用 ソフトウェアエンジニアリング カーネル開発 長時間の複雑なタスク 論理推論 が含まれます。 AlibabaはClaudeをモデル蒸留だけでなく、自社のAI研究開発にも利用していました。 Anthropicによると、強化学習環境の開発やモデルアーキテクチャ研究にもClaudeが使われています。 ZhipuはClaudeを使ってGLMの学習データを評価・整形 Zhipu/Z.aiについて、Anthropicは2026年6～7月の17日間で340万回を超えるClaudeとのやり取りを観測しました。 Claudeの推論データを抽出するだけでなく、学習データのスコアリング、推論データの正規化、問題作成、解答生成、テスト実装などにもClaudeを利用していました。 Anthropicは、Zhipuがこれらの出力をGLM系モデルの学習パイプラインで利用したと評価しています。 また、Zhipuは米国の高性能AIモデルが持つサイバー能力を対象にした蒸留活動も行っていました。 SenseTimeは第三者が保存したClaude利用者の会話をモデル学習へ Anthropicは、AIプロキシやモデルルーターによって保存された会話が、別のAI企業へ渡る事例も確認しています。 SenseTimeの蒸留パイプラインには、第三者のデータ事業者から取得したClaude利用者の会話記録が含まれていました。 これらの会話は、第三者アプリやモデルルーティングサービスを介してClaudeへ接続した利用者から取得されたものでした。 中間事業者が会話内容を保存し、その記録を別のAIラボへ提供する二次的なデータ流通が発生していたことになります。 MiniMaxは米国AIモデル向けの独自プロキシ網を構築 Anthropicによると、MiniMaxは関係を表に出さない事業体を通じてプロキシサービスを構築していました。 このサービスはAnthropicとOpenAIのモデルへのアクセスを提供する一方、中国製モデルは提供していませんでした。 Anthropicは、このネットワークが米国のフロンティアモデルとユーザー間のやり取りを収集し、MiniMaxのモデル学習に利用する目的で構築されたと評価しています。 Claudeは通常兵器開発にも利用されていた 同レポートの「Conventional weapons」では、Claudeを通常兵器の開発、設計、調達、情報収集へ利用した6件が報告されています。 内訳は中国3件、ロシア2件、イエメン1件です。 Anthropicは6件を、 兵器そのもののソフトウェア開発・設計：4件 兵器プログラムを支える調達・情報収集：2件 に分けています。 地域 Anthropicが確認した利用 Claudeの役割 イエメン 誘導兵器開発 誘導・航法・制御ソフトウェア開発、シミュレーション 中国 対魚雷システム 火器管制仕様、技術提案、評価資料、ソフトウェア開発 ロシア 自律型軍用ドローン群 ドローン群制御・自律機能ソフトウェア開発、シミュレーション 中国 電子戦・防空制圧 電子戦・標的評価ソフトウェアの設計・開発 ロシア 軍民両用品調達 調達文書、供給業者調査、物流・輸出経路の作業支援 中国 指向性エネルギー兵器情報 公開情報収集、供給網分析、軍事向け報告書作成 イエメンでは誘導ロケット・弾道ミサイル開発にClaude Code Anthropicが「GTG-87001」として追跡したのは、イエメン北部を拠点とする兵器開発グループです。 このグループは、 誘導ロケット 射程2,000km超を目標とする多段式弾道ミサイル 極超音速滑空体型を含む複数仕様のミサイル の3つの開発プログラムを進めていました。 Anthropicによると、Claude Codeは人間のソフトウェアエンジニアの代替として使われ、誘導・航法・制御ソフトウェアの開発やシミュレーションを支援しました。 攻撃者は複数のClaudeインスタンスへコード作成、調査、レビューなどの役割を分担させ、小規模なエンジニアリングチームのように利用していました。 このグループは誘導ロケットの実地試験も行っており、試験後にはClaudeを使って不具合の分析を続けていました。 Anthropicは関連アカウントを停止し、関係する公共・民間組織と脅威情報を共有しました。 中国では対魚雷システムの200ページ超の技術提案を作成 「GTG-17001」では、中国を拠点とする攻撃主体が対魚雷兵器システムに関する3つの作業でClaudeを利用していました。 Anthropicによると、Claudeは、 対魚雷火器管制システムの中国語仕様書 200ページを超える技術提案書 経営・意思決定層向け説明資料 米国の対魚雷・対潜水艦システムとの比較資料 の作成に利用されました。 さらに、システムの一部ソフトウェアと試験計画の作成にもClaudeが使われています。 Anthropicは、この主体を中国の防衛産業メーカーと関係する活動として評価しています。 ロシアでは自律型FPVドローン群のソフトウェア開発 「GTG-27005」では、ロシアを拠点とするとみられる小規模なチームが、自律型FPV攻撃ドローン群の開発にClaude Codeを利用していました。 Claudeは、ドローン群を協調動作させるソフトウェア、自律動作の制御、対象認識などのソフトウェア開発と試験に利用されました。 Anthropicは、開発されたコードが実際の開発用ハードウェアへ書き込まれ、シミュレーションを組み合わせた試験が行われていたと報告しています。 この事例では、人間が個々の判断を行わずに対象選択や攻撃判断を自動化する機能も開発対象に含まれていました。 Anthropicは関連アカウントを停止し、兵器開発に関する検知ルールへ調査結果を反映しています。 中国では電子戦・防空制圧ソフトウェアを約16モジュール開発 「GTG-17002」では、中国を拠点とする主体がClaudeのチャット、コーディング、エージェント機能を使い、電子戦と防空制圧に利用する中国語ソフトウェア群を開発していました。 システムは約16のモジュールで構成され、12回にわたり改良されました。 Anthropicによると、このソフトウェアは敵側のレーダー、防空ミサイル拠点、指揮所、通信施設などを分析し、妨害効果や標的の優先順位を評価するために利用されるものでした。 開発途中では、台湾にある12の軍事関連標的を想定したシミュレーションへ切り替えられています。 Anthropicは、アカウント情報や会話内容から、この主体を中国の防衛・軍需研究者と評価し、中国人民解放軍軍事科学院を含む研究機関との関連を指摘しています。 ロシア向け軍民両用品の調達にもClaude 兵器そのものの開発だけでなく、調達活動にもClaudeが利用されました。 「GTG-27006」では、モスクワの設計局で調達業務に携わる人物がClaudeを使用し、民間・軍事の両方へ転用可能な物品の調達業務を進めていました。 対象には、航空・宇宙、電子、暗号・IT関連の物品が含まれていました。 Claudeは、 調達文書の作成 供給業者の調査 多言語の問い合わせ文書作成 調達表の統合 物流関連文書の作成 複数国にまたがる調達業務の自動化 などに利用されました。 Anthropicは、この活動にロシア政府・防衛産業の顧客向け調達が含まれていたと報告しています。 中国では指向性エネルギー兵器と供給網の情報収集 「GTG-17003」では、中国を拠点とする主体がClaudeを使い、外国の先進的な指向性エネルギー兵器について公開情報を収集していました。 対象には、ドローン群への対処を想定した高出力マイクロ波兵器も含まれていました。 Claudeは、 公開情報の収集・分析 兵器関連企業・供給網の調査 中国語の情報報告書作成 軍事・国家安全保障関係者向け説明資料作成 に利用されました。 Anthropicによると、対象者は約23ページの報告書を作成し、外国軍の高出力マイクロ波兵器プログラムと関連供給企業を分析していました。 Anthropicはこのアカウントを停止し、関連活動の監視を追加しています。 Claudeは「兵器そのもの」だけでなく軍事研究の作業基盤になっている 6件を並べると、Claudeの利用範囲は兵器設計だけではありません。 実際には、 ソフトウェア開発 コードレビュー シミュレーション 技術提案書作成 調達 供給網調査 公開情報分析 軍事向け報告書作成 まで広がっています。 Anthropicは、これらの事例を受けて高威力爆発物や兵器開発に関する新しい検知分類器を導入したとしています。 中国AIのClaude利用と兵器開発は別々の問題ではない 今回のレポートでは「中国AIラボによるClaudeの蒸留」と「Claudeそのものの兵器開発への悪用」は別セクションで報告されています。 ただし、企業や政府機関のリスク管理から見ると両者には共通点があります。 高性能AIの能力が、 別モデルへ蒸留される API互換サービスを通じて別事業者へ転送される モデルルーターやプロキシを通じて再販売される 軍事・諜報・サイバー分野へ転用される という形で、サービス提供者の管理境界を越えて移動している点です。 Anthropic自身も、不正蒸留によってフロンティアモデルの一般的な推論能力を取得すると、蒸留対象に直接含まれていないサイバーや生物分野を含む危険な能力にも波及し得ると分析しています。 情報システム部門が確認したいAIサービスの実データフロー 企業で生成AIを利用する場合、管理対象を「利用を許可するAIサービス名」の一覧だけで終わらせると、今回のような構成を把握できません。 確認する項目は次のとおりです。 実際に推論処理を行うモデル事業者 別AI事業者へのフォールバック・ルーティングの有無 モデルルーター、APIゲートウェイ、プロキシの利用有無 入力データを第三者AIへ再送信する条件 会話ログの保存期間 会話ログをモデル学習へ利用する条件 サブプロセッサーの一覧 入力データの保存国・処理国 API版とWeb版でデータフローが異ならないか 利用モデルや処理先が変更された場合の通知条件 社内コード、認証情報、顧客情報、設計資料を生成AIへ入力する業務では、サービス名だけでなく最終的なデータ受信者まで確認できる状態にします。 AI API互換サービスでも処理先を確認 DeepSeekやKimiなどは、Anthropic API互換のインターフェースを提供しています。 このためClaude Codeなどのフロントエンドから、バックエンドだけを別のAIモデルへ切り替える運用も可能です。 Anthropicのレポートでは、DeepSeekがClaude Code、Claude Agent SDK、OpenCodeなどを利用しているユーザーを識別し、その一部のリクエストをClaude Opusへ転送していました。 企業側では、 「どのクライアントソフトを使っているか」 ではなく、 「APIリクエストが最終的にどのモデル事業者まで送られるか」 を確認する必要があります。 AIセキュリティではモデルの性能だけでなく「誰が処理するか」を管理する 今回のAnthropicレポートは、AIサービスを性能と価格だけで比較する運用では足りないことを示しています。 Kimi、DeepSeek、MiMoのユーザー入力がClaudeへ送信された事例では、企業の内部コード、認証情報、政府・軍事関連情報まで別のAI事業者へ到達しました。 一方、Claude自体も誘導兵器、自律型軍用ドローン、電子戦、防空制圧、軍需調達、兵器情報収集へ利用されていました。 企業や政府機関では、 どのAIへ入力しているか 実際にはどの事業者が処理しているか 保存された会話が別モデルの学習へ回らないか APIキーやセッショントークンが第三者へ渡らないか 高権限のコード・設計・インフラ情報をAIへ入力していないか を一つの管理対象として扱う必要があります。 AI利用全体の情報漏えい、AIエージェント、認証情報、データガバナンスについては「AIセキュリティとは｜生成AIのリスク・AIへのサイバー攻撃・情報漏洩・対策まとめ」でも整理しています。 AIの悪用事例全般については「AIや生成AIの悪用事例や事件を解説」を参照してください。 出典 Detecting and countering misuse of AI: September 2026 - Anthropic Detecting and countering misuse of AI: September 2026（PDF） - Anthropic

ブログ