Anthropic、MoonshotのKimiがユーザー要求をClaudeへ転送し監視データが流出したと告発

2026年9月10日、Anthropicは Detecting and countering misuse of AIを公開し、2025年12月から2026年8月にかけて検知・遮断した脅威活動を報告した。不正蒸留の章には、中国ラボがフロンティアモデル出力を訓練用に大量収集している、という従来型の非難より鋭い主張がある。Anthropicによると、Kimiを手がける北京のMoonshot AIは、ユーザーに告げずに一部の顧客リクエストをClaudeへ転送し、Claudeの回答をKimiのものとして表示し、少なくとも一部のやり取りを自社モデル訓練のために保存したという。続報でも第二の転機が強調された。プロンプトがAnthropic側に着地したため、KimiユーザーがMoonshot内に留まると信じた中国の監視資料を調査側が見た、という点だ。報道ではMoonshotはコメントを拒否。北京側は別途、米側の蒸留非難には事実・法的根拠がないと反論している。

AnthropicがKimiについて主張すること

ケースGTG-16002でAnthropicは、Moonshotが顧客トラフィックをKimiではなくClaudeへ転送し、ユーザーにはClaudeの応答を表示したと述べる。約10日間のウィンドウで、ほぼ30万件の顧客リクエスト——大半がClaude Opus向け——を、Anthropicが不正と呼ぶ5,380アカウントのプロキシ網経由で中継したという。大半はシンガポールと日本に所在して見えるとし、Anthropicの中国向け利用制限と整合する、と説明している。

さらにMoonshotは中継したやり取りの少なくとも一部を保持し、Claudeの思考連鎖（CoT）を訓練用に抽出するパイプラインを構築した、と主張する。2026年5〜7月にかけて、この系統の活動として2,300万件超のやり取りをMoonshotに帰属させている。DeepSeek（GTG-16001）についても類似パターン——選定セッションの静かな中継と推論痕跡の抽出、第三者コーディングハーネス由来のタグ付きルーティング——を記述している。

これらはAnthropic自身のテレメトリと調査に基づく所見であり、裁判所で独立に確定した事実ではない。ただし公開の数日前には、CISAなど米機関が複数の中国企業による産業規模の蒸留を非難する勧告を出している。

ラボ別・報告された蒸留規模

9月報告の蒸留章では複数の中国系ラボが名指しされる。下表はAnthropicが報告した帰属ボリュームであり、業界全体の完全なセンサスではない。

ラボ／ブランド	Anthropic ID	報告された規模	主な主張
Moonshot／Kimi	GTG-16002	2026年5–7月に2,300万件超；約10日間で顧客約30万件／5,380アカウント	Claude回答をKimiとして表示；thinking signatureのリプレイでCoT抽出
DeepSeek	GTG-16001	2026年7月の14日間で1,210万件超	同様の静かな中継＋CoT；ハーネスタグ付きルーティング
Alibaba／Qwen（Tongyi Lab）	GTG-16005	2026年5–7月に1.51億件超；ピークは日約300万	報告中で最大のCoT蒸留キャンペーン
Zhipu／Z.ai（GLM）	GTG-16003	2026年6–7月の約17日間で340万件超	CoTクリーナー；後にサイバー能力を標的
Xiaomi	GTG-16008	40万件超のリクエスト／1,500超のアカウント	MiMoユーザーセッションをClaudeへ再生しSFT／RLデータを生成
SenseTime／MiniMax（名指し）	—	Anthropicが遮断したとする中国系7ラボに含まれる	より広い産業規模の蒸留セットの一部

主張されるルーティングの仕組み

Anthropicは不正蒸留を、詐欺に支えられた産業規模の能力抽出と定義する。偽アカウント網、盗まれたカードやAPIキー、「中継所」プロキシだ。Moonshotについては、プロダクト転送の主張がプライバシー層を加える。Kimiのエンドユーザーは、プロンプトがMoonshot製品境界を出たことに気づかない可能性がある。

推論痕跡について、Claude APIは生の内部推論ではなく「thinking signature」参照トークンを返すと説明される。報告は、MoonshotとDeepSeekがクロスセッション・リプレイでこれを回避したと主張する。署名を保存し、新規セッションを開き、Claudeに完全な推論テキストを再構成させる、という流れだ。Anthropicは防衛強化中だとする。本稿は公開された高水準の説明以上の攻撃手順は再現しない。

さらに2日前、CISA勧告AA26-251AはDeepSeek、Moonshot、Alibaba、MiniMax、StepFun、Z.AIなどが米フロンティアモデルに対し産業規模の蒸留を行ったと非難し、「中国政府の認識下にある可能性が高い」とした。中国商務部は根拠がないと拒否し、米側が中国AI企業を抑え込むなら対抗措置を取る、と警告した。

Anthropicに到達したとされる機微データ

核心のプライバシー問題は、Claudeの回答が別ブランドで売られたかもしれない点だけではない。中国製品境界内にいると思ったユーザーが、極めて機微な材料を米AI企業へ送ったかもしれない、という点だ。AnthropicはMoonshotとDeepSeekの転送事例から次を挙げる。

PLA関連のCCTV分析（Kimi経由）

Anthropicは、PLAと関連すると評価するユーザーが、特定個人のCCTVアーカイブをKimiだと思って読み込み、異常行動かを尋ねたと述べる。成都の数百台のカメラ映像が含まれ、PLA施設、CETC関連機関、大手国有企業の周辺カメラも含まれていた、という。

国有企業エンジニアの資格情報（Kimi経由）

大手中国国有企業向け内部システムを構築していたエンジニアが、複数の有力中国テック企業の内部コードと有効な資格情報を露呈した——セッションがClaudeへ転送されているとは知らなかった、とされる。

旗艦AIプログラム文書（DeepSeek経由）

中国テック企業の従業員がDeepSeekだと思って内部文書を分析し、旗艦AIプログラムの仕様・組織・戦略目標が含まれていた——それがClaudeへ中継された、とAnthropicは述べる。

公安案件ツール（DeepSeek経由）

市級公安局向け案件管理システムを構築するエンジニアが、国民IDで人の移動と警察記録を照合するツールをDeepSeekで作っていた——そのトラフィックがClaudeへ中継された、とされる。

報告書のより広い文脈

蒸留は9月報告の7つの危害領域の一つにすぎない。サイバー作戦、影響力工作、監視、詐欺、生物悪用、通常兵器開発、不正蒸留だ。関与したのはClaude Haiku／Sonnet／Opus。Mythos級は概ねこの誤用セットに含まれず、蒸留の一件に限られた例外がある、とする。

地政学的な重ね合わせは明白だ。米機関とフロンティアラボは蒸留と静かなプロキシを国家安保・IP問題と位置づけ、中国当局は同じ物語を封じ込めと見なす。プロダクトチームにとって実務の中間地点はより狭い。どの資本が非難していようと、未検証の第三者モデル転送はデータ流出リスクとして扱うべきだ。

ユーザーと企業にとっての意味

Anthropicのプロダクト転送主張が正確なら、問題はモデル挙動の競合クローンにとどまらない。ユーザーと企業は、選んだベンダーにプロンプトが留まるというチャット製品の基本約束を失う。Anthropicの脅威研究責任者Jacob KleinはBloombergに対し、Anthropicでも競合でも、こうした無断転送は重大なプライバシー醜聞になると語った。

中国のオープンウェイトやコンシューマAIスタックを評価する調達側のデューデリジェンスには、推論の実実行場所、他フロンティアAPIへのプロキシ可能性、訓練用ログの内容、地理制限回避の扱いが含まれるべきだ。認可された教師モデル上の蒸留自体は正当なML手法である。争点は隠蔽され詐欺に支えられた抽出——そして今週の主張では、告知なしのライブ顧客プロキシである。

要点

転送 ≠ 古典的蒸留

KimiのUIでClaudeを出すことが証明されれば、オフラインの出力収集とは別種の信頼破綻だ。

プライバシーは双方向に国境を越える

PLAのCCTV事例は、静かなプロキシが機微な国家・企業データを予期せぬ法域へ晒しうることを示す。

推論パスを検証せよ

企業はベンチマーク点数だけでなく、モデル同一性・ログ・第三者転送について契約上の明確さを求めるべきだ。

MoonshotやDeepSeekなど名指しラボが詳細な反論を出すか、独立監査が現れるまでは、「告発」を先に置く表現が適切だ。すでに確かなプロダクト教訓がある。プロキシと中継所と地理回避に満ちた市場では、「どのモデルが答えたか」はブランディングだけでなくセキュリティの問いである。